Oxidized Network Configuration Backup on Ubuntu

مقدمه

فهرست مطالب

مشکلات Backup سنتی تجهیزات شبکه

زیرساخت شبکه نیاز به Backup خودکار همراه با Version Tracking دارد.

Oxidized چیست؟

Oxidized یک Network Configuration Backup System است که با استفاده از پروتکل‌هایی مانند SSH و Telnet به تجهیزات شبکه متصل شده و Configuration آن‌ها را دریافت می‌کند.

معماری Oxidized

Cisco Router / Switch
          |
          | SSH
          |
          v

      Oxidized Server

          |
          |
          v

   Git Repository

          |
          |
          v

 Configuration History

منابع موردنیاز سرور Oxidized

Oxidized نسبت به ابزارهای مانیتورینگ منابع بسیار کمی مصرف می‌کند. منابع موردنیاز بیشتر به تعداد تجهیزات، تعداد Backup در روز و حجم Configurationها بستگی دارد.

نصب Oxidized روی Ubuntu 24.04

ابتدا سیستم عامل را Update کرده و Packageهای موردنیاز Ruby و Git را نصب می‌کنیم.

sudo add-apt-repository universe
sudo apt update

sudo apt install -y \
ruby ruby-dev ruby-bundler build-essential \
  libsqlite3-dev libssl-dev pkg-config cmake libssh2-1-dev \
  libicu-dev zlib1g-dev g++ libyaml-dev libzstd-dev git

بررسی نسخه Ruby:

ruby -v

gem -v

git --version

نصب Package های Oxidized

sudo gem install oxidized

sudo gem install oxidized-web


sudo gem install oxidized-script

برای اجرای سرویس بهتر است یک User اختصاصی ایجاد شود.

sudo useradd -m -s /bin/bash oxidized


sudo passwd oxidized


sudo su - oxidized

تنظیمات اصلی Oxidized

بعد از اولین اجرا، فایل Configuration در مسیر زیر ساخته می‌شود:

~/.config/oxidized/config

نمونه Configuration برای Cisco:

---
username: oxidized
password: CHANGE_ME
model: ios
interval: 3600
timeout: 20
timelimit: 300
retries: 3

input:
  default: ssh
  ssh:
    secure: true

output:
  default: git
  git:
    user: oxidized
    email: oxidized@example.com
    repo: /var/lib/oxidized/configs

source:
  default: csv
  csv:
    file: /etc/oxidized/router.db
    delimiter: !ruby/regexp /:/
    map:
      name: 0
      model: 1
      group: 2

groups:
  cisco:
    username: oxidized
    password: CHANGE_ME
  mikrotik:
    username: oxidized
    vars:
      ssh_keys: ~/.ssh/oxidized_routeros
  swos:
    username: admin
    password: CHANGE_ME

vars:
  remove_secret: true
  output_store_mode: on_significant

log: true
debug: false
threads: 10

اضافه کردن تجهیزات شبکه

لیست تجهیزات را می‌توان با فایل CSV مدیریت کرد.

core-sw01:ios:cisco
dist-sw01:ios:cisco
mt-core:routeros:mikrotik
mt-edge:routeros:mikrotik
swos-access:swos:swos

فرمت CSV در این Configuration به شکل name:model:group است. Credentialها باید در config.yml یا Adapter امن Source قرار بگیرند و نباید داخل router.db نوشته شوند.

Backup از MikroTik RouterOS

مدل رسمی RouterOS از SSH یا Telnet استفاده می‌کند و اطلاعات سیستم، نسخهٔ Packageها، تاریخچهٔ سیستم و خروجی Configuration را دریافت می‌کند. در RouterOS 7، اگر remove_secret فعال نباشد، به‌صورت پیش‌فرض از /export show-sensitive استفاده می‌شود.

در RouterOS نسخهٔ 7.12 و بالاتر، یک کاربر فقط‌خواندنی بسازید و به‌جای رمز مشترک از کلید ED25519 استفاده کنید:

ssh-keygen -t ed25519 -f ~/.ssh/oxidized_routeros
scp ~/.ssh/oxidized_routeros.pub admin@MIKROTIK_IP:/flash/id_ed25519.pub

/user add name=oxidized group=read disabled=no
/user ssh-keys import public-key-file=id_ed25519.pub user=oxidized

ورودی‌های router.db این راهنما به‌صورت زیر هستند:

mt-core:routeros:mikrotik
mt-edge:routeros:mikrotik
swos-access:swos:swos

مدل routeros دستور /export را اجرا می‌کند و فایل Binary Backup میکروتیک نمی‌سازد. اگر فایل Binary برای Recovery لازم دارید، اجرای /system backup save را جداگانه زمان‌بندی کنید، آن را مانند یک Secret محافظت کنید و فرایند Restore را تست کنید.

/system backup save name=oxidized-recovery password="USE_A_UNIQUE_SECRET"

Backup Binary به فرایند Recovery خود RouterOS وابسته است و جایگزین History متنی و قابل Review نیست. این فایل را جداگانه و در محل رمزنگاری‌شده با دسترسی محدود نگه دارید و Export متنی Oxidized را برای Diff و Audit در Git ذخیره کنید.

SwOS با RouterOS متفاوت است؛ برای آن از Model به نام swos، Credentialهای HTTP و Port وب تجهیز استفاده کنید. Oxidized Backup سوئیچ را از Endpoint وب SwOS دریافت می‌کند؛ بنابراین تجهیز SwOS را در گروه routeros قرار ندهید.

پلتفرم‌ها و Modelهای پشتیبانی‌شده

Oxidized بر پایهٔ Model کار می‌کند. نام Model در router.db تعیین می‌کند چه دستورها و Parserی برای هر تجهیز استفاده شود. پشتیبانی و رفتار Modelها ممکن است بین Releaseها تغییر کند؛ پیش از Production فهرست رسمی Supported OS Types و Model Notes را بررسی کنید.

اتصال Inventory به NetBox

NetBox می‌تواند منبع Inventory تجهیزات باشد، اما پاسخ API باید فیلدهای موردنیاز Oxidized یعنی name، model، username، password و در صورت نیاز group یا enable را ارائه کند. Source نوع HTTP در Oxidized از یک Object برای هر تجهیز و Pagination پشتیبانی می‌کند؛ معمولاً ساختن یک Adapter کوچک از اتصال مستقیم به Endpoint بدون Filter امن‌تر است.

curl --fail --silent \
  -H "Authorization: Token $NETBOX_TOKEN" \
  "https://netbox.example.com/api/dcim/devices/?status=active"

Adapter باید فقط تجهیزات Active و قابل دسترس را برگرداند و Device Type یا Custom Field در NetBox را به Modelهایی مانند ios، routeros یا junos نگاشت کند. Credentialهای NetBox را به Browser، Log یا Endpoint عمومی برنگردانید.

source:
  default: http
  http:
    url: https://inventory.example.com/oxidized/nodes
    scheme: https
    user: oxidized-source
    pass: CHANGE_ME
    read_timeout: 120
    map:
      name: name
      model: model
      username: username
      password: password
    vars_map:
      enable: enable
    pagination: true
    pagination_key_name: next

تنظیم Cisco برای Backup

روی تجهیزات Cisco باید دسترسی SSH و User با سطح دسترسی مناسب ایجاد شود.

conf t


username oxidized privilege 15 secret StrongPassword


ip domain-name company.local


crypto key generate rsa modulus 2048


ip ssh version 2



line vty 0 4

 transport input ssh

 login local


end


write memory

تست و اعتبارسنجی Backup

بعد از نصب و تنظیم Oxidized باید بررسی کنیم که ارتباط SSH، دریافت Configuration و ذخیره در Git به درستی انجام می‌شود.

sudo -u oxidized oxidized

در صورت موفقیت باید Log مشابه زیر مشاهده شود:

INFO -- : Configuration completed successfully

INFO -- : Running Oxidized

INFO -- : node core-sw01 completed

بررسی فایل Backup:

ls -la /var/lib/oxidized/configs


cat /var/lib/oxidized/configs/core-sw01

اجرای Oxidized با systemd

Oxidized را با کاربر اختصاصی oxidized اجرا کنید و Configuration و Repository آن را خارج از Web Root نگه دارید. پیش از ساخت Unit، مسیر اجرایی را با command -v oxidized بررسی کنید.

command -v oxidized
sudo install -d -o oxidized -g oxidized /var/lib/oxidized/configs
sudo nano /etc/systemd/system/oxidized.service

[Unit]
Description=Oxidized network configuration backup
After=network-online.target
Wants=network-online.target

[Service]
User=oxidized
Group=oxidized
ExecStart=/usr/local/bin/oxidized
Restart=on-failure
RestartSec=10
PrivateTmp=true
NoNewPrivileges=true

[Install]
WantedBy=multi-user.target

sudo systemctl daemon-reload
sudo systemctl enable --now oxidized
systemctl status oxidized --no-pager
journalctl -u oxidized -n 100 --no-pager

Tracking تغییرات Configuration

یکی از مهم‌ترین قابلیت‌های Oxidized امکان مشاهده تغییرات Configuration با Git است.

cd /var/lib/oxidized/configs


git log


git diff HEAD~1 HEAD

مثال تغییر:

- interface GigabitEthernet1/0/10 shutdown


+ interface GigabitEthernet1/0/10 no shutdown

بهترین روش‌های امنیتی

مشکلات رایج Backup Cisco

عیب‌یابی

journalctl -u oxidized -f


systemctl status oxidized


ssh oxidized@DEVICE-IP

پرسش‌های متداول

نتیجه‌گیری

Oxidized یک راهکار سبک، امن و قدرتمند برای مدیریت Backup Configuration تجهیزات شبکه است. ترکیب Oxidized با Git و NetBox یک معماری استاندارد برای مستندسازی، Automation و مدیریت تغییرات شبکه ایجاد می‌کند.

منابع رسمی

• Oxidized GitHub Repository
• Oxidized Web
• NetBox Documentation
• Cisco Support Documentation
• Oxidized Supported OS Types
• Oxidized Sources and NetBox-compatible HTTP source
• MikroTik RouterOS model notes
• Oxidized configuration reference
• Oxidized SSH input reference

Prerequisites

Best Practices

Official References

• Oxidized GitHub Repository
• Ruby Documentation