В любой корпоративной сети коммутаторы — это не просто «коробки с портами». Они — критически важные узлы, определяющие топологию, безопасность, производительность и доступность всей инфраструктуры. Их конфигурации — это точный «геном» сети: VLAN-ы, ACL, порты, STP, QoS, trunk-настройки, маршрутизация между VLAN и многое другое.
Но что происходит, когда одна из этих настроек меняется — случайно, по ошибке, или из-за вредоносного действия?
Один неверный командный ввод может отключить целый отдел, нарушить работу VoIP, разорвать туннели или создать уязвимость для атаки.
Вот почему мониторинг изменений конфигураций коммутаторов и систематическое резервное копирование файлов startup-config, running-config и vlan.dat — не опциональная практика, а обязательное требование надёжной ИТ-операционной среды.
Почему важно отслеживать изменения конфигураций?
1. Быстрая откатка при ошибке
Конфигурация running-config — это то, что коммутатор использует прямо сейчас. Её можно изменить в любой момент через CLI, веб-интерфейс или автоматизированный скрипт.
Но если администратор случайно удалил VLAN 10, отключил порт с сервером или настроил неправильный trunk — сеть перестанет работать, и вы не сможете восстановить предыдущее состояние без резервной копии.
Пример: Администратор вводит no vlan 50 — не заметив, что на этом VLAN работает критичный сервер. Через 10 минут сбой обнаружен. Без резервной копии — приходится восстанавливать настройки вручную, часами перепроверяя каждый порт. С копией — один copy tftp://server/backup-config.txt running-config — и сеть работает, как раньше.
2. Предотвращение «дрейфа конфигураций»
Со временем в сети накапливаются «неофициальные» изменения: кто-то внес настройку на тестовом коммутаторе, забыл сохранить, а потом его перезагрузили — и всё пропало.
Другой администратор внес правки на другом устройстве, не зная о предыдущих изменениях.
Так возникает конфигурационный дрейф — когда устройства с одинаковой моделью работают по-разному, а документация устарела.
Мониторинг изменений позволяет:
- Сравнивать текущую конфигурацию с эталонной (baseline).
- Получать уведомления о любых отличиях.
- Автоматически фиксировать, кто, когда и что изменил.
3. Аудит, безопасность и соответствие стандартам
Стандарты ISO 27001, PCI DSS, NIST и другие требуют контроля изменений в инфраструктуре.
Если в ходе аудита вы не сможете показать:
- кто вносил изменения в конфигурацию,
- когда они были сделаны,
- были ли они одобрены,
— вы рискуете получить несоответствие, штраф или потерю сертификации.
Регулярное сохранение конфигов с метками времени и идентификацией пользователя — это ваш «лог-файл» изменений, который может спасти вас в случае инцидента.
4. Восстановление после сбоя оборудования
Коммутатор может выйти из строя из-за сбоя питания, перегрева, аппаратной неисправности или даже кибератаки (например, Ransomware, атакующей сетевые устройства).
Если у вас есть актуальная копия startup-config — вы можете всего за 15 минут установить новый коммутатор, загрузить конфигурацию и вернуть сеть к работоспособному состоянию.
Без неё — вы восстанавливаете всё вручную, часами сверяясь с устаревшими схемами или пытаясь вспомнить, какие порты были в каком VLAN.
Почему именно startup-config, running-config и vlan.dat?
- running-config
Текущая активная конфигурация, работающая в памяти. Это то, что реально влияет на сеть сейчас. Без него вы не знаете, что на самом деле настроено. - startup-config
Конфигурация, которая загружается при перезагрузке устройства. Если вы не сохранили running-config в startup-config, все изменения пропадут при перезагрузке. Копия startup-config — ваша «последняя гарантированно сохранённая» версия. - vlan.dat
База данных VLAN (включая имена, ID, статус) на коммутаторах Cisco и совместимых. Этот файл не копируется при copy running-config startup-config! Если его потерять — все VLAN-ы исчезнут после перезагрузки, даже если конфигурация вроде бы «целая».
Важно: Многие администраторы забывают про vlan.dat. Это частая причина «невоспроизводимых» сбоев: коммутатор перезагрузился — VLAN-ы пропали, а в конфиге всё выглядит нормально. Потому что vlan.dat был утерян.
Как организовать надёжное резервное копирование?
-
Автоматизация
Используйте инструменты вроде:- RANCID (для Cisco, Juniper и др.)
- 10-Страйк: Мониторинг Сети Pro (для всех типов устройств, есть поддержка шаблонов команд)
- Ansible + Netmiko для скриптового копирования
- TFTP/FTP/SFTP-серверы для хранения копий
- Частота
- running-config — копировать после каждого изменения (или хотя бы раз в час при активной работе).
- startup-config — копировать после каждой успешной сохранённой перезагрузки.
- vlan.dat — копировать при каждом изменении VLAN (особенно при создании/удалении).
- Хранение и контроль версий
Сохраняйте копии с именами в формате:
SW01-running-2025-11-14_10-30-00.cfg
Используйте Git для отслеживания изменений — это позволит сравнивать версии, видеть диффы, откатываться на любую точку. - Уведомления
Настройте оповещения при:- изменении running-config (без последующего write memory),
- отсутствии копии vlan.dat более 24 часов,
- несоответствии конфигураций между устройствами.
Настройка мониторинга изменений файлов конфигурации коммутаторов в программе 10-Страйк: Мониторинг Сети Pro
Программа 10-Страйк: Мониторинг Сети Pro позволяет выполнять постоянный мониторинг изменений конфигурации коммутаторов. Подключаясь по SSH, программа считывает файлы running-config, startup-config, vlan.dat и сравнивает их с эталонными файлами, полученными во время первого опроса. Если изменения обнаружены, программа запускает настроенные оповещения (e-mail, telegram, slack, SMS и т.д.)
Обнаруженные изменения можно быстро посмотреть в отдельном окне в режиме сравнения «было-стало», где добавления, удаления и редактирования отмечены разными цветами.
Для включения мониторинга изменений файлов конфигурации коммутаторов нужно:
- В главном окне программы перейти на вкладку Конфигурации.
- Запусить сканирование и поиск комутаторов в сети.
- Если поиск коммутаторов запущен впервые, программа предложит задать учётную запись для подключения к коммутаторам по SSH. Добавьте её и нажмите ОК.
- Далее задайте параметры сканирования сети: диапазоны IP.
- Запустите сканирование и дождитесь, когда оно завершится.
Программа находит коммутаторы, подключается к ним по SSH и считывает файлы конфигурации, создавая проверки для периодического получения каждого из них. Эти проверки можно будет посмотреть на вкладке Проверки, кликнув по хосту с адресом коммутатора слева в дереве.
На вкладке Конфигурации отображается сводная информация по всем добавленным коммутатором с состоянием их конфигурации и дополнительной информацией (серийный номер, производитель, модель).
Добавить коммутаторы для мониторинга изменений в конфигурациях можно через обычный текстовый файл, где их адреса буду перечислены списком. А также создать проверки для тех коммутаторов, которые уже были добавлены ранее в дерево мониторинга.
В этой же вкладке можно посмотреть файлы конфигураций коммутаторов и скопировать их содержимое в буфер обмена. Функция не доступна в режиме Оператор.
Есть и другой способ настроить мониторинг файлов конфигурации коммутаторов — через создание проверок для каждого файла:
- Откройте вкладку Проверки в главном окне.
- Выделите в дереве слева коммутатор.
- Нажмите кнопку Добавить проверку в главном меню.
- Выберите тип проверки Конфигурация коммутатора.
- Задайте параметры для подключения по SSH или выберите учётную запись из списка, если она ранее создавалась в настройках программы.
- Выберите подходящий профиль команд для получения данных от устройства. Если ни один профиль не работает, то нужно создать свой собственный в настройках.
- Выберите, какой файл конфигурации будет опрашивать эта проверка (running-config, startup-config, vlan.dat).
- Проверьте работу, нажав кнопку Получить текущую конфигурацию и сравнить.
В этом же окне можно задать эталон файла конфигурации, нажав кнопку Отметить текщую конфигурацию как эталон.
Аналогично создайте проверки и для остальных файлов конфигурации.
Заключение: конфигурация — это ваша сеть
Коммутатор — это не просто аппарат. Это живой, динамичный элемент, чья конфигурация определяет поведение всей сети.
Изменения в ней — это не просто «настройки». Это действия, которые влияют на бизнес-процессы, безопасность и репутацию компании.
Резервные копии startup-config, running-config и vlan.dat — это ваша страховка от человеческой ошибки, технического сбоя и киберугроз.
Мониторинг изменений — это не «хорошая практика». Это обязательное условие профессионального управления сетью.
Не ждите, пока сеть упадёт.
Сохраняйте. Мониторьте. Автоматизируйте.
Помните: лучший способ восстановить сеть — не искать, что сломалось, а знать, как она работала вчера.
Программа работает в среде Windows XP/Vista/7/8.1/10/11, Server 2003/2008/2012/2016/2019/2022. Вы можете скачать и попробовать 30-дневную пробную версию бесплатно.