配置备份与变更管理
让每一次配置改动都可追溯、可复核、可回滚。本技能覆盖从自动备份、版本留存、变更审批、预检实施到回滚验证的完整闭环，附各厂商备份/回滚命令与配置 hash 比对脚本。
一、核心原理：可回滚是变更的底线
配置管理的本质是「改之前留一手」：每次变更前有可回退的基线，变更后有可追溯的记录。三条铁律：
- 未验证的备份等于没有备份——必须定期做恢复演练。
- 变更 = 工单 + 预检 + 回滚预案，缺一不可。
- 高危操作双人复核（reload、删除、清空、升级）。
flowchart LR
A[备份采集<br/>定时/事件触发] --> B[版本留存<br/>N版本+异地]
B --> C{恢复演练}
C -->|定期| B
D[变更申请] --> E[审批] --> F[预检<br/>diff/语法校验]
F --> G[变更窗口实施] --> H{验证}
H -->|失败| I[回滚<br/>用最新基线]
H -->|成功| J[归档+新基线]
I --> J
二、参考流程架构
flowchart TB
subgraph 备份层
B1[定时任务/脚本<br/>每日全网采集]
end
subgraph 存储层
S1[主备份库<br/>Git/文件服务器]
S2[异地备份<br/>独立机房]
end
subgraph 变更层
C1[变更工单系统]
C2[审批人]
end
subgraph 设备层
D1[华为设备]
D2[思科设备]
D3[Linux/其他]
end
B1 -->|拉取配置| D1 & D2 & D3
B1 --> S1 --> S2
C1 --> C2 --> C1
C1 -->|下发变更| D1 & D2 & D3
配套 ASCII 版本留存示意：
时间轴 ─────────────────────────────────────►
v1.0 v1.1 v1.2 v1.3(当前)
│ │ │ │
基线 变更A 变更B 变更C
└─ 保留 N 个版本（如 30），超出滚动淘汰；关键版本打 tag 永久保留
三、关键决策表
| 决策项 | 推荐取值 | 依据/常见错误 |
|---|---|---|
| 备份频率（关键设备） | 每日 1 次 + 变更前即时备份 | 出故障时拿到的必须是最近一版 |
| 备份频率（接入设备） | 每周 ≥1 次 | 接入设备量大，全量成本高 |
| 版本留存数 | ≥30 版 / 关键设备 | 便于回溯到更早的稳定版本 |
| 异地存放 | 备份库异地机房，RPO <24h | 主库损坏时仍有可用副本 |
| 恢复演练频率 | 每季度 ≥1 次 | 未演练的备份等于没有 |
| 变更窗口 | 非业务高峰（如凌晨 2:00-4:00） | 避免影响业务，且便于回滚 |
| 回滚触发条件 | 业务异常 > 10 分钟 或 核心指标跌破阈值 | 提前约定，避免犹豫 |
| 回滚目标时长 | ≤15 分钟 | 用脚本/预存基线缩短时间 |
| 高危操作 | reload/删除/清空 双人复核 | 单人误操作是头号事故源 |
四、分步 SOP
- 建立备份覆盖清单：全设备（路由器/交换机/防火墙/负载均衡）登记，无遗漏。
- 部署自动备份：定时任务（cron）拉取配置，变更前触发即时备份。
- 版本留存与异地：本地留存 N 版，同步到异地库，做 hash 校验。
- 恢复演练：每季度抽 1~2 台，用备份做恢复验证，记录耗时与结论。
- 变更流程：提交工单 → 审批 → 预检（diff/语法）→ 窗口实施 → 验证 → 归档。
- 回滚预案：每次变更写明回滚步骤、触发条件、责任人、预计耗时。
- 高危复核：reload/删除/清空类操作双人复核并留存记录。
五、真实配置/命令示例
华为 VRP 备份与回滚
# 查看当前配置并备份到文件服务器
display current-configuration
save configuration to tftp 10.10.10.10 backup-huawei-20261013.cfg
# 或通过 FTP/SFTP
sftp 10.10.10.10
get vrpcfg.zip backup-huawei-20261013.cfg
# 回滚：加载配置文件
rollback configuration to file backup-huawei-20261013.cfg
思科 IOS-XE 备份与回滚
# 查看运行配置
show running-config
# 备份到 TFTP/SCP
copy running-config tftp://10.10.10.10/backup-cisco-20261013.cfg
copy running-config scp://user@10.10.10.10/backup-cisco-20261013.cfg
# 回滚：从备份恢复
copy tftp://10.10.10.10/backup-cisco-20261013.cfg running-config
# 配置归档（自动版本管理）
archive
path tftp://10.10.10.10/$h-$t
write-memory
time-period 1440
思科 NX-OS checkpoint/rollback
checkpoint file my-checkpoint
rollback running-config checkpoint my-checkpoint
配置 diff 比对
# Linux 侧比对两次备份，快速看出变更点
diff <(grep -v '^!' backup-v1.cfg | sort) <(grep -v '^!' backup-v2.cfg | sort)
# 计算 hash 快速判断是否变化
md5sum backup-v1.cfg backup-v2.cfg
六、验证方法
| 检查项 | 达标阈值 | 命令/方式 |
|---|---|---|
| 备份完整性 | 备份文件与设备 running-config 一致 | md5sum 比对 + show running-config |
| 版本可追溯 | 能回溯到任意历史版本 | 版本库 git log / 文件列表 |
| 恢复演练 | 恢复成功率 100%，耗时 ≤ 目标 | 演练记录 |
| 变更合规 | 每次变更都有工单+审批+回滚预案 | 工单系统 |
| 回滚能力 | 回滚 ≤15 分钟 | 演练/实测 |
| 异地可用 | 异地库 RPO <24h | 同步日志 |
七、常见故障排查表
| 现象 | 根因方向 | 首要动作 |
|---|---|---|
| 备份文件为空/不全 | 采集失败、权限不足、超时 | 查采集日志，手动 show running-config 核对 |
| 恢复后设备异常 | 备份版本不匹配/缺部分 | 用更早版本，核对设备型号与软件版本 |
| 回滚失败 | 回滚命令不对/依赖缺失 | 演练中暴露，改用 checkpoint/rollback |
| 变更后业务异常 | 变更引入配置错误 | 立即回滚到变更前基线 |
| hash 不一致 | 文件损坏/传输错误 | 重新拉取，校验 md5 |
| 异地同步失败 | 网络/权限/磁盘满 | 查同步任务日志与存储空间 |
八、输出规范
交付时应产出：备份覆盖清单（设备/型号/方式/频率）、版本留存策略、恢复演练记录、变更工单模板（含回滚预案）、配置演进台账（hash/diff）、高危操作复核记录。
九、边界与风险
- 备份文件含敏感信息（密码、密钥），需加密存储与访问控制。
- 回滚到旧版本可能引入已修复问题的回归，需人工确认版本合适性。
- 命令因厂商/版本而异，实施前务必在演练环境验证。
- 不承诺「自动备份 100% 无遗漏」，需定期审计覆盖率。
配套资源
- 备份/回滚命令手册：
references/backup-restore-commands.md - 变更流程与案例库：
references/change-management.md - 数据基线：
assets/change-record-template.csv - 变更工单模板：
assets/change-ticket-template.txt - 脚本：
scripts/config_hash_comparer.py（配置 hash 比对） - 配套检查清单：《配置备份与变更管理清单》
