Comparar versões da configuração

01Como ler um diff

Linhas que começam com - estavam na versão antiga e saíram; linhas com + entraram na nova. O resto é contexto. Um exemplo num MikroTik, em que o IP de saída do NAT foi trocado:

/ip firewall nat
-add action=src-nat chain=srcnat out-interface=sfp1 to-addresses=203.0.113.10
+add action=src-nat chain=srcnat out-interface=sfp1 to-addresses=203.0.113.20

Uma linha alterada aparece como uma remoção seguida de uma inclusão.

02Usar no incidente

"Os clientes do bairro X caíram às 14h." O roteiro:

1. abra o histórico dos equipamentos daquela região;
2. compare a última versão antes das 14h com a primeira depois;
3. se apareceu uma mudança no horário, ela é a primeira suspeita;
4. se a mudança foi o problema, desfaça só aquele trecho (restauração parcial).

Quando não há mudança de configuração no período, isso também é informação: a causa provavelmente é física, de energia ou externa, e a equipe para de procurar no lugar errado.

03Ruído: linhas que mudam sozinhas

Alguns equipamentos colocam na saída a data e hora da coleta, contadores ou mensagens passageiras. Se isso ficar no arquivo, toda coleta parece uma mudança, e as mudanças reais se perdem no meio.

Exemplos que os modelos do Nexus removem antes de gravar:

Se você monta sua própria coleta, filtre essas linhas antes de comparar.

04O que, quando e quem

O histórico de backup responde o que mudou e entre quais coletas. Ele não sabe quem fez a mudança. Para isso:

• use autenticação centralizada (TACACS+ ou RADIUS) com registro de comandos;
• no Juniper, show system commit lista quem fez cada commit e quando;
• no MikroTik, /system history print mostra as últimas ações e o usuário. O Nexus grava esse histórico como comentário em cada backup de RouterOS;
• dê a cada pessoa um usuário próprio nos equipamentos, sem login compartilhado.

05Revisar mudanças planejadas

Depois de uma janela de manutenção, rode um backup e compare com o anterior. O diff deve conter só o que estava planejado. Qualquer linha a mais é um erro de digitação, um comando no equipamento errado ou algo que ninguém documentou, e é melhor descobrir na hora do que no próximo incidente.