En cualquier red corporativa, los switches son más que «cajas con puertos». Son nodos críticos que determinan la topología, la seguridad, el rendimiento y la disponibilidad de toda la infraestructura. Sus configuraciones son el «genoma» preciso de la red: VLANs, ACLs, puertos, STP, QoS, ajustes de trunk, enrutamiento inter-VLAN y mucho más.
¿Pero qué ocurre cuando cambia uno de esos ajustes? Por accidente, por error o por una acción maliciosa?
Un solo comando incorrecto puede detener un departamento entero, interrumpir VoIP, romper túneles o crear una superficie de ataque.
Por eso, el monitoreo de cambios en la configuración de switches y la copia de seguridad sistemática de los archivos startup-config, running-config y vlan.dat no es una práctica opcional, sino un requisito obligatorio para un entorno de operación de TI robusto.
¿Por qué es importante monitorear los cambios de configuración de switches?
1. Rollback rápido ante un error
La configuración running-config es la que el switch usa ahora mismo. Puede cambiarse en cualquier momento por CLI, interfaz web o un script automatizado.
Pero si el administrador eliminó por accidente la VLAN 10, deshabilitó el puerto del servidor o configuró el trunk equivocado, la red dejará de funcionar y no podrá restaurar el estado anterior sin una copia de seguridad.
Ejemplo: El administrador introduce el comando no vlan 50 sin notar que un servidor crítico corre en esa VLAN. El fallo se detecta 10 minutos después. Sin copia de seguridad, hay que restaurar los ajustes a mano, dedicando horas a revisar cada puerto. Con una copia de seguridad, podría copiar el archivo tftp://server/backup-config.txt a running-config y la red volvería a funcionar como antes.
2. Prevenir Configuration Drift
Con el tiempo se acumulan cambios «no oficiales» en la red: alguien hizo un ajuste en un switch de prueba, olvidó guardarlo y luego reinició. Y… todo se perdió.
Otro administrador hizo cambios en otro dispositivo sin conocer los cambios anteriores.
Así aparece el configuration drift: dispositivos del mismo modelo se comportan de forma distinta y la documentación queda desactualizada.
El monitoreo de cambios de configuración de switches le permite:
- Comparar la configuración actual con la línea base.
- Recibir notificaciones sobre cualquier diferencia.
- Registrar automáticamente quién, cuándo y qué se cambió.
3. Auditoría, seguridad y cumplimiento
ISO 27001, PCI DSS, NIST y otros estándares exigen el monitoreo de cambios de infraestructura.
Si durante una auditoría no puede demostrar:
- quién hizo los cambios de configuración
- cuándo se hicieron
- si estaban aprobados
corre el riesgo de un incumplimiento, una multa o la pérdida de la certificación.
Cuando guarda periódicamente archivos de configuración con marcas de tiempo e identificación de usuario, eso será su «archivo de log» de cambios, que puede salvarlo ante un incidente.
4. Recuperación ante fallo de hardware
Un switch puede fallar por un corte de energía, sobrecalentamiento, fallo de hardware o incluso un ciberataque (por ejemplo, ransomware que ataca dispositivos de red).
Si tiene una copia actualizada de startup-config, puede instalar un switch nuevo, cargar la configuración y restaurar la red a un estado operativo en unos 15 minutos.
Sin ella, restaura todo a mano, dedicando horas a consultar diagramas desactualizados o a recordar qué puertos estaban en qué VLAN.
¿Por qué startup-config, running-config y vlan.dat?
- running-config
La configuración activa actual, en memoria. Es lo que realmente afecta a la red ahora. Sin ella, no sabe qué hay configurado realmente. - startup-config
La configuración que se carga al reiniciar el dispositivo. Si no guarda running-config en startup-config, todos los cambios se perderán al reiniciar. Una copia de startup-config es su versión «última guardada de forma garantizada». - vlan.dat
La base de datos de VLAN (incluidos nombres, IDs y estado) en switches Cisco y compatibles. ¡Este archivo no se copia al copiar running-config a startup-config! Si lo pierde, todas las VLANs desaparecerán tras el reinicio, aunque la configuración parezca intacta.
Importante: Muchos administradores olvidan vlan.dat. Es una causa frecuente de fallos «no reproducibles»: el switch se reinicia, las VLANs desaparecen, pero en el archivo de configuración todo parece normal. La razón: se perdió vlan.dat.
¿Cómo organizar una copia de seguridad fiable?
-
Automatización
Use herramientas como:- RANCID (para Cisco, Juniper, etc.)
- 10-Strike Network Monitor Pro (para todos los tipos de dispositivos, con plantillas de comandos)
- Ansible + Netmiko para copias de seguridad por script
- Servidores TFTP/FTP/SFTP para almacenar las copias
- Frecuencia
- running-config — copiar después de cada cambio (o al menos una vez por hora si hay actividad).
- startup-config — copiar después de cada guardado/reinicio exitoso.
- vlan.dat — copiar en cada cambio de VLAN (sobre todo al crear/eliminar).
- Almacenamiento y control de versiones
Guarde las copias con nombres en este formato:
SW01-running-2025-11-14_10-30-00.cfg
Use Git para rastrear los cambios. Así podrá comparar versiones, ver diffs y volver a cualquier punto.
- Notificaciones
Configure alertas para:- cambios en running-config (sin un write memory posterior),
- copia de vlan.dat ausente durante más de 24 horas,
- inconsistencias de configuración entre dispositivos.
Configurar el monitoreo de cambios en archivos de configuración de switches en 10-Strike Network Monitor Pro
10-Strike Network Monitor Pro permite el monitoreo continuo de cambios en la configuración de switches. Al conectarse por SSH, el programa lee los archivos running-config, startup-config y vlan.dat y los compara con los archivos de referencia obtenidos en el primer sondeo. Si detecta cambios, dispara las alertas configuradas (correo, Telegram, Slack, SMS, etc.).
Los cambios detectados pueden verse con rapidez en una ventana aparte en modo de comparación «antes y después», donde las adiciones, eliminaciones y ediciones se resaltan con colores distintos.
Para habilitar el monitoreo de cambios en archivos de configuración de switches, debe:
- En la ventana principal del programa, ir a la pestaña Configurations.
- Iniciar el escaneo y la búsqueda de switches en la red.
- Si escanea switches por primera vez, el programa le pedirá configurar una cuenta para conectarse a los switches por SSH. Agréguela y haga clic en OK.
- A continuación, configure los parámetros de escaneo de red: rangos de direcciones IP.
- Inicie el escaneo y espere a que termine.
El programa encuentra switches, se conecta a ellos por SSH y lee los archivos de configuración, creando comprobaciones para recuperar periódicamente cada uno. Esas comprobaciones pueden verse en la pestaña Checks haciendo clic a la izquierda, en el árbol, en el host con la dirección del switch.
La pestaña Configurations muestra información resumida de todos los switches agregados, incluido su estado de configuración e información adicional (número de serie, fabricante, modelo).
Puede agregar switches para el monitoreo de cambios de configuración mediante un archivo de texto sencillo con sus direcciones. También puede crear comprobaciones para switches que ya están en el árbol de monitoreo.
En esta pestaña también puede ver los archivos de configuración de switches y copiar su contenido al portapapeles. Esta función no está disponible en el modo Operator.
Hay otra forma de configurar el monitoreo de archivos de configuración de switches: creando comprobaciones para cada archivo:
- Abra la pestaña Checks en la ventana principal.
- Seleccione el switch en el árbol de la izquierda.
- Haga clic en el botón Add Check del menú principal.
- Seleccione el tipo de comprobación Switch Configuration.
- Configure los parámetros de conexión SSH o seleccione una cuenta de la lista si ya se creó una en la configuración del programa.
- Seleccione el perfil de comandos adecuado para obtener datos del dispositivo. Si ninguno de los perfiles funciona, debe crear el suyo en la configuración.
- Seleccione qué archivo de configuración consultará esta comprobación (running-config, startup-config, vlan.dat).
- Pruebe el funcionamiento haciendo clic en el botón Get the current configuration and compare.
En la misma ventana puede establecer un archivo de configuración de referencia haciendo clic en el botón Mark current configuration as reference.
Cree del mismo modo las comprobaciones para el resto de archivos de configuración.
Conclusión: la configuración del switch es su red
Un switch no es solo un dispositivo. Es un elemento vivo y dinámico cuya configuración determina el comportamiento de toda la red.
Los cambios en ella no son solo «ajustes». Son acciones que afectan a los procesos de negocio, la seguridad y la reputación de la empresa.
Hacer copias de seguridad de los archivos startup-config, running-config y vlan.dat es su seguro frente al error humano, el fallo técnico y las ciberamenazas.
Monitorear los cambios del switch no es solo una «buena práctica». Es un requisito previo para una gestión profesional de la red.
No espere a que la red falle.
Mantenga. Monitoree. Automatice.
Recuerde: la mejor forma de restaurar una red no es buscar qué se rompió, sino saber cómo funcionaba ayer.