Em qualquer rede corporativa, os switches são mais do que "caixas com portas". São nós críticos que definem a topologia, a segurança, o desempenho e a disponibilidade de toda a infraestrutura. As configurações são o "genoma" preciso da rede: VLAN, ACL, portas, STP, QoS, trunks, roteamento entre VLANs e muito mais.
E o que acontece quando uma dessas configurações muda? Por acidente, por engano ou por uma ação maliciosa?
Um comando digitado errado pode derrubar um departamento inteiro, interromper o VoIP, quebrar túneis ou abrir uma superfície de ataque.
Por isso, monitorar as alterações da configuração do switch e fazer backup sistemático dos arquivos startup-config, running-config e vlan.dat não é opcional. É uma exigência de um ambiente de TI sólido.
Por que monitorar as alterações da configuração do switch?
1. Volta rápida depois de um erro
O running-config é o que o switch está usando agora. Ele pode mudar a qualquer momento pela CLI, pela interface web ou por um script.
Mas se o administrador apagou a VLAN 10 sem querer, desativou a porta do servidor ou configurou o trunk errado, a rede para, e sem backup não dá para voltar ao estado anterior.
Exemplo: o administrador digita o comando no vlan 50 sem perceber que um servidor crítico está nessa VLAN. A falha é notada 10 minutos depois. Sem backup, é preciso refazer as configurações à mão, conferindo cada porta por horas. Com o backup, ele copia o arquivo running-config de tftp://server/backup-config.txt e a rede volta a funcionar como antes.
2. Evitar o desvio de configuração
Com o tempo, mudanças "não oficiais" se acumulam: alguém ajusta um switch de teste, esquece de salvar e reinicia. E... tudo se perde.
Outro administrador altera outro dispositivo sem saber das mudanças anteriores.
Assim surge o desvio de configuração: equipamentos do mesmo modelo passam a funcionar de formas diferentes, e a documentação fica desatualizada.
O monitoramento das alterações da configuração do switch permite:
- Comparar a configuração atual com a linha de base.
- Receber notificações de qualquer diferença.
- Registrar automaticamente quem, quando e o que foi alterado.
3. Auditoria, segurança e conformidade
ISO 27001, PCI DSS, NIST e outros padrões exigem o monitoramento de mudanças na infraestrutura.
Se na auditoria você não mostrar:
- quem alterou a configuração
- quando a alteração foi feita
- se ela foi aprovada
Você corre o risco de não conformidade, multa ou perda da certificação.
Ao salvar os arquivos de configuração com data e identificação do usuário, você tem um "arquivo de log" das mudanças, que pode ser decisivo num incidente.
4. Recuperação depois de falha de hardware
Um switch pode falhar por queda de energia, superaquecimento, defeito de hardware ou até um ataque (como ransomware em dispositivos de rede).
Com uma cópia atual do startup-config, você instala um switch novo, carrega a configuração e restaura a rede em cerca de 15 minutos.
Sem isso, a restauração é manual: horas consultando diagramas desatualizados ou tentando lembrar qual porta estava em qual VLAN.
Por que startup-config, running-config e vlan.dat?
- running-config
A configuração ativa, em memória. É o que de fato afeta a rede agora. Sem ela, você não sabe o que está configurado de verdade. - startup-config
A configuração carregada na reinicialização. Se você não gravar o running-config no startup-config, as mudanças se perdem no reboot. A cópia do startup-config é a "última versão salva com garantia". - vlan.dat
O banco de VLANs (nomes, IDs e status) em switches Cisco e compatíveis. Esse arquivo não é copiado quando você copia o running-config para o startup-config. Se ele se perder, todas as VLANs somem depois do reboot, mesmo que o arquivo de configuração pareça intacto.
Importante: muitos administradores esquecem o vlan.dat. É uma causa comum de falhas "que não se reproduzem": o switch reinicia, as VLANs somem, mas o arquivo de configuração parece normal. O vlan.dat é que se perdeu.
Como organizar um backup confiável?
-
Automação
Use ferramentas como:- RANCID (Cisco, Juniper e outros)
- 10-Strike Network Monitor Pro (todos os tipos de dispositivo, com modelos de comando)
- Ansible + Netmiko para backups por script
- Servidores TFTP/FTP/SFTP para guardar os backups
- Frequência
- running-config — copie depois de cada alteração (ou pelo menos de hora em hora, se a rede estiver ativa).
- startup-config — copie depois de cada reinicialização em que a gravação foi bem-sucedida.
- vlan.dat — copie a cada mudança de VLAN (principalmente criação e exclusão).
- Armazenamento e controle de versões
Salve as cópias com nomes neste formato:
SW01-running-2025-11-14_10-30-00.cfg
Use o Git para acompanhar as mudanças. Assim você compara versões, vê o diff e volta a qualquer ponto.
- Notificações
Configure alertas para:- mudanças no running-config (sem um write memory em seguida),
- cópia de vlan.dat ausente por mais de 24 horas,
- inconsistências de configuração entre dispositivos.
Como monitorar alterações dos arquivos de configuração do switch no 10-Strike Network Monitor Pro
O 10-Strike Network Monitor Pro monitora de forma contínua as alterações da configuração do switch. Na conexão SSH, o programa lê os arquivos running-config, startup-config e vlan.dat e compara com os arquivos de referência obtidos na primeira consulta. Se houver mudança, o programa dispara os alertas configurados (e-mail, Telegram, Slack, SMS e outros).
alt="Configuração do monitoramento de alterações nos arquivos de configuração do switch"
As alterações detectadas podem ser vistas numa janela separada, no modo de comparação "antes e depois", com inclusões, exclusões e edições em cores diferentes.
alt="alterações no arquivo de configuração do switch"
Para ativar o monitoramento das alterações do arquivo de configuração do switch:
- Na janela principal, abra a aba Configurations.
- Inicie a varredura e a busca de switches na rede.
alt="monitoramento de alterações nos arquivos de configuração do switch" - Na primeira varredura de switches, o programa pede uma conta para conectar via SSH. Inclua a conta e clique em OK.
alt="Configuração das entradas SSH para conectar nos switches" - Em seguida, defina os parâmetros da varredura: faixas de endereço IP.
alt="Varredura de uma rede de endereços" - Inicie a varredura e espere ela terminar.
O programa encontra os switches, conecta via SSH, lê os arquivos de configuração e cria verificações para buscar cada um deles periodicamente. Essas verificações aparecem na aba Checks, ao clicar no host com o endereço do switch, à esquerda na árvore.
A aba Configurations mostra um resumo de todos os switches incluídos, com o status da configuração e dados adicionais (número de série, fabricante, modelo).
Você também inclui switches para o monitoramento de alterações por um arquivo de texto com os endereços. E pode criar verificações para switches que já estão na árvore de monitoramento.
Nesta aba você também vê os arquivos de configuração do switch e copia o conteúdo para a área de transferência. Esse recurso não está disponível no modo Operator.
Há outro modo de configurar o monitoramento dos arquivos de configuração do switch — criando uma verificação para cada arquivo:
- Abra a aba Checks na janela principal.
- Selecione o switch na árvore à esquerda.
- Clique no botão Add Check no menu principal.
- Selecione o tipo de verificação Switch Configuration.
- Configure os parâmetros da conexão SSH ou escolha uma conta da lista, se ela já foi criada nas configurações do programa.
- Selecione o perfil de comando adequado para receber os dados do dispositivo. Se nenhum perfil funcionar, crie o seu nas configurações.
- Selecione qual arquivo esta verificação vai consultar (running-config, startup-config, vlan.dat).
- Teste a operação no botão Get the current configuration and compare.
Na mesma janela, você define o arquivo de referência no botão Mark current configuration as reference.
alt="Configuração do monitoramento da configuração do switch"
Crie as verificações dos outros arquivos de configuração do mesmo modo.
Conclusão: a configuração do switch é a sua rede
O switch não é só um dispositivo. É um elemento vivo e dinâmico, cuja configuração define o comportamento de toda a rede.
Mudanças nela não são só "configurações". São ações que afetam processos de negócio, segurança e a reputação da empresa.
Fazer backup dos arquivos startup-config, running-config e vlan.dat é o seu seguro contra erro humano, falha técnica e ameaças cibernéticas.
Monitorar as alterações do switch não é só uma "boa prática". É condição para uma administração profissional da rede.
Não espere a rede falhar.
Mantenha. Monitore. Automatize.
Lembre-se: o melhor modo de restaurar uma rede não é procurar o que quebrou, e sim saber como ela funcionava ontem.