思科防火墙作为网络安全的重要设备,其配置的正确保存是确保策略持续生效、设备重启后不丢失关键设置的核心操作，不同型号的思科防火墙（如ASA、FTD等）及不同的配置模式（CLI、ASDM），保存命令存在一定差异，但核心逻辑均为将当前运行的配置持久化存储到非易失性存储器（如Flash、NVRAM）中，以下从CLI命令行角度，结合常见场景详细解析思科防火墙的保存命令及相关操作逻辑。
基础保存命令：write memory 与 copy running-config startup-config
在思科防火墙的传统CLI操作中,最常用的保存命令是write memory（简写为wr mem）和copy running-config startup-config，两者功能完全等效，均用于将当前运行的配置（running-config）复制到启动配置（startup-config）中，确保设备重启后能加载最新配置。
命令语法与执行
- 完整命令：
copy running-config startup-config - 简写形式：
wr mem或write
执行后，系统会提示[OK]或Building configuration...，表示配置已成功保存到startup-config文件中（通常存储在设备的NVRAM或Flash中）。
命令逻辑说明
- running-config：设备当前内存中运行的配置，修改后立即生效，但断电或重启后会丢失。
- startup-config：设备启动时加载的配置文件，保存在非易失性存储器中，断电后不会丢失。
保存操作的本质是将内存中的临时配置固化到永久存储介质中，确保配置的持久性。
其他常用保存相关命令及场景应用
除基础保存命令外,思科防火墙还提供其他与配置保存相关的命令，以满足不同管理需求，如保存到外部服务器、备份特定配置等。
保存到外部服务器：copy running-config tftp
当需要将配置备份到远程TFTP服务器时,可使用该命令，操作步骤如下：
firewall# copy running-config tftp Address or name of remote host []? 192.168.1.100 Destination filename [firewall-config.cfg]? backup-20231001 Writing running-config to 192.168.1.100:backup-20231001... !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
执行前需确保防火墙与TFTP服务器网络可达,且服务器有写入权限，此命令常用于配置的异地备份或批量部署前的导出。
保存到Flash存储：copy running-config flash
若需将配置保存到本地Flash（如升级固件前备份配置），可使用：
firewall# copy running-config flash Destination filename [startup-config]? custom-config.cfg Writing running-config to flash:custom-config.cfg... [OK]
保存后的文件可通过dir flash:查看，后续可通过copy flash:custom-config.cfg startup-config恢复。
保存部分配置：include 参数
若仅需保存特定接口或策略的配置,可结合include参数过滤running-config后再保存，
firewall# copy running-config tftp include "interface GigabitEthernet0/0"
此命令仅保存GigabitEthernet0/0接口的相关配置，减少备份文件大小，提升效率。
不同防火墙型号的命令差异
思科防火墙产品线不断迭代,部分型号的命令存在差异，需注意区分：
传统ASA防火墙（如ASA 5500-X系列）
- 保存命令：
write memory、copy running-config startup-config - 查看保存的配置：
more startup-config - 删除startup-config：
erase startup-config（执行后需重启设备加载默认配置）
新一代FTD（Firepower Threat Defense）防火墙
FTD基于Firepower硬件或虚拟化平台,CLI命令与ASA基本兼容，但推荐使用configure net模式管理配置，保存命令为：
ftd# configure net ftd(config-net)# commit
commit命令会将当前配置保存到启动配置，并同步到管理中心（如Firepower Management Center），若需手动导出配置，仍可使用copy running-config tftp等命令。
配置保存的注意事项
-
保存前验证配置
执行保存命令前，建议通过show running-config检查配置是否正确，特别是安全策略、NAT规则等关键设置，避免错误配置固化导致网络中断。 -
避免频繁保存
虽然保存操作本身对设备损耗极小，但频繁执行可能影响CLI响应效率，建议在完成一批配置修改后统一保存。 -
结合配置管理工具
对于企业级防火墙，建议使用思科配置专业管理工具（如Cisco Configuration Professional、RANCID）或自动化脚本（Ansible、Python）实现配置的批量备份、版本控制，降低人工操作风险。 -
保存后的验证
保存完成后，可通过show startup-config查看文件内容是否与running-config一致，或执行reload重启设备（需提前规划维护窗口），验证配置是否能正确加载。
配置备份与恢复的最佳实践
为提升配置管理的可靠性,建议结合以下流程操作：
- 定期自动备份
通过cron任务或脚本定时执行copy running-config tftp，将配置备份到专用服务器，保留多个历史版本（如按日期命名）。 - 配置变更审批
重要配置修改前，先导出当前配置作为快照，修改并保存后，将新旧版本提交至配置管理系统（如Git）存档。 - 灾难恢复预案
在防火墙Flash中保留一份基础配置文件（如factory-default.cfg），当配置异常导致无法登录时，可通过boot命令加载恢复。
相关问答FAQs
问题1：执行write memory后提示“Error opening NVRAM”，如何处理？
解答：该错误通常表示NVRAM空间不足或硬件故障，可尝试以下步骤：
- 使用
dir nvram:查看NVRAM使用情况，删除无用文件（如日志、旧配置文件）； - 若空间充足,尝试
erase startup-config清空后重新保存； - 若仍失败,可能是NVRAM硬件损坏，需联系厂商维修或更换设备。
问题2：FTD防火墙使用commit保存配置后，为什么ASDM界面未显示最新策略？
解答：FTD的commit操作仅保存到本地启动配置，若通过ASDM修改配置，需确保ASDM已连接到设备的管理接口，且修改后点击“Apply”按钮同步配置，若防火墙由Firepower Management Center集中管理，需在管理中心执行“Deploy”操作，将配置下发到设备。
