Comparar versiones de la configuración

01Cómo leer un diff

Las líneas que empiezan con - estaban en la versión anterior y salieron; las líneas con + entraron en la nueva. El resto es contexto. Un ejemplo en un MikroTik en el que se cambió la IP de salida del NAT:

/ip firewall nat
-add action=src-nat chain=srcnat out-interface=sfp1 to-addresses=203.0.113.10
+add action=src-nat chain=srcnat out-interface=sfp1 to-addresses=203.0.113.20

Una línea modificada aparece como una eliminación seguida de una inclusión.

02Usarlo en un incidente

"Los clientes del barrio X se cayeron a las 14 h." El procedimiento:

1. abra el historial de los equipos de esa zona;
2. compare la última versión antes de las 14 h con la primera después;
3. si apareció un cambio en ese horario, es el primer sospechoso;
4. si el cambio fue el problema, deshaga solo esa parte (restauración parcial).

Cuando no hay cambios de configuración en el período, eso también es información: la causa probablemente es física, de energía o externa, y el equipo deja de buscar en el lugar equivocado.

03Ruido: líneas que cambian solas

Algunos equipos ponen en la salida la fecha y hora de la recolección, contadores o mensajes pasajeros. Si eso queda en el archivo, cada recolección parece un cambio, y los cambios reales se pierden entre ellos.

Ejemplos que Nexus quita antes de grabar:

Si arma su propia recolección, filtre esas líneas antes de comparar.

04Qué, cuándo y quién

El historial de backup responde qué cambió y entre qué recolecciones. No sabe quién hizo el cambio. Para eso:

• use autenticación centralizada (TACACS+ o RADIUS) con registro de comandos;
• en Juniper, show system commit lista quién hizo cada commit y cuándo;
• en MikroTik, /system history print muestra las últimas acciones y el usuario. Nexus guarda ese historial como comentario en cada backup de RouterOS;
• dé a cada persona su propio usuario en los equipos, sin logins compartidos.

05Revisar cambios planificados

Después de una ventana de mantenimiento, haga un backup y compárelo con el anterior. El diff debe contener solo lo planificado. Cualquier línea de más es un error de tipeo, un comando en el equipo equivocado o algo que nadie documentó, y es mejor descubrirlo en el momento que en el próximo incidente.