Cisco archive: автоматичен бекъп на конфигурацията

Cisco IOS може след записването на всяка промяна да качва копие на конфигурацията си на отдалечен сървър — автоматично, без скрипт и без да се разчита на това някой да е направил бекъп. Функцията се казва archive и се настройва веднъж.

Стъпка по стъпка

CSW1>en
Password:
CSW1#config t
Enter configuration commands, one per line.  End with CNTL/Z.
CSW1(config)#archive
CSW1(config-archive)#log config
CSW1(config-archive-log-cfg)#hidekeys
CSW1(config-archive-log-cfg)#exit
CSW1(config-archive)#path ftp://ftpuser:ftppass@172.16.199.2//cisco/SW1.txt
CSW1(config-archive)#write-memory
CSW1(config-archive)#end
CSW1#wr
Building configuration...
[OK]

Как изглежда в конфигурацията

!
archive
 log config
  hidekeys
 path ftp://ftpuser:ftppass@172.16.199.2//cisco/SW1.txt
 write-memory
!

write-memory е ключовата дума — тя казва архивът да се прави при всяко wr. Без нея archive пази само локални копия при ръчна команда.

На страната на Linux сървъра

samyil@host13:~$ ls -la cisco/
total 40
drwxrwxr-x  2 samyil samyil 4096 юли 24 22:34 .
drwxr-xr-x 12 samyil samyil 4096 юли 24 20:52 ..
-rw-r--r--  1 samyil samyil 5858 юли 24 22:33 SW1.txt-1
-rw-r--r--  1 samyil samyil 5858 юли 24 22:34 SW1.txt-2

IOS добавя пореден номер към името — SW1.txt-1, SW1.txt-2 и така нататък. Тоест всяка версия се пази отделно и има към какво да се върнете.

Колко копия да се пазят

По подразбиране броят е ограничен. Задава се изрично, заедно с периодично архивиране дори без промени:

CSW1(config-archive)#maximum 14
CSW1(config-archive)#time-period 1440

time-period е в минути — 1440 значи по едно копие на денонощие, независимо дали някой е пипал устройството.

Какво има в архива

CSW1#show archive
CSW1#show archive log config all

Второто е недооценено: показва кой какви команди е въвел, ред по ред, с потребител и час. При спор какво се е променило и кога, това е отговорът.

Връщане към стара конфигурация

CSW1#configure replace ftp://ftpuser:ftppass@172.16.199.2//cisco/SW1.txt-3

configure replace сравнява текущата с архивната и прилага само разликата — за разлика от copy ftp: running-config, който слива двете и оставя стари редове живи. Това е разликата между истинско връщане назад и половинчато.

⚠️ За паролата в конфигурацията

Редът path ftp://ftpuser:ftppass@... съдържа паролата в чист вид и тя се вижда във всеки show running-config — включително в самия архивен файл, който заминава по мрежата. FTP при това пренася всичко нешифровано.

По-добрият вариант е SCP, който минава през SSH:

CSW1(config-archive)#path scp://backup:парола@172.16.199.2//cisco/SW1.txt

А най-чистото е акаунтът на сървъра да е отделен, само за това, с достъп единствено до директорията за архиви и без обвивка за влизане.