「恢复出厂」不是一键还原：清什么、留什么，不同厂家不一样。 证书与密钥会丢——一台做 IPsec 的路由器恢复后要重建所有隧道，可能要几小时。
上一节讲保存，这一节讲「全部清掉」。 这是本章最后一节，也是操作风险最高的一节。
一、什么会丢，什么会留
内容 通常会不会清 丢了有什么后果
运行配置 会 立即失效 启动配置 会 重启后回到出厂 系统镜像 通常不会 多数命令不动镜像 许可证 通常不会 清掉要重新激活 日志文件 会 历史证据丢失 证书与密钥 会 VPN 与 HTTPS 失效 出厂默认账号 恢复 安全风险
表里两个「通常」是这一节最该警惕的地方：不同厂家不一样，动手前必须查手册。
二、许可证：不同厂家差别很大
有的设备恢复出厂会连许可证一起清掉，重新激活要联系厂商、走工单、等回复。 而设备在这期间是不可用的。
所以动手前要先做一件事：记下许可证号。 多数设备有「显示许可证」的命令，把输出存一份。 这一步只要一分钟，但能省掉几天的等待。
三、证书与密钥：最容易出事的一项
一台做 IPsec VPN 的路由器，恢复出厂后所有隧道全部失效。 而重建需要重新交换密钥或者重新签发证书——这一过程可能几个小时，而且需要对方配合。
这是「恢复出厂」最容易低估的代价：它不只是「重配一遍」，是「重新建立信任关系」。 而信任关系涉及第三方（CA、对端管理员），不是你能单方面决定的。
所以做 VPN 的设备，恢复出厂前必须先确认：证书能不能重新签发、对端是否配合、窗口期够不够。 三样有一项不确定，就不要动。
四、五步操作顺序
一、备份配置，并确认备份文件能读。「备份了但打不开」是常见事故。 二、记录许可证号、证书到期日、密钥指纹。 三、确认能物理接触到设备（Console），因为恢复后没有 IP。 四、排维护窗口——恢复后要重新配置与验证，不是几分钟的事。 五、恢复后立刻改默认密码，别让它停在出厂状态等着被扫。
第五步是安全底线：出厂设备的默认账号密码是公开的，接到网络上几分钟就会被扫到并尝试登录。 而「恢复出厂」这个动作本身，往往意味着这台设备即将被重新接入网络。
五、动手 Demo：恢复出厂设置，什么会丢什么会留
这段列出七类内容在恢复出厂时的去留与后果，再按「重配一遍每项 10 分钟」算不同规模配置的恢复工时。
for n in (20, 60, 150):
P(u" 要重配 %d 项：约 %.1f 小时。" % (n, n * 10 / 60.0))
实跑输出：
--------------------------------------------------------------------
恢复出厂设置，什么会丢什么会留
--------------------------------------------------------------------
**「恢复出厂」听起来是「一键还原」，实际上要分清除什么。**这一节把范围列清，
因为**清错了会丢东西**。
内容 通常会不会被清 丢了有什么后果
-----------------------------------------------------------------
运行配置 会 立即失效
启动配置 会 重启后回到出厂
操作系统镜像 **通常不会** （多数命令不动镜像）
许可证（License） **通常不会** （清掉要重新激活）
日志文件 会 历史证据丢失
证书与密钥 会 VPN 与 HTTPS 失效
出厂默认账号 恢复 安全风险
**「许可证通常不会」这一条要核实**：不同厂家不一样。
**有的设备恢复出厂会连许可证一起清掉，重新激活要联系厂商。**
**所以动手前先查手册，或者先记下许可证号。**
**「证书与密钥会丢」这一条最容易出事**：一台做 IPsec VPN 的路由器，
**恢复出厂后所有隧道全部重建**，
**而重建需要重新交换密钥或者重新签发证书**——**这一过程可能几个小时，而且需要对方配合。**
**所以「恢复出厂」的操作顺序应该是**：
1. **备份配置**，并确认备份文件能读。
2. **记录许可证号、证书到期日、密钥指纹**。
3. **确认能物理接触到设备**（Console），因为恢复后没有 IP。
4. **排维护窗口**——恢复后要重新配置与验证，不是几分钟的事。
5. **恢复后立刻改默认密码**，别让它停在出厂状态等着被扫。
**第 5 条是安全底线**：出厂设备的默认账号密码是公开的，**接到网络上几分钟就会被扫到并尝试登录。**
「6 项两小时、150 项 25 小时」这个跨度说明「恢复出厂」的代价与设备复杂度强相关： 核心路由器的恢复出厂，是一个以「天」为单位的工程。
「信任关系不是你能单方面决定的」这一句最值得记住：它是「恢复出厂」与「改配置」的本质区别。 改配置只影响自己，恢复出厂会波及对端、CA、上游。
最后一步「立刻改默认密码」是本节的收尾： 整章从「Console 是唯一入口」讲到「恢复出厂」，所有的技术细节最后都落在一条上：
设备在网络上暴露的每一分钟都算数。 这也是这一章讲「管理」的落脚点。
30 秒实验
- 查一下你设备上有没有许可证，把号记下来。
- 看设备上有没有装证书，到期日是哪天。
- 想一想：如果这台设备明天要恢复出厂，你需要提前做什么？
常见误区
- 以为恢复出厂只是「清配置」。证书、日志、许可证都可能动。
- 以为重配一遍就行。VPN 隧道要重建信任关系。
- 以为恢复完可以慢慢配。出厂状态暴露在网络上就是风险。
自测三问（点开对答案）
1. 恢复出厂通常会清掉哪三类「意料之外」的东西？ —— 日志文件、证书与密钥，部分设备还会清许可证。 2. 为什么做 VPN 的设备恢复出厂风险特别高？ —— 所有隧道失效，重建需重新交换密钥或签发证书，需对端与 CA 配合。 3. 恢复出厂操作的五步顺序是什么？ —— 备份配置、记录许可证与证书、确认能接 Console、排维护窗口、恢复后立刻改密码。下一章：设备与配置都讲完了，下一章进「路由器的选型与运维」。
- ☐ （本章完，下一节 04.01.01 L3交换机与路由器的不同）