Programar tarea de copia de seguridad de la configuración de los switches de forma automática con Ansible. Explicamos el proceso mediante conexión directa por SSH, por lo que servirá para cualquier fabricante que admita acceso SSH como Cisco, TP-Link, Huawei, HP / Aruba, Juniper y Fortiswitch. En este caso preparamos la automatización para switches Cisco y mostramos también playbooks para otros fabricantes (HP, Huawei, Juniper, Fortiswitch).
- Preparar switches para automatizar copia de seguridad de configuración.
- Servidor Ansible para automatización de copias de seguridad de switches.
- Crear playbook y tarea para copia de seguridad de switches en Ansible.
- Playbook para switches Huawei, HP / Aruba y otros fabricantes.
Preparar switches para automatizar copia de seguridad de configuración
La única preparación que requiere cada switch para programar esta tarea de copia de seguridad es que dispongan de acceso SSH y un usuario y contraseña con este acceso y permisos para obtener la configuración. Podremos crear un usuario y contraseña por cada switch diferente (es lo recomendable por seguridad) o bien un mismo usuario y contraseña común para todos los switches. Ansible permite ambas opciones.
En el siguiente tutorial explicamos cómo configurar acceso SSH en switch Cisco:
El servidor de Ansible debe tener visibilidad de red con los switches, si están en redes separadas con cortafuegos, se deberá abrir el puerto SSH desde el servidor Ansible.
Servidor Ansible para automatización de copias de seguridad de switches
Necesitaremos disponer de un servidor Ansible Semaphore que será el que realice la tarea de conexión con cada switch, ejecución de obtención de configuración y transferencia y guardado en fichero. En el siguiente tutorial explicamos cómo desplegar un servidor Ansible:
Crearemos un inventario en Ansible Semaphore con los switches de los que queramos hacer copia de seguridad. Para ello, desde Semaphore, pulsaremos en «Inventario» – «Nuevo inventario» – «Ansible Inventory»:
Introduciremos los siguientes datos para el inventario de switches:
- Nombre: switches_cisco.
- Credenciales de Usuario: para este caso, no las necesitaremos, porque las credenciales las estableceremos en el YAML del inventario. Pero como este campo es obligatorio, elegiremos cualquier credencial que tengamos en Semaphore.
- Tipo: elegiremos «Static YAML»:
Introduciremos el siguiente contenido en formato YAML. En este ejemplo mostramos cómo asignar un usuario y contraseña diferentes por cada switch inventariado. El nombre del switch se usará para crear una carpeta en el servidor Ansible por cada switch, guardando un histórico de copias de seguridad por cada uno:
|
1 2 3 4 5 6 7 8 9 10 11 |
all: hosts: sw1000_16: ansible_host: 192.168.10.2 ansible_user: usuario ansible_password: contraseña sw1000_10: ansible_host: 192.168.10.3 ansible_user: usuario2 ansible_password: contraseña2 |
Prepararemos la carpeta del servidor Ansible donde se guardará una subcarpeta por cada switch y sus ficheros de copia de seguridad de la configuración. Nos conectaremos al servidor Ansible por SSH y crearemos la carpeta /backups_switches, asignándole los permisos apropiados:
|
1 2 |
sudo mkdir -p /backups_switches sudo chmod 777 /backups_switches |
Para «mapear» esta carpeta con el contenedor Docker con Ansible (si lo tenemos doquerizado), modificaremos el fichero docker-compose.yml y añadiremos una línea para realizar este mapeo:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 |
services: postgres: image: postgres:14-alpine volumes: - semaphore-db:/var/lib/postgresql/data environment: POSTGRES_USER: semaphore POSTGRES_PASSWORD: contraseña POSTGRES_DB: semaphore restart: unless-stopped semaphore: image: semaphoreui/semaphore:latest ports: - "3000:3000" # DNS en contenedor dns: - 8.8.8.8 - 4.4.4.4 environment: SEMAPHORE_DB_USER: semaphore SEMAPHORE_DB_PASS: contraseña SEMAPHORE_DB_HOST: postgres SEMAPHORE_DB_PORT: 5432 SEMAPHORE_DB_DIALECT: postgres SEMAPHORE_DB: semaphore # Configuración del usuario Administrador Inicial: SEMAPHORE_ADMIN_PASSWORD: contraseña SEMAPHORE_ADMIN_NAME: Administrator SEMAPHORE_ADMIN_EMAIL: admin@proyectoa.com SEMAPHORE_ADMIN: admin volumes: - ./playbooks:/playbooks - ./config:/etc/semaphore - /backups_proxmox:/var/backups_proxmox # Línea para mapear carpeta de backups de switches - /backups_switches:/var/backups_switches depends_on: - postgres restart: unless-stopped volumes: semaphore-db: |
Si hemos tenido que modificar el fichero docker-compose.yml, detendremos los contenedores y los volveremos a iniciar con esta nueva configuración, desde la carpeta donde tengamos el fichero docker-compose.yml ejecutaremos los siguientes comandos:
|
1 2 3 |
cd /home/alonso/semaphore/ sudo docker compose down sudo docker compose up -d |
Crear playbook y tarea para copia de seguridad de switches en Ansible
Ansible permite conexión con cualquier dispositivo que admita SSH mediante la librería paramiko (Python), aunque esta herramienta no funciona bien con dispositivos antiguos, por el mecanismo de cifrado. En este estudio de caso, realizamos conexión con cada dispositivo usando sshpass del propio equipo Linux anfitrión, para compatibilidad con dispositivos antiguos.
Para usar sshpass, lo instalaremos en el equipo Linux con Ansible, con el comando:
|
1 |
sudo apt-get update && sudo apt-get install -y sshpass |
Crearemos el fichero de playbook en la carpeta establecida a tal efecto:
|
1 |
sudo nano /home/ansible/semaphore/playbook/backup_switches_cisco.yml |
Pegaremos el siguiente contenido para el playbook
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 |
--- - name: Backup de switches vía SSH host directo hosts: all gather_facts: false tasks: - name: Obtener la fecha y hora actual del sistema setup: filter: "ansible_date_time" delegate_to: localhost run_once: true - name: Extraer config (running-config) usando el SSH del anfitrión Ansible shell: > sshpass -p '{{ ansible_password }}' ssh -o StrictHostKeyChecking=no -o KexAlgorithms=+diffie-hellman-group14-sha1,diffie-hellman-group1-sha1 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedKeyTypes=+ssh-rsa {{ ansible_user }}@{{ ansible_host }} 'show running-config' register: switch_config delegate_to: localhost - name: Asegurar que exista la carpeta específica para el switch file: path: "/var/backups_switches/{{ inventory_hostname }}" state: directory mode: '0755' delegate_to: localhost - name: Guardar el fichero de configuración con fecha y hora copy: content: "{{ switch_config.stdout }}" dest: "/var/backups_switches/{{ inventory_hostname }}/{{ ansible_facts['date_time']['date'] }}_{{ ansible_facts['date_time']['hour'] }}{{ ansible_facts['date_time']['minute'] }}.cfg" mode: '0644' delegate_to: localhost |
Crearemos la tarea en Ansible Semaphore para ejecutar este playbook. Desde «Plantillas de Tareas» – «Nueva plantilla» – «Ansible Playbook»:
Estableceremos los siguientes datos para la nueva tarea:
- Nombre: backup_switches_cisco.
- Ruta al archivo de playbook: backup_switches_cisco.yml. Este campo es muy importante, indicaremos el nombre exacto del fichero de playbook a ejecutar.
- Inventario: muy importante elegir el inventario de switches creado anteriormente, en este caso «switches_cisco».
- Repositorio: Local.
- Grupos de Variables: en este caso no usamos grupos de variables, aunque como es un campo obligatorio, elegiremos cualquiera.
Probaremos la tarea ejecutándola:
La tarea se ejecutará, conectará con cada switch del inventario, ejecutará el comando para obtener la configuración y la transferirá y guardará en un fichero en la carpeta del servidor Ansible:
Desde el servidor Linux de Ansible, podremos comprobar que se habrá creado una carpeta por cada switch del inventario y, dentro de cada carpeta, los ficheros de las configuraciones que se vayan guardando (uno por cada ejecución de la tarea). El fichero de copia de seguridad de la configuración contiene, precisamente, la configuración completa del switch:
Una vez revisada la tarea, cuando funcione correctamente, crearemos la programación para que se ejecute, cada cierto tiempo, de forma automática. Desde «Horario» – «Nuevo horario» – «Cron»:
Indicaremos el nombre de la programación, el Template (backup_switches_cisco) y la periodicidad, por ejemplo un día a la semana:
A partir de ahora, cada jueves a las 15:05 se ejecutará la tarea y guardará la configuración de cada switch en carpeta local del servidor Ansible.
Playbook para switches Huawei, HP / Aruba y otros fabricantes
Para revisar las diferencias y para ver que también funcionará con switches Huawei y HP / Aruba, indicamos los playbooks compatibles con cada uno de ellos. Podemos comprobar que únicamente varía el comando para obtener la configuración.
Para switches Huawei:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 |
--- - name: Backup de switches Huawei vía SSH host directo hosts: all gather_facts: false tasks: - name: Obtener la fecha y hora actual del sistema setup: filter: "ansible_date_time" delegate_to: localhost run_once: true - name: Extraer config (current-configuration) usando el SSH del anfitrión Ansible shell: > sshpass -p '{{ ansible_password }}' ssh -o StrictHostKeyChecking=no -o KexAlgorithms=+diffie-hellman-group14-sha1,diffie-hellman-group1-sha1 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedKeyTypes=+ssh-rsa {{ ansible_user }}@{{ ansible_host }} 'screen-length 0 temporary && display current-configuration' register: switch_config delegate_to: localhost - name: Asegurar que exista la carpeta específica para el switch Huawei file: path: "/var/backups_switches/{{ inventory_hostname }}" state: directory mode: '0755' delegate_to: localhost - name: Guardar el fichero de configuración con fecha y hora copy: content: "{{ switch_config.stdout }}" dest: "/var/backups_switches/{{ inventory_hostname }}/{{ ansible_facts['date_time']['date'] }}_{{ ansible_facts['date_time']['hour'] }}{{ ansible_facts['date_time']['minute'] }}.cfg" mode: '0644' delegate_to: localhost |
Para switches HP / Aruba:
|
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 |
--- - name: Backup de switches HP/Aruba vía SSH host directo hosts: all gather_facts: false tasks: - name: Obtener la fecha y hora actual del sistema setup: filter: "ansible_date_time" delegate_to: localhost run_once: true - name: Extraer config (running-config) usando el SSH del anfitrión Ansible shell: > sshpass -p '{{ ansible_password }}' ssh -o StrictHostKeyChecking=no -o KexAlgorithms=+diffie-hellman-group14-sha1,diffie-hellman-group1-sha1 -o HostKeyAlgorithms=+ssh-rsa -o PubkeyAcceptedKeyTypes=+ssh-rsa {{ ansible_user }}@{{ ansible_host }} 'no page && show running-config' register: switch_config delegate_to: localhost - name: Asegurar que exista la carpeta específica para el switch HP/Aruba file: path: "/var/backups_switches/{{ inventory_hostname }}" state: directory mode: '0755' delegate_to: localhost - name: Guardar el fichero de configuración con fecha y hora copy: content: "{{ switch_config.stdout }}" dest: "/var/backups_switches/{{ inventory_hostname }}/{{ ansible_facts['date_time']['date'] }}_{{ ansible_facts['date_time']['hour'] }}{{ ansible_facts['date_time']['minute'] }}.cfg" mode: '0644' delegate_to: localhost |
Mostramos una tabla con el comando de obtener la configuración por fabricante de switch y el comando final a indicar en el playbook de Ansible:
| Fabricante | Comando para extraer la configuración | Comando para desactivar paginación | Cadena final en el Playbook |
| Cisco IOS | show running-config | No suele requerir (en comando directo) | 'show running-config' |
| Huawei VRP | display current-configuration | screen-length 0 temporary | 'screen-length 0 temporary && display current-configuration' |
| HP / Aruba | show running-config | no page | 'no page && show running-config' |
| Juniper JunOS | show configuration | | no-more | 'show configuration | no-more' |
| TP-Link (JetStream) | show running-config | terminal length 0 | 'terminal length 0 && show running-config' |
| Fortinet (FortiSwitch) | show | No requiere (vía SSH no pagina por defecto) | 'show' o 'show full-configuration' |
