Copia de seguridad y restauración de configuraciones de red

La configuración de red también necesita recuperación

Una copia de configuración puede reducir el tiempo de reconstrucción después de un fallo, un cambio incorrecto o la sustitución de un equipo. No basta con guardar un fichero: debe saberse a qué dispositivo y versión pertenece, qué datos sensibles contiene y si puede restaurarse en un modelo y versión compatibles.

El objetivo es recuperar un estado aprobado y documentado, no volver a aplicar a ciegas la última configuración que se encontró en una carpeta.

Define qué se copia y quién responde

Mantén un inventario que relacione cada equipo con su sede, función, responsable, criticidad, versión de software y mecanismo de administración. Incluye routers, switches, firewalls, controladores y otros dispositivos cuya configuración afecte a la conectividad o segmentación.

Para cada familia de equipos, identifica qué artefactos admite el fabricante: configuración activa, configuración de arranque, políticas, certificados, licencias o datos específicos del dispositivo. No presupongas que un único fichero representa todo el estado recuperable. Documenta también dependencias como direcciones de gestión, VLAN, rutas, servidores de autenticación y enlaces redundantes.

Captura, custodia y control de cambios

• Programa capturas periódicas y, cuando la plataforma lo permita, una captura tras cambios aprobados.
• Compara versiones y relaciona cada diferencia con un ticket, una ventana de cambio o una excepción documentada.
• Conserva el original cifrado y limita lectura, exportación y restauración a roles autorizados. Las configuraciones pueden incluir secretos, claves o datos de topología.
• Separa la cuenta del repositorio de las credenciales administrativas de los equipos. Protege también las copias externas y registra quién las consulta.
• Establece retención según criticidad y política interna; guarda versiones suficientes para volver a un estado conocido sin asumir que conservar indefinidamente es necesario.
• Prepara una copia saneada para soporte o revisión cuando no haga falta revelar valores sensibles. No sustituyas el respaldo íntegro por esa copia.

La guía de Cisco Catalyst Center describe la exportación de configuraciones a un repositorio SFTP y advierte de la diferencia entre exportaciones sin sanear y datos sensibles en claro. Es un ejemplo de producto, no una configuración universal. NIST SP 800-128 aporta principios generales para mantener configuraciones aprobadas y controlar sus cambios.

Prueba la restauración antes de necesitarla

La prueba debe empezar por una copia elegida al azar o por una versión vinculada a un cambio real. Comprueba integridad, fecha, dispositivo de origen y compatibilidad. Restaura primero en laboratorio o en un equipo de sustitución preparado; si una prueba en producción fuera imprescindible, requiere un procedimiento aprobado, acceso alternativo y criterios de parada.

Registra los pasos, el tiempo empleado, los errores, las diferencias que requieren adaptación y la evidencia de que vuelven a funcionar las rutas, la gestión, las reglas de seguridad y los servicios dependientes. Una configuración sintácticamente aceptada no prueba por sí sola la recuperación del servicio.

Lista mínima de control

• Inventario de dispositivos y propietario actualizado.
• Copia reciente, íntegra, identificada y protegida.
• Diferencias vinculadas a cambios autorizados o investigadas.
• Compatibilidad de modelo, versión y dependencias revisada.
• Procedimiento de restauración y acceso alternativo disponibles.
• Resultado y limitaciones de la prueba documentados.

Consulta el guion de prueba de restauración de backups para estructurar evidencias y responsables.

Referencias

• Cisco Catalyst Center: archivar configuraciones en un servidor externo
• NIST SP 800-128: gestión de configuraciones enfocada en seguridad