Сломавшийся коммутатор сам по себе неприятен, но гораздо хуже обнаружить после замены, что никто не сохранил его конфигурацию. VLAN, адреса интерфейсов, маршруты, списки доступа, настройки портов и десятки других параметров приходится восстанавливать вручную, а часть деталей к этому моменту уже никто не помнит.
У Cisco есть несколько способов сохранить конфигурацию: от обычного копирования файла на сервер до автоматического архива версий. Главное понимать, что именно вы сохраняете, где лежит копия и как ее потом вернуть на устройство. Файл, который ни разу не проверяли на практике, еще не гарантирует быстрого восстановления сети. Давайте разбирать всё по полочкам.
Running-config и startup-config: какую конфигурацию нужно сохранять
В Cisco IOS и IOS XE есть две конфигурации, которые легко перепутать.
| Конфигурация | Что содержит | Что происходит после перезагрузки |
|---|---|---|
running-config
|
Текущие настройки, с которыми устройство работает прямо сейчас | Сама по себе не сохраняется |
startup-config
|
Конфигурация, предназначенная для следующей загрузки | Используется при запуске устройства |
Текущая конфигурация хранится в оперативной памяти. Посмотреть ее можно командой:
show running-configКонфигурацию для следующей загрузки можно посмотреть так:
show startup-config
Если администратор изменил настройки, но не сохранил их, running-config и startup-config будут различаться. После перезагрузки несохраненные изменения пропадут.
Чтобы записать текущую конфигурацию как загрузочную, Cisco в актуальном руководстве по управлению конфигурационными файлами использует команду:
copy system:running-config nvram:startup-configНа практике чаще вводят короткий вариант:
copy running-config startup-config
Cisco поддерживает его как псевдоним. На большинстве платформ startup-config хранится в NVRAM, то есть в энергонезависимой памяти. На некоторых устройствах расположение может определяться переменной CONFIG_FILE, поэтому считать NVRAM единственным возможным местом хранения для всех моделей не стоит.
Для резервного копирования полезно сохранять обе версии. startup-config показывает, что загрузится после перезапуска. running-config содержит фактические настройки на момент создания бэкапа, включая изменения, которые администратор еще не успел сохранить.
Как сохранить конфигурацию Cisco на сервер через SCP или TFTP
Копия на самом устройстве плохо помогает, если вышла из строя его память или пришлось заменить весь коммутатор. Поэтому конфигурацию нужно хранить еще и на отдельном сервере.
Один из самых простых вариантов выглядит так:
copy running-config tftp:Cisco запросит адрес TFTP-сервера и имя файла. Можно сразу указать полный адрес:
copy system:running-config tftp://192.0.2.20/sw-office-01-running.cfgАналогично сохраняется startup-config:
copy nvram:startup-config tftp://192.0.2.20/sw-office-01-startup.cfgTFTP подходит для закрытой служебной сети, но у него нет шифрования и нормальной аутентификации. Передавать через него конфигурации по недоверенной сети не стоит.
Для защищенной передачи лучше использовать SCP, если его поддерживает конкретная версия IOS или IOS XE. Команда копирования строится по тому же принципу:
copy system:running-config scp:или:
copy nvram:startup-config scp:SCP работает поверх SSH и шифрует соединение. Cisco описывает его в отдельном руководстве по Secure Copy.
Команда:
ip scp server enable
нужна в другой ситуации: она включает SCP-сервер на самом устройстве Cisco, чтобы авторизованный клиент мог копировать файлы в файловую систему устройства и из нее. Для этого также должны быть правильно настроены SSH, аутентификация и авторизация AAA. Включать ip scp server enable только ради того, чтобы Cisco сама отправила файл на внешний SCP-сервер, не требуется.
Файлы конфигурации нужно считать чувствительными данными. В них могут находиться учетные записи, хэши и зашифрованные пароли, SNMP-параметры, адреса инфраструктуры, предварительно согласованные ключи VPN и другие сведения, полезные злоумышленнику. Сервер с бэкапами должен иметь ограниченный доступ, а сами копии стоит шифровать при хранении.
После копирования обязательно проверьте, появился ли файл на сервере и имеет ли он ненулевой размер. Еще лучше периодически открывать несколько свежих копий и проверять, что они содержат ожидаемую конфигурацию. Сообщение [OK] после одной команды не заменяет проверки всей системы резервного копирования.
Как настроить автоматические бэкапы Cisco
В IOS и IOS XE есть механизм Configuration Versioning. Он сохраняет последовательные версии running-config в архив. Поддержка конкретных файловых систем зависит от платформы, поэтому перед настройкой стоит проверить документацию своей модели.
Простейший локальный архив можно настроить так:
configure terminal
archive
path bootflash:config-backup
maximum 10
time-period 1440
end
path задает место и начало имени файла. maximum 10 оставляет до десяти версий. Когда лимит заполнится, при создании следующей версии самая старая будет удалена. В актуальной документации IOS XE команда maximum принимает значения от 1 до 14, значение по умолчанию равно 10.
time-period 1440 означает автоматическое сохранение каждые 1440 минут, то есть раз в сутки. Принудительно создать новую версию можно командой:
archive configПосмотреть сохраненные версии:
show archiveПодробное описание механизма есть в руководстве Cisco по Configuration Versioning.
Есть важное ограничение. Архив во внутренней памяти защищает от неудачного изменения конфигурации, но не от выхода устройства из строя. Поэтому локальные версии и внешний бэкап решают разные задачи.
Встроенный механизм archive поддерживает разные локальные и сетевые файловые системы в зависимости от платформы. В общей документации IOS XE среди сетевых вариантов перечислены, в частности, TFTP, FTP и RCP. SCP как универсальный путь для архива там не указан. Поэтому не стоит без проверки копировать из интернета конфигурацию вроде path scp://... и рассчитывать, что она сработает на любом Catalyst или маршрутизаторе.
Если компании нужны автоматические зашифрованные внешние копии, надежнее использовать систему управления сетью или отдельный сервер автоматизации. Он может по расписанию подключаться к устройствам по SSH, получать конфигурацию и складывать версии в защищенное хранилище. Такой подход заодно позволяет сразу следить, какие устройства перестали отдавать бэкап.
Как восстановить Cisco после сбоя или неудачной настройки
Способ восстановления зависит от того, что именно произошло. Если устройство работает, но администратор испортил настройки, перезагрузка иногда возвращает последнюю сохраненную startup-config. Но сначала нужно убедиться, что ошибочная конфигурация еще не была сохранена.
Если нужный файл лежит на TFTP-сервере и его требуется добавить к текущей конфигурации, используется:
copy tftp://192.0.2.20/sw-office-01.cfg system:running-config
Здесь есть важная особенность. Cisco не очищает running-config перед таким копированием. Команды из файла применяются к существующей конфигурации. В результате могут сохраниться настройки, которых в бэкапе вообще нет.
Поэтому загрузка файла в running-config подходит, например, для добавления известного набора команд, но ее нельзя автоматически считать точным восстановлением старого состояния.
Если требуется загрузить сохраненную конфигурацию при следующем старте, файл можно скопировать непосредственно в startup-config:
copy tftp://192.0.2.20/sw-office-01.cfg nvram:startup-config
reload
Для SCP при поддержке устройством используется тот же принцип с источником scp:.
На платформах, поддерживающих Configuration Replace, текущую конфигурацию можно именно заменить сохраненным файлом, а не объединять с ним. Например:
configure replace nvram:startup-configДля автоматического отката при отсутствии подтверждения Cisco также поддерживает вариант с таймером:
configure replace nvram:startup-config time 120После успешной проверки нужно подтвердить изменение:
configure confirmЕсли подтверждение не поступит за заданное время, устройство попытается вернуть прежнюю конфигурацию. Эта возможность особенно полезна при удаленной работе, когда ошибочное изменение IP-адреса, маршрута или списка доступа может отрезать администратору SSH-доступ.
Но configure replace тоже нельзя считать универсальной кнопкой восстановления. Некоторые команды и функции имеют ограничения, а при использовании отдельных PKI-сценариев Cisco указывает специальные условия. Для критичной инфраструктуры процедуру нужно проверить на своей платформе заранее.
Как восстановить конфигурацию после замены устройства
Предположим, старый коммутатор полностью вышел из строя, а на столе лежит новый. Даже при наличии свежего файла не стоит сразу без проверки заливать старую конфигурацию целиком.
Сначала сравните модель и версию IOS или IOS XE. Если замена отличается от исходного устройства, могут измениться названия и количество интерфейсов, поддерживаемые команды, структура стека, особенности лицензирования и доступные функции.
Для максимально похожего устройства восстановление обычно строится так:
- Установите подходящую версию IOS или IOS XE и проверьте ее совместимость с сохраненной конфигурацией.
- Настройте минимальный доступ к новому устройству: например, консоль и временную сетевую связь с сервером бэкапов.
- Скопируйте резервный файл на устройство или прямо в startup-config.
- Проверьте файл и заранее исправьте привязанные к старому оборудованию параметры, если модель отличается.
- Перезагрузите устройство с восстановленной startup-config.
- Проверьте интерфейсы, VLAN, маршрутизацию, списки доступа, протоколы резервирования, SSH и другие используемые функции.
- Создайте новый бэкап уже после успешного восстановления.
Для загрузки файла в startup-config можно использовать, например:
copy tftp://192.0.2.20/sw-office-01-startup.cfg nvram:startup-configПосле перезагрузки устройство попытается применить эту конфигурацию.
Но один startup-config не всегда содержит абсолютно все, что потребуется для полной замены оборудования. В зависимости от платформы и функций отдельно могут храниться другие данные.
- VLAN-база. На некоторых коммутаторах информация VLAN хранится в файле
vlan.dat, а не только в startup-config. - Криптографические материалы. Сертификаты, закрытые ключи и отдельные PKI-данные могут потребовать отдельного переноса или повторного выпуска.
- Образ IOS или IOS XE. Файл конфигурации не содержит прошивку устройства.
- Лицензии. Они могут быть привязаны к учетной записи, платформе или конкретному устройству и не восстанавливаются простым копированием конфигурации.
- Дополнительные файлы. На отдельных платформах используются файлы во flash-памяти, которые не входят в running-config или startup-config.
Поэтому для аварийной замены полезно хранить рядом с конфигурацией еще и модель, серийный номер, версию ПО, список лицензий и сведения о дополнительных файлах. Проверить модель и ПО можно командами:
show inventory
show versionДля коммутатора также пригодятся:
show vlan brief
show interfaces statusТак проще понять, соответствует ли восстановленное устройство состоянию до аварии.
Нормальная схема резервного копирования для небольшой компании
Для нескольких маршрутизаторов и коммутаторов не нужна сложная система, но копировать конфигурацию вручную раз в полгода тоже недостаточно. Рабочая схема может выглядеть так:
| Что делать | Когда | Где хранить |
|---|---|---|
| Сохранять running-config в startup-config | После каждого подтвержденного изменения | На самом устройстве |
| Создавать локальную архивную версию | Перед существенным изменением и автоматически раз в сутки | Во flash/bootflash, если хватает места |
| Экспортировать конфигурацию | Автоматически ежедневно и после крупных изменений | На отдельный защищенный сервер |
| Хранить историю версий | Постоянно с установленным сроком хранения | Во внешнем хранилище |
| Проверять успешность бэкапов | Регулярно | По журналу системы резервного копирования |
| Проверять восстановление | Периодически и после существенной смены платформы | На запасном или лабораторном устройстве |
Имена файлов лучше делать понятными без открытия содержимого, например:
sw-office-01_2026-10-23_running.cfg
rtr-main-01_2026-10-23_startup.cfgПеред изменением сети полезно создавать отдельную копию с датой и назначением изменения. Тогда при проблеме не придется угадывать, какой из десяти файлов считался последним рабочим.
Еще одно правило касается места хранения. Если все бэкапы лежат только во flash-памяти самого коммутатора, при аппаратной поломке они пропадут вместе с ним. Хотя бы одна актуальная версия должна находиться вне устройства. Для действительно важных сетей внешнее хранилище тоже стоит резервировать.
И наконец, бэкап нужно проверять восстановлением. Можно годами исправно складывать файлы на сервер, а во время аварии обнаружить неправильные учетные данные, отсутствующий vlan.dat, несовместимую версию IOS XE или конфигурацию от уже списанного устройства. Небольшая тестовая процедура раз в несколько месяцев дает гораздо больше пользы, чем сотни непроверенных файлов.
Вопросы и ответы
Как сделать резервную копию конфигурации Cisco?
Сначала сохраните текущую конфигурацию командой copy running-config startup-config, затем скопируйте running-config и startup-config на внешний сервер через поддерживаемый протокол, например SCP или TFTP.
Чем running-config отличается от startup-config?
Running-config содержит настройки, с которыми Cisco работает сейчас. Startup-config используется при следующей загрузке. Несохраненные изменения из running-config после перезагрузки пропадут.
Как сохранить running-config в startup-config?
Используйте команду copy running-config startup-config. Полная форма в документации Cisco выглядит как copy system:running-config nvram:startup-config.
Что лучше для бэкапа Cisco: SCP или TFTP?
Для передачи конфигураций по сети предпочтительнее SCP, поскольку он работает через SSH и шифрует соединение. TFTP проще, но не обеспечивает шифрование и аутентификацию, поэтому его стоит ограничивать доверенной служебной сетью.
Можно ли автоматически сохранять конфигурацию Cisco?
Да. В IOS и IOS XE доступен механизм Configuration Versioning с командами archive, path, maximum и time-period. Для защищенных внешних копий можно использовать отдельную систему автоматизации, которая получает конфигурации устройств по расписанию.
Почему нельзя просто скопировать бэкап в running-config?
Команда copy ... running-config добавляет команды из файла к уже работающей конфигурации и не удаляет автоматически все отсутствующие в бэкапе настройки. Поэтому результат может отличаться от сохраненного состояния.
Достаточно ли startup-config для замены сломанного коммутатора Cisco?
Не всегда. В зависимости от модели отдельно могут потребоваться VLAN-база, сертификаты и ключи, подходящая версия IOS или IOS XE, лицензии и дополнительные файлы из flash-памяти. Перед аварией лучше заранее определить полный набор данных для конкретного устройства.
