Dans un réseau d'entreprise, les commutateurs ne sont pas de simples « boîtiers à ports ». Ce sont des nœuds critiques qui déterminent la topologie, la sécurité, les performances et la disponibilité de toute l'infrastructure. Leurs configurations sont le « génome » précis du réseau : VLAN, ACL, ports, STP, QoS, paramètres de trunk, routage inter-VLAN, et bien plus.
Que se passe-t-il lorsqu'un de ces paramètres change ? Par accident, par erreur ou à la suite d'un acte malveillant ?
Une seule commande incorrecte peut arrêter tout un service, perturber la VoIP, couper des tunnels ou ouvrir une surface d'attaque.
C'est pourquoi la surveillance des modifications de configuration des commutateurs et la sauvegarde systématique des fichiers startup-config, running-config et vlan.dat ne sont pas une pratique facultative, mais une exigence pour un environnement d'exploitation informatique solide.
Pourquoi surveiller les modifications de configuration des commutateurs ?
1. Retour arrière rapide en cas d'erreur
La configuration running-config est celle que le commutateur utilise en ce moment. Elle peut être modifiée à tout moment via la CLI, l'interface web ou un script automatisé.
Mais si l'administrateur supprime par erreur le VLAN 10, désactive le port du serveur ou configure le mauvais trunk, le réseau s'arrête, et vous ne pourrez pas revenir à l'état précédent sans sauvegarde.
Exemple : l'administrateur saisit la commande no vlan 50 sans remarquer qu'un serveur critique se trouve sur ce VLAN. La panne est détectée 10 minutes plus tard. Sans sauvegarde, il faut restaurer les paramètres à la main, en revérifiant chaque port pendant des heures. Avec une sauvegarde, il suffit de copier le fichier tftp://server/backup-config.txt vers running-config, et le réseau fonctionne comme avant.
2. Prévenir la dérive de configuration
Avec le temps, des modifications « officieuses » s'accumulent : quelqu'un a réglé un commutateur de test, a oublié d'enregistrer, puis l'a redémarré. Et tout a disparu.
Un autre administrateur a modifié un autre équipement, sans connaître les changements précédents.
C'est ainsi qu'apparaît la dérive de configuration : des équipements du même modèle se comportent différemment, et la documentation n'est plus à jour.
La surveillance des modifications de configuration des commutateurs vous permet de :
- Comparer la configuration actuelle à la référence.
- Recevoir une notification de toute différence.
- Enregistrer automatiquement qui a modifié quoi, et quand.
3. Audit, sécurité et conformité
ISO 27001, PCI DSS, NIST et d'autres référentiels exigent la surveillance des modifications d'infrastructure.
Si, lors d'un audit, vous ne pouvez pas montrer :
- qui a modifié la configuration
- quand les modifications ont été faites
- si elles ont été approuvées
Vous risquez une non-conformité, une amende ou la perte d'une certification.
En enregistrant régulièrement les fichiers de configuration avec un horodatage et l'identification de l'utilisateur, vous constituez un « journal » des modifications, qui peut vous être utile en cas d'incident.
4. Reprise après une panne matérielle
Un commutateur peut tomber à cause d'une coupure d'alimentation, d'une surchauffe, d'une défaillance matérielle ou même d'une cyberattaque (par exemple un rançongiciel visant les équipements réseau).
Si vous disposez d'une copie à jour de startup-config, vous pouvez installer un nouveau commutateur, charger la configuration et rétablir le réseau en 15 minutes.
Sans elle, vous restaurez tout à la main, en passant des heures sur des schémas périmés ou en essayant de vous souvenir de quels ports appartenaient à quel VLAN.
Pourquoi startup-config, running-config et vlan.dat ?
- running-config
Configuration active, en mémoire. C'est elle qui agit réellement sur le réseau maintenant. Sans elle, vous ne savez pas ce qui est vraiment configuré. - startup-config
Configuration chargée au redémarrage de l'équipement. Si vous n'enregistrez pas running-config dans startup-config, toutes les modifications sont perdues au redémarrage. Une copie de startup-config est votre « dernière version garantie ». - vlan.dat
Base de données des VLAN (noms, identifiants et état) sur les commutateurs Cisco et compatibles. Ce fichier n'est pas copié lorsque vous copiez running-config vers startup-config. Si vous le perdez, tous les VLAN disparaissent après redémarrage, même si le fichier de configuration semble intact.
Important : beaucoup d'administrateurs oublient vlan.dat. C'est une cause fréquente de pannes « non reproductibles » : le commutateur redémarre, les VLAN disparaissent, mais le fichier de configuration semble normal. C'est parce que vlan.dat a été perdu.
Comment organiser une sauvegarde fiable ?
-
Automatisation
Utilisez des outils tels que :- RANCID (pour Cisco, Juniper, etc.)
- 10-Strike Network Monitor Pro (pour tous les types d'équipements, avec prise en charge des modèles de commandes)
- Ansible + Netmiko pour des sauvegardes par script
- TFTP/FTP/SFTP servers pour stocker les sauvegardes
- Fréquence
- running-config — copier après chaque modification (ou au moins une fois par heure en cas d'activité).
- startup-config copier après chaque redémarrage correctement enregistré..
- vlan.dat copier à chaque modification de VLAN (en particulier lors d'une création ou d'une suppression).
- Stockage et contrôle des versions
Enregistrez les copies avec des noms au format suivant :
SW01-running-2025-11-14_10-30-00.cfg
Utilisez Git pour suivre les modifications. Vous pourrez comparer les versions, voir les différences et revenir à n'importe quel point.
- Notifications
Configurez des alertes pour :- les modifications de running-config (sans write memory ensuite),
- l'absence de copie de vlan.dat depuis plus de 24 heures,
- les incohérences de configuration entre équipements.
Configurer la surveillance des modifications de fichiers de configuration dans 10-Strike Network Monitor Pro
10-Strike Network Monitor Pro assure une surveillance continue des modifications de configuration des commutateurs. En se connectant en SSH, le programme lit les fichiers running-config, startup-config et vlan.dat et les compare aux fichiers de référence obtenus lors du premier relevé. Si des modifications sont détectées, il déclenche les alertes configurées (e-mail, Telegram, Slack, SMS, etc.).
Les modifications détectées s'affichent rapidement dans une fenêtre séparée, en mode comparaison « avant / après », où les ajouts, les suppressions et les modifications sont mis en évidence par des couleurs différentes.
Pour activer la surveillance des modifications des fichiers de configuration des commutateurs :
- Dans la fenêtre principale, ouvrez l'onglet Configurations.
- Lancez l'analyse et la recherche des commutateurs sur le réseau.
- Si vous analysez les commutateurs pour la première fois, le programme vous demande de définir un compte pour la connexion SSH. Ajoutez-le, puis cliquez sur OK.
- Définissez ensuite les paramètres d'analyse du réseau : plages d'adresses IP.
- Lancez l'analyse et attendez qu'elle se termine.
Le programme trouve les commutateurs, s'y connecte en SSH, lit les fichiers de configuration et crée des contrôles pour les relever périodiquement. Ces contrôles sont visibles dans l'onglet Contrôles, en cliquant sur l'hôte dont l'adresse est celle du commutateur, dans l'arborescence de gauche.
L'onglet Configurations affiche une synthèse de tous les commutateurs ajoutés, avec l'état de leur configuration et des informations complémentaires (numéro de série, fabricant, modèle).
Vous pouvez ajouter des commutateurs à surveiller à partir d'un simple fichier texte listant leurs adresses. Vous pouvez aussi créer des contrôles pour des commutateurs déjà présents dans l'arborescence de supervision.
Dans cet onglet, vous pouvez aussi consulter les fichiers de configuration des commutateurs et en copier le contenu dans le presse-papiers. Cette fonction n'est pas disponible en mode Opérateur.
Il existe une autre façon de configurer cette surveillance : créer un contrôle pour chaque fichier.
- Ouvrez l'onglet Contrôles dans la fenêtre principale.
- Sélectionnez le commutateur dans l'arborescence de gauche.
- Cliquez sur le bouton Ajouter un contrôle dans le menu principal.
- Sélectionnez le type de contrôle Configuration de commutateur.
- Configurez les paramètres de connexion SSH, ou choisissez un compte dans la liste s'il a déjà été créé dans les paramètres du programme.
- Sélectionnez le profil de commandes adapté pour recevoir les données de l'équipement. Si aucun profil ne convient, créez le vôtre dans les paramètres.
- Indiquez le fichier de configuration que ce contrôle interrogera (running-config, startup-config, vlan.dat).
- Testez le fonctionnement en cliquant sur le bouton Obtenir la configuration actuelle et comparer.
Dans cette même fenêtre, vous pouvez définir un fichier de configuration de référence en cliquant sur le bouton Définir la configuration actuelle comme référence.
Créez de la même façon les contrôles pour les autres fichiers de configuration.
Conclusion : la configuration du commutateur, c'est votre réseau
Un commutateur n'est pas un simple équipement. C'est un élément vivant et dynamique, dont la configuration détermine le comportement de tout le réseau.
Les modifications ne sont pas de simples « réglages ». Ce sont des actions qui touchent les processus métier, la sécurité et la réputation de l'entreprise.
Sauvegarder les fichiers startup-config, running-config et vlan.dat, c'est votre assurance contre l'erreur humaine, la panne technique et les cybermenaces.
Surveiller les modifications des commutateurs n'est pas une simple « bonne pratique ». C'est une condition du pilotage professionnel du réseau.
N'attendez pas que le réseau tombe.
Maintenez. Surveillez. Automatisez.
À retenir : le meilleur moyen de rétablir un réseau n'est pas de chercher ce qui a cassé, mais de savoir comment il fonctionnait hier.