网络设备配置备份（SSH / Telnet）

用途

批量把交换机、路由器、防火墙的当前配置取回本地归档，用于变更留底、故障回滚、
合规留痕与配置基线对比。

覆盖四类需求：

1. 批量备份 —— 给一份设备清单（CSV/JSON），一次跑完全网设备。
2. 单台快取 —— 临时取某台设备配置，用于排障或改配置前留底。
3. 连通性核查 —— 只探端口可达性，不登录、不落盘。
4. 多厂商适配 —— 华为/H3C/思科/锐捷/中兴/深信服/山石/飞塔/迪普，自动匹配导出命令。

执行完成后必须给出结论性汇总（成功几台、失败几台、失败原因分类、归档在哪），
而不是把原始输出丢给用户。

先决条件

依赖隔离环境已预置（netmiko + paramiko）。运行前确认可导入：

"C:/Users/Administrator/.workbuddy/binaries/python/envs/netbackup/Scripts/python.exe" -c "import netmiko; print(netmiko.__version__)"

若报 ModuleNotFoundError，按 references/setup.md 重建环境。
切勿改用系统 Python 或全局环境安装依赖。

决策流程

按用户意图选择模式。

场景 A：批量备份（最常用）

第一步：准备设备清单（CSV）。首行为表头，大小写不敏感，支持中文表头：

ip,type,username,password,name,group
10.20.1.1,huawei,admin,,core-sw-01,总部机房
10.20.1.2,h3c,admin,,dist-sw-02,总部机房
192.168.10.1,fortigate,admin,,fw-edge-01,边界
172.16.0.1,cisco,admin,,core-rt-01,灾备中心

第二步：准备凭据（JSON）。无人值守定时备份必须用这个，避免密码进命令行历史：

{
  "default":      {"username": "netops",   "password": "xxx", "enable": "xxx"},
  "192.168.10.1": {"username": "admin",    "password": "yyy"},
  "灾备中心":      {"username": "ciscoops", "password": "zzz"}
}

匹配优先级：default < 分组 < IP/名称。清单内已填字段优先于凭据文件。

第三步：执行。

cd "C:/Users/Administrator/.workbuddy/skills/net-device-backup"

# 交互输入密码（人工场景，密码不落盘）
python scripts/net_device_backup.py --file devices.csv --ask-password

# 凭据文件（定时任务、无人值守）
python scripts/net_device_backup.py --file devices.csv --creds creds.json

# 指定归档目录、提高并发、生成 Markdown 报告
python scripts/net_device_backup.py --file devices.csv --creds creds.json \
    -o "D:\NetworkBackup" --workers 16 --report backup-report.md

# 先干跑验证清单与连通性，不实际登录
python scripts/net_device_backup.py --file devices.csv --creds creds.json --dry-run

场景 B：单台设备快取

# 华为交换机，交互输入密码
python scripts/net_device_backup.py -d 10.20.1.1 -t huawei -u admin --ask-password

# 思科，自动识别类型
python scripts/net_device_backup.py -d 172.16.0.1 -t auto -u admin --ask-password

# 指定分组便于归档
python scripts/net_device_backup.py -d 10.20.1.1 -t h3c -u admin -g 总部机房 --ask-password

场景 C：连通性核查（不登录、不落盘）

批量备份前的预检，或排查「为什么某几台备不了」。

python scripts/net_device_backup.py --file devices.csv --probe-only --workers 32

输出每台设备 SSH(22) / Telnet(23) 的可达情况。
这一步把「网络不通」和「认证失败」彻底分开，是排障的关键分界。

场景 D：查看支持的设备类型

python scripts/net_device_backup.py --list-types

关键参数

归档结构

D:\NetworkBackup\
└── 20261026-173000\              # 批次时间戳
    ├── _backup_summary.txt        # 本批次汇总（成功/失败明细）
    ├── 总部机房\                   # group 分组
    │   ├── core-sw-01\
    │   │   ├── running-config.txt      # 主配置（含归档表头）
    │   │   └── device-info.txt         # 版本、接口等附加信息
    │   └── dist-sw-02\
    └── 边界\
        └── fw-edge-01\

按批次分目录的好处：不同时间的配置天然隔离，可直接与上一次 diff 做变更审计。

执行后的报告要求

跑完必须向用户交代以下内容，不能只贴原始输出：

1. 总体结果：成功 / 失败 / 总数，耗时。
2. 失败分类归因（重点）：
   - 端口不可达 → 网络/ACL/设备离线，需查链路
   - 认证失败 → 账号密码问题，注意可能触发登录锁定
   - 已连接但取不到配置 → 命令不适配，需用 -t 补类型或手工确认导出命令
3. 归档路径：告诉用户配置存到哪了。
4. 后续建议：失败设备的具体下一步动作。

常见问题与处理

安全与合规

• 不要把密码写在命令行 -p 参数里（会进 shell 历史与进程列表）。
  优先 --ask-password 或 --creds 文件。
• 凭据文件放在受控目录，勿提交进代码仓库。
• 使用 Telnet（明文传输）时确认已在受控内网，并在报告中提示该风险。
• 备份文件含设备完整配置（可能含密钥/密码哈希），按敏感数据管理，勿随意外发。

参考文档

• references/setup.md —— 环境依赖安装与常见坑
• references/troubleshooting.md —— 厂商专项排障、算法协商、特殊设备处理
• references/device-types.md —— 全设备类型命令对照表

自检

改动脚本后跑自测，确保核心逻辑未被破坏：

python scripts/selftest.py

覆盖清单解析、凭据合并、协议选择、回显清理、完整备份流程、失败场景、报告生成。