Tự Động Backup & Khôi Phục Cấu Hình Switch Cisco Catalyst

Tại VietITPro.vn, chúng tôi tiếp nhận hàng chục sự cố mạng mỗi tuần từ các doanh nghiệp tại TP.HCM. Trong đó, có đến 40% trường hợp sập hệ thống mạng cốt lõi bắt nguồn từ việc cấu hình sai hoặc thiết bị Switch Cisco Catalyst đột ngột chết nguồn, hỏng Flash, dẫn đến mất toàn bộ file cấu hình chạy (running-config). Khi kỹ sư đến hiện trường mà không có bản backup mới nhất (hoặc bản backup cũ nằm trong ổ cứng của nhân sự đã nghỉ việc), việc cấu hình lại một hệ thống 48 port với hàng loạt VLAN, STP, Port-channel, và ACL sẽ tốn hàng giờ đồng hồ thời gian chết (Downtime).

Bài viết này là cẩm nang kỹ thuật thực tế được đúc kết từ quá trình triển khai hạ tầng mạng thực tế tại các doanh nghiệp. Chúng ta sẽ đi sâu vào cơ chế lưu trữ của Switch Cisco Catalyst, cách thiết lập hệ thống tự động backup cấu hình qua TFTP/SCP, và phương án khôi phục thảm họa (Disaster Recovery) nhanh chóng nhất.

Cơ Chế Lưu Trữ Cấu Hình Trên Switch Cisco Catalyst: Những Điểm Mù Kỹ Sư Hay Bỏ Quên

Trước khi tự động hóa việc backup, bạn cần hiểu rõ cấu trúc lưu trữ tập tin trên các dòng Switch Cisco phổ biến như Catalyst 2960-X, 3650, 3850 hay dòng Catalyst 9300 đời mới chạy hệ điều hành IOS-XE.

Phân Biệt Running-Config và Startup-Config

• Running-config: Lưu trữ trong bộ nhớ RAM tạm thời của Switch. Mọi lệnh bạn gõ qua giao diện dòng lệnh (CLI) sẽ thay đổi trực tiếp file này. Khi thiết bị khởi động lại (Reboot) hoặc mất nguồn đột ngột, toàn bộ nội dung trong RAM sẽ bay hơi.
• Startup-config: Lưu trữ trong bộ nhớ không bay hơi (NVRAM hoặc phân vùng Flash tùy dòng máy). File này có tên mặc định là nvram:startup-config hoặc flash:startup-config. Khi Switch boot lên, nó sẽ chép nội dung từ startup-config vào RAM để tạo thành running-config.

Thói Quen Xấu Gây Mất Cấu Hình Khi Mất Điện

Nhiều quản trị viên mạng thường xuyên gõ lệnh cấu hình nhưng quên thực hiện lệnh write memory hoặc copy running-config startup-config. Khi xảy ra sự cố sập nguồn đột ngột (do nguồn điện văn phòng chập chờn hoặc hỏng bộ nguồn PSU của Switch), thiết bị sẽ khởi động lại với bản cấu hình cũ từ tuần trước, gây ra lỗi kết nối diện rộng.

Xây Dựng Hệ Thống Tự Động Backup Cấu Hình Cisco Catalyst

Đã qua rồi cái thời mà kỹ sư mạng phải mở phần mềm PuTTY hằng ngày, gõ lệnh show running-config rồi copy/paste thủ công vào một file Notepad. Với các hệ thống lớn, việc này vừa tốn thời gian vừa dễ bỏ sót. Chúng ta cần một giải pháp tự động hóa hoàn toàn.

Chuẩn Bị Môi Trường Server Backup

Bạn có thể sử dụng một máy chủ Linux nội bộ (Ubuntu Server) hoặc một chiếc NAS Synology chạy sẵn dịch vụ TFTP và SCP/SFTP.

1. Cài đặt TFTP Server trên Ubuntu:

sudo apt update

sudo apt install tftpd-hpa

2. Cấu hình file /etc/default/tftpd-hpa:

TFTP_USERNAME="tftp"

TFTP_DIRECTORY="/var/lib/tftpboot"

TFTP_ADDRESS=":69"

TFTP_OPTIONS="--secure"

3. Khởi động dịch vụ:

sudo systemctl restart tftpd-hpa

Lên Lịch Tự Động Hóa Bằng Python và Netmiko

Mặc dù Cisco Catalyst hỗ trợ cơ chế Archive cấu hình cục bộ, nhưng việc đẩy file backup ra một thiết bị lưu trữ độc lập bên ngoài mới là giải pháp an toàn tối thượng. Chúng ta sẽ sử dụng ngôn ngữ Python kết hợp thư viện netmiko – một công cụ chuẩn mực cho kỹ sư Network Automation.

Tạo một tập tin auto_backup.py trên server:

from datetime import datetime

from netmiko import ConnectHandler

import os

switch = {

'device_type': 'cisco_ios',

'ip': '192.168.1.254',

'username': 'admin',

'password': 'YourSecurePassword',

'secret': 'YourEnablePassword', # Nếu dùng chế độ Privilege 15

}

backup_dir = '/var/lib/tftpboot/cisco_backups/'

if not os.path.exists(backup_dir):

os.makedirs(backup_dir)

timestamp = datetime.now().strftime('%Y%m%d_%H%M%S')

backup_filename = f"Catalyst3650_timestamp.cfg"

backup_path = os.path.join(backup_dir, backup_filename)

try:

print(f"Đang kết nối tới Switch {switch['ip']}...")

net_connect = ConnectHandler(**switch)

net_connect.enable()

config_content = net_connect.send_command('show running-config')

with open(backup_path, 'w') as f:

f.write(config_content)

print(f"Backup thành công! File lưu tại: {backup_path}")

net_connect.disconnect()

except Exception as e:

print(f"Lỗi khi backup Switch {switch['ip']}: {str(e)}")

Tự Động Hóa Bằng Cron Job trên Linux

Để script này tự động chạy vào lúc 02:00 sáng mỗi ngày, hãy chỉnh sửa crontab của hệ thống:

crontab -e

Thêm dòng lệnh sau vào cuối file:

0 2   * /usr/bin/python3 /path/to/auto_backup.py > /var/log/cisco_backup.log 2>&1

Phương Án Khôi Phục Cấu Hình (Disaster Recovery) Khi Sự Cố Xảy Ra

Khi một chiếc Switch Cisco Catalyst bị sét đánh hỏng mainboard, cháy nguồn, hoặc lỗi phân vùng Flash phải thay mới hoàn toàn thiết bị (Hot-swapping), quy trình khôi phục cấu hình phải được thực hiện cực kỳ chuẩn xác để không làm gián đoạn hệ thống mạng của doanh nghiệp.

Các Bước Chuẩn Bị Thiết Bị Thay Thế (Replacement Switch)

1. Đảm bảo Switch thay thế có cùng dòng mã (Model) và phiên bản hệ điều hành (IOS Version) tương đương hoặc mới hơn với thiết bị cũ. Điều này cực kỳ quan trọng vì một số lệnh cấu hình nâng cao trên dòng Catalyst 9000 (IOS-XE) sẽ không chạy được trên các IOS cũ của dòng 2960.

2. Kết nối cáp Console vào Switch và thiết lập cấu hình quản trị cơ bản (IP Management trên VLAN quản trị) để Switch có thể thông mạng với TFTP Server hoặc máy tính chứa file backup.

uy Trình Khôi Phục Từ Xa Hoặc Cục Bộ

Trường hợp 1: Khôi phục trực tiếp từ TFTP Server (Nhanh và tối ưu nhất)

Đảm bảo máy tính của bạn hoặc TFTP Server đang cắm vào cổng mạng của Switch (ví dụ VLAN 1). Trên giao diện CLI của Switch, thực hiện lệnh:

Switch# copy tftp: flash:

Address or name of remote host []? 192.168.1.100

Source filename []? Catalyst3650_20231025_020000.cfg

Destination filename [Catalyst3650_20231025_020000.cfg]?

Sau khi file cấu hình đã được tải xuống bộ nhớ Flash của Switch, bạn tiến hành nạp nó vào running-config:

Switch# copy flash:Catalyst3650_20231025_020000.cfg running-config

Hệ thống sẽ ngay lập tức áp dụng các câu lệnh từ file cấu hình. Bạn sẽ thấy các thông báo trạng thái cổng mạng thay đổi trên màn hình Console. Cuối cùng, đừng quên lưu lại vào Startup-config:

Switch# write memory

Trường hợp 2: Khôi phục thủ công bằng phương pháp Copy & Paste (Áp dụng khi mạng nội bộ bị cô lập)

Nếu hệ thống mạng hoàn toàn tê liệt và không thể dùng TFTP, bạn bắt buộc phải dùng phương pháp thủ công thông qua cáp Console:

1. Mở phần mềm quản lý Terminal (PuTTY, SecureCRT).

2. Tăng tốc độ truyền tải Serial (Baud rate) lên mức cao nhất có thể (ví dụ 115200) để giảm thời gian chờ đợi.

3. Vào chế độ cấu hình toàn cục:

Switch# configure terminal

4. Mở file backup bằng Notepad trên máy tính, chia nhỏ nội dung thành các đoạn khoảng 50 dòng (tránh tình trạng tràn bộ đệm dòng lệnh - Buffer overflow gây mất lệnh).

5. Paste vào cửa sổ Terminal và đợi Switch phản hồi.

Bảng So Sánh Các Phương Pháp Backup Cisco Catalyst

Kinh Nghiệm Thực Tế & Lời Khuyên Từ Kỹ Sư VietITPro.vn

Trong quá trình sửa chữa và cứu hộ mạng tại TP.HCM, đội ngũ kỹ thuật của chúng tôi đã đúc kết được một số kinh nghiệm xương máu giúp bạn tránh các thảm họa không đáng có:

1. Kiểm tra tính toàn vẹn của file Backup: Đừng bao giờ tin tưởng hoàn toàn vào một file backup chưa từng được kiểm thử. Ít nhất 6 tháng một lần, hãy thử dựng một mô hình Lab ảo (trên Cisco CML hoặc GNS3) hoặc dùng một Switch dự phòng để nạp thử file backup nhằm đảm bảo cấu hình không bị lỗi cú pháp (Syntax error).

2. Bảo mật file cấu hình: File backup cấu hình Switch chứa toàn bộ thông tin cực kỳ nhạy cảm: Mật khẩu Enable dạng mã hóa (Secret), mật khẩu tài khoản quản trị, thông tin định tuyến, và cấu hình VPN/ACL. Hãy đảm bảo thư mục lưu trữ trên Server phải được phân quyền nghiêm ngặt (Chỉ tài khoản hệ thống mới có quyền đọc/ghi).

3. Lưu ý về License (Giấy phép): Trên các dòng Switch Catalyst hiện đại (như Catalyst 9000), file cấu hình đôi khi đi kèm các thông số đăng ký Smart Licensing. Việc khôi phục sai phiên bản IOS có thể làm mất trạng thái kích hoạt tính năng Network Advantage/Network Essentials.

Các Câu Hỏi Thường Gặp (FAQ)

1. Switch Cisco Catalyst của tôi đời cũ không hỗ trợ Python, tôi có thể dùng cách nào để backup tự động?

Trả lời: Với các dòng Switch đời cũ chạy IOS 12.x hoặc 15.x không hỗ trợ Python nhúng, giải pháp tối ưu nhất là sử dụng các script viết bằng ngôn ngữ Perl hoặc Bash kết hợp Expect chạy trên một Linux Server đểTelnet/SSH vào Switch định kỳ và gửi lệnh lấy cấu hình. Ngoài ra, bạn cũng có thể tận dụng tính năng Archive tích hợp sẵn trong cấu hình Cisco IOS để tự động đẩy file lên TFTP Server mỗi khi có lệnh write memory:

archive

path tftp://192.168.1.100/catalyst-t

write-frequency 7

2. Khi khôi phục cấu hình bằng lệnh copy tftp: running-config, các cấu hình cũ có bị xóa sạch không?

Trả lời: Không hoàn toàn. Lệnh này sẽ gộp (merge) nội dung của file backup vào running-config hiện tại. Nếu cấu hình cũ có những đoạn lệnh không xuất hiện trong file backup, chúng vẫn sẽ tồn tại. Để đảm bảo thiết bị sạch sẽ hoàn toàn trước khi nạp cấu hình mới (giống như cài lại Win sạch sẽ), bạn nên xóa file startup-config cũ (write erase), khởi động lại Switch, rồi mới tiến hành nạp file backup vào.

3. Tại sao script Python của tôi kết nối vào Switch bị lỗi Authentication Failed dù đúng mật khẩu?

Trả lời: Lỗi này thường do cấu hình SSH trên Switch chưa được bật hoặc phiên bản SSH quá cũ (SSH v1) bị thư viện netmiko từ chối bảo mật. Hãy chắc chắn rằng trên Switch bạn đã cấu hình:

ip domain-name vietitpro.local

crypto key generate rsa modulus 2048

ip ssh version 2

Và kiểm tra xem tài khoản quản trị đã được gán quyền cao nhất chưa (privilege level 15).

Bài viết thuộc chuyên mục Thiết Bị Bị Mạng & Network, biên soạn bởi đội ngũ Kỹ Sư Phần Cứng tại VietITPro.vn. Mọi trích dẫn vui lòng ghi rõ nguồn.