In jedem Unternehmensnetzwerk sind Switches mehr als nur „Kästen mit Ports“. Sie sind kritische Knoten, die Topologie, Sicherheit, Leistung und Verfügbarkeit der gesamten Infrastruktur bestimmen. Ihre Konfigurationen sind das präzise „Genom“ des Netzwerks: VLANs, ACLs, Ports, STP, QoS, Trunk-Einstellungen, Inter-VLAN-Routing und vieles mehr.
Was aber geschieht, wenn eine dieser Einstellungen geändert wird? Versehentlich, durch Fehler oder durch böswillige Aktion?
Ein einziger falscher Befehlseintrag kann eine ganze Abteilung lahmlegen, VoIP stören, Tunnel unterbrechen oder eine Angriffsfläche schaffen.
Deshalb ist die Überwachung von Änderungen an der Switch-Konfiguration und die systematische Sicherung der Dateien startup-config, running-config und vlan.dat keine optionale Praxis, sondern eine zwingende Anforderung für eine robuste IT-Betriebsumgebung.
Warum ist die Überwachung von Änderungen an der Switch-Konfiguration wichtig?
1. Schnelles Rollback bei Fehlern
Die running-config-Konfiguration ist das, was der Switch gerade jetzt verwendet. Sie kann jederzeit über CLI, Weboberfläche oder ein automatisiertes Skript geändert werden.
Wenn der Administrator jedoch versehentlich VLAN 10 gelöscht, den Port mit dem Server deaktiviert oder den falschen Trunk konfiguriert hat, funktioniert das Netzwerk nicht mehr – und ohne Backup können Sie den vorherigen Zustand nicht wiederherstellen.
Beispiel: Der Administrator gibt den Befehl no vlan 50 ein, ohne zu bemerken, dass ein kritischer Server in diesem VLAN läuft. Ein Ausfall wird 10 Minuten später entdeckt. Ohne Backup müssen die Einstellungen manuell wiederhergestellt werden – Stunden mit der erneuten Prüfung jedes Ports. Mit einem Backup könnte er die Datei tftp://server/backup-config.txt in die running-config kopieren, und das Netzwerk würde wieder wie zuvor funktionieren.
2. Configuration Drift verhindern
Im Laufe der Zeit sammeln sich „inoffizielle“ Änderungen im Netzwerk an: Jemand hat eine Einstellung auf einem Test-Switch vorgenommen, vergessen zu speichern und dann neu gestartet. Und… alles war weg.
Ein anderer Administrator hat Änderungen an einem anderen Gerät vorgenommen, ohne von den vorherigen Änderungen zu wissen.
So entsteht Configuration Drift: Geräte desselben Modells verhalten sich unterschiedlich, und die Dokumentation ist veraltet.
Die Überwachung von Änderungen an der Switch-Konfiguration ermöglicht Ihnen:
- Die aktuelle Konfiguration mit der Baseline zu vergleichen.
- Benachrichtigungen über alle Abweichungen zu erhalten.
- Automatisch festzuhalten, wer, wann und was geändert wurde.
3. Audit, Sicherheit und Compliance
ISO 27001, PCI DSS, NIST und andere Standards verlangen die Überwachung von Infrastrukturänderungen.
Wenn Sie bei einem Audit nicht zeigen können:
- wer die Konfigurationsänderungen vorgenommen hat
- wann sie vorgenommen wurden
- ob sie genehmigt wurden
riskieren Sie Nichtkonformität, Bußgelder oder den Verlust der Zertifizierung.
Wenn Sie Konfigurationsdateien regelmäßig mit Zeitstempeln und Benutzeridentifikation speichern, wird dies Ihr „Protokoll“ der Änderungen – das Sie im Incident-Fall retten kann.
4. Wiederherstellung nach Hardwareausfall
Ein Switch kann durch Stromausfall, Überhitzung, Hardwarestörung oder sogar einen Cyberangriff (z. B. Ransomware auf Netzwerkgeräte) ausfallen.
Wenn Sie eine aktuelle Kopie der startup-config haben, können Sie einen neuen Switch installieren, die Konfiguration laden und das Netzwerk in nur 15 Minuten wieder in einen funktionsfähigen Zustand bringen.
Ohne sie stellen Sie alles manuell wieder her – Stunden mit veralteten Diagrammen oder dem Versuch, sich zu erinnern, welche Ports in welchem VLAN waren.
Warum startup-config, running-config und vlan.dat?
- running-config
Die derzeit aktive Konfiguration im Speicher. Das ist das, was das Netzwerk jetzt tatsächlich beeinflusst. Ohne sie wissen Sie nicht, was wirklich konfiguriert ist. - startup-config
Die Konfiguration, die beim Neustart des Geräts geladen wird. Wenn Sie die running-config nicht in die startup-config speichern, gehen alle Änderungen beim Neustart verloren. Eine Kopie der startup-config ist Ihre „zuletzt garantiert gespeicherte“ Version. - vlan.dat
Die VLAN-Datenbank (einschließlich Namen, IDs und Status) auf Cisco- und kompatiblen Switches. Diese Datei wird nicht kopiert, wenn Sie running-config nach startup-config kopieren! Wenn Sie sie verlieren, verschwinden nach dem Neustart alle VLANs – auch wenn die Konfiguration intakt erscheint.
Wichtig: Viele Administratoren vergessen vlan.dat. Das ist eine häufige Ursache „nicht reproduzierbarer“ Ausfälle: Der Switch startet neu, die VLANs verschwinden, aber in der Konfigurationsdatei scheint alles normal. Der Grund: vlan.dat ist verloren gegangen.
Wie organisiert man ein zuverlässiges Backup?
-
Automatisierung
Verwenden Sie Tools wie:- RANCID (für Cisco, Juniper usw.)
- 10-Strike Network Monitor Pro (für alle Gerätetypen, Befehlsvorlagen unterstützt)
- Ansible + Netmiko für skriptbasierte Backups
- TFTP-/FTP-/SFTP-Server zur Speicherung von Backups
- Häufigkeit
- running-config – nach jeder Änderung kopieren (oder mindestens einmal pro Stunde bei aktiver Nutzung).
- startup-config – nach jedem erfolgreichen Speichern/Neustart kopieren.
- vlan.dat – bei jeder VLAN-Änderung kopieren (besonders beim Erstellen/Löschen).
- Versionsspeicher und Kontrolle
Speichern Sie Kopien mit Namen im folgenden Format:
SW01-running-2025-11-14_10-30-00.cfg
Verwenden Sie Git zur Nachverfolgung von Änderungen. So können Sie Versionen vergleichen, Diffs sehen und zu jedem Punkt zurückkehren.
- Benachrichtigungen
Konfigurieren Sie Alarme für:- Änderungen an der running-config (ohne anschließendes write memory),
- fehlende vlan.dat-Kopie seit mehr als 24 Stunden,
- Konfigurationsinkonsistenzen zwischen Geräten.
Überwachung von Änderungen an Switch-Konfigurationsdateien in 10-Strike Network Monitor Pro einrichten
10-Strike Network Monitor Pro ermöglicht die kontinuierliche Überwachung von Änderungen an der Switch-Konfiguration. Bei Verbindung über SSH liest das Programm die Dateien running-config, startup-config und vlan.dat und vergleicht sie mit den Referenzdateien aus der ersten Abfrage. Werden Änderungen erkannt, löst das Programm konfigurierte Alarme aus (E-Mail, Telegram, Slack, SMS usw.).
Erkannte Änderungen können schnell in einem separaten Fenster im Vergleichsmodus „vorher und nachher“ angezeigt werden, in dem Ergänzungen, Löschungen und Bearbeitungen farblich hervorgehoben sind.
Um die Überwachung von Änderungen an Switch-Konfigurationsdateien zu aktivieren, müssen Sie:
- Im Hauptfenster des Programms zur Registerkarte Konfigurationen wechseln.
- Den Scan und die Suche nach Switches im Netzwerk starten.
- Wenn Sie zum ersten Mal nach Switches scannen, fordert das Programm Sie auf, ein Konto für die Verbindung zu den Switches über SSH festzulegen. Fügen Sie es hinzu und klicken Sie auf OK.
- Legen Sie als Nächstes die Netzwerkscan-Parameter fest: IP-Adressbereiche.
- Starten Sie den Scan und warten Sie auf den Abschluss.
Das Programm findet Switches, verbindet sich über SSH mit ihnen und liest Konfigurationsdateien; dabei werden Prüfungen zum periodischen Abruf jeder Datei erstellt. Diese Prüfungen können Sie auf der Registerkarte Prüfungen anzeigen, indem Sie links im Baum auf den Host mit der Switch-Adresse klicken.
Die Registerkarte Konfigurationen zeigt Zusammenfassungsinformationen für alle hinzugefügten Switches, einschließlich ihres Konfigurationsstatus und zusätzlicher Informationen (Seriennummer, Hersteller, Modell).
Sie können Switches zur Überwachung von Konfigurationsänderungen über eine einfache Textdatei hinzufügen, in der ihre Adressen aufgeführt sind. Sie können auch Prüfungen für Switches erstellen, die bereits im Überwachungsbaum vorhanden sind.
In dieser Registerkarte können Sie auch Switch-Konfigurationsdateien anzeigen und deren Inhalt in die Zwischenablage kopieren. Diese Funktion ist im Modus Operator nicht verfügbar.
Es gibt eine weitere Möglichkeit, die Überwachung von Switch-Konfigurationsdateien einzurichten – durch Erstellen von Prüfungen für jede Datei:
- Öffnen Sie die Registerkarte Prüfungen im Hauptfenster.
- Wählen Sie den Switch im Baum links aus.
- Klicken Sie auf die Schaltfläche Prüfung hinzufügen im Hauptmenü.
- Wählen Sie den Prüfungstyp Switch-Konfiguration.
- Konfigurieren Sie die SSH-Verbindungsparameter oder wählen Sie ein Konto aus der Liste, falls zuvor in den Programmeinstellungen eines erstellt wurde.
- Wählen Sie das passende Befehlsprofil zum Empfangen von Daten vom Gerät. Wenn keines der Profile funktioniert, müssen Sie in den Einstellungen ein eigenes erstellen.
- Wählen Sie, welche Konfigurationsdatei diese Prüfung abfragen soll (running-config, startup-config, vlan.dat).
- Testen Sie den Betrieb, indem Sie auf die Schaltfläche Aktuelle Konfiguration abrufen und vergleichen klicken.
Im selben Fenster können Sie eine Referenz-Konfigurationsdatei festlegen, indem Sie auf die Schaltfläche Aktuelle Konfiguration als Referenz markieren klicken.
Erstellen Sie auf dieselbe Weise Prüfungen für die übrigen Konfigurationsdateien.
Fazit: Die Switch-Konfiguration ist Ihr Netzwerk
Ein Switch ist nicht nur ein Gerät. Er ist ein lebendiges, dynamisches Element, dessen Konfiguration das Verhalten des gesamten Netzwerks bestimmt.
Änderungen daran sind nicht nur „Einstellungen“. Es sind Handlungen, die Geschäftsprozesse, Sicherheit und den Ruf des Unternehmens beeinflussen.
Backups der Dateien startup-config, running-config und vlan.dat sind Ihre Versicherung gegen menschliche Fehler, technische Ausfälle und Cyberbedrohungen.
Die Überwachung von Switch-Änderungen ist nicht nur eine „gute Praxis“. Sie ist Voraussetzung für professionelles Netzwerkmanagement.
Warten Sie nicht, bis das Netzwerk ausfällt.
Warten. Überwachen. Automatisieren.
Denken Sie daran: Der beste Weg, ein Netzwerk wiederherzustellen, ist nicht zu suchen, was kaputtging – sondern zu wissen, wie es gestern funktioniert hat.