Boas práticas de backup em provedor

01O que precisa de backup

A pergunta certa é: se este equipamento sumir agora, quantos clientes ficam sem acesso e quanto tempo leva para reconfigurar? Em provedor, a lista costuma ser:

• Concentradores PPPoE e BNG: autenticação, pools, perfis de velocidade.
• Roteadores de borda: sessões BGP, filtros, prefixos anunciados.
• CGNAT: regras e faixas de portas, que você precisa para responder a ofícios judiciais.
• OLTs: perfis e o cadastro de cada ONU. É o equipamento mais trabalhoso de refazer à mão.
• Switches de agregação e transporte: VLANs e trunks.
• Firewalls e rádios de backhaul.

Mantenha um inventário (nome, IP, fabricante, modelo, função) e use ele como lista do backup. Equipamento novo que entra na rede sem entrar no inventário é o primeiro a faltar quando der problema.

02Frequência

Uma coleta por dia, de madrugada, é o mínimo. Além dela:

• rode um backup manual antes de uma mudança planejada e outro depois;
• guarde uma versão nova só quando a configuração mudar. Guardar o mesmo arquivo todo dia só ocupa espaço e esconde as mudanças reais no meio de cópias iguais.

03Texto e histórico

Prefira o backup em texto (show running-config, display current-configuration, /export) aos formatos binários. Texto se lê, se pesquisa e se compara. Binário só se restaura inteiro.

Guarde as versões em histórico, não sobrescrevendo um arquivo. Com histórico, a pergunta "o que mudou entre ontem e hoje?" tem resposta em segundos (veja Comparar versões da configuração).

04Onde guardar

Adapte a regra 3-2-1: três cópias, em dois lugares diferentes, uma delas fora do seu ambiente.

O servidor de backup não deve ficar no mesmo equipamento ou na mesma máquina física que ele protege.

05Credenciais e segredos

• crie em cada equipamento um usuário só para o backup, com permissão de leitura e, quando possível, aceito só a partir do IP do servidor;
• guarde as senhas desses usuários cifradas no servidor de backup, nunca em planilha;
• decida se o backup guarda os segredos da configuração (senhas de PPPoE, chaves, communities). Com eles, a restauração é completa; sem eles, o arquivo é mais seguro, mas a restauração exige redigitar senhas;
• restrinja quem acessa o servidor de backup: ele tem a configuração da rede inteira.

Exemplo de usuário mínimo em MikroTik: usuário só para o backup.

06Saber quando falha

O pior backup é o que parou de funcionar há três meses sem ninguém perceber. Senha trocada, IP mudado, equipamento substituído: tudo isso quebra a coleta em silêncio.

• acompanhe, todo dia, a lista de equipamentos cuja última coleta falhou;
• confira a data do último backup bom de cada equipamento, não só se a rotina rodou;
• quando um equipamento for trocado, atualize o cadastro do backup no mesmo dia.

07Por quanto tempo guardar

Como só se grava uma versão nova quando há mudança, o histórico em texto ocupa pouco: dá para guardar anos. Para as cópias externas, mantenha pelo menos alguns meses, o suficiente para cobrir um problema que demore a ser notado.

Para CGNAT, alinhe a retenção com o que o provedor precisa para responder a pedidos de identificação de usuários; o Marco Civil da Internet exige guardar registros de conexão por um ano.

08Testar a restauração

Escolha um equipamento por trimestre e restaure o backup num equipamento de laboratório ou numa janela de manutenção. O teste mostra o que falta: uma senha que não estava no arquivo, um comando que não volta na mesma versão, uma etapa que ninguém documentou.

O roteiro está em Como restaurar a configuração a partir do backup.

09Checklist

1. Inventário com todos os equipamentos que fazem a rede funcionar.
2. Usuário de backup com acesso mínimo em cada equipamento.
3. Coleta automática diária e manual antes e depois de mudanças.
4. Histórico de versões em texto, com comparação entre datas.
5. Cópia fora do servidor (nuvem ou outro site).
6. Alerta de falha de coleta acompanhado todo dia.
7. Teste de restauração pelo menos uma vez por trimestre.