O que Validação de Configuração de Rede faz?
Use esta skill para revisar a configuração de rede antes de uma janela de mudança ou antes que uma execução de automação toque em dispositivos de produção.
Quando Usar
- Revisar trechos de configuração no estilo Cisco IOS ou IOS-XE antes da implantação.
- Auditar configurações geradas por scripts ou templates.
- Procurar por comandos perigosos, endereços IP duplicados ou sobreposição de sub-redes.
- Verificar se ACLs, route-maps, prefix-lists ou políticas de linha são referenciadas, mas não definidas.
- Construir scripts de pré-voo leves para automação de rede.
Como Funciona
Trate a validação de configuração como evidência em camadas, não como um parser completo. Verificações com expressões regulares são úteis para avisos de pré-voo, mas a aprovação final ainda precisa que um engenheiro de rede revise a intenção, a sintaxe da plataforma e os passos de rollback.
Valide nesta ordem:
- Comandos destrutivos.
- Exposição de credenciais e plano de gerenciamento.
- Endereços duplicados e sub-redes sobrepostas.
- Referências obsoletas a ACLs, route-maps, prefix-lists e interfaces.
- Higiene operacional como NTP, timestamps, logging remoto e banners.
Detecção de Comandos Perigosos
import re
DANGEROUS_PATTERNS: list[tuple[re.Pattern[str], str]] = [
(re.compile(r"\breload\b", re.I), "reload causa indisponibilidade"),
(re.compile(r"\berase\s+(startup|nvram|flash)", re.I), "apaga armazenamento persistente"),
(re.compile(r"\bformat\b", re.I), "formata o sistema de arquivos do dispositivo"),
(re.compile(r"\bno\s+router\s+(bgp|ospf|eigrp)\b", re.I), "remove um processo de roteamento"),
(re.compile(r"\bno\s+interface\s+\S+", re.I), "remove configuração de interface"),
(re.compile(r"\baaa\s+new-model\b", re.I), "altera o comportamento de autenticação"),
(re.compile(r"\bcrypto\s+key\s+(zeroize|generate)\b", re.I), "altera as chaves SSH do dispositivo"),
]
def find_dangerous_commands(lines: list[str]) -> list[dict[str, str | int]]:
findings = []
for line_number, line in enumerate(lines, start=1):
stripped = line.strip()
for pattern, reason in DANGEROUS_PATTERNS:
if pattern.search(stripped):
findings.append({
"line": line_number,
"command": stripped,
"reason": reason,
})
return findings
IPs Duplicados e Sobreposição de Sub-redes
import ipaddress
import re
from collections import Counter
IP_ADDRESS_RE = re.compile(
r"^\s*ip address\s+"
r"(?P<ip>\d{1,3}(?:\.\d{1,3}){3})\s+"
r"(?P<mask>\d{1,3}(?:\.\d{1,3}){3})\b",
re.I | re.M,
)
def extract_interfaces(config: str) -> list[dict[str, str]]:
results = []
current = None
for line in config.splitlines():
if line.startswith("interface "):
current = line.split(maxsplit=1)[1]
continue
match = IP_ADDRESS_RE.match(line)
if current and match:
ip = match.group("ip")
mask = match.group("mask")
network = ipaddress.ip_interface(f"{ip}/{mask}").network
results.append({"interface": current, "ip": ip, "network": str(network)})
return results
def find_duplicate_ips(config: str) -> list[str]:
ips = [entry["ip"] for entry in extract_interfaces(config)]
counts = Counter(ips)
return sorted(ip for ip, count in counts.items() if count > 1)
def find_subnet_overlaps(config: str) -> list[tuple[str, str]]:
networks = [ipaddress.ip_network(entry["network"]) for entry in extract_interfaces(config)]
overlaps = []
for index, left in enumerate(networks):
for right in networks[index + 1:]:
if left.overlaps(right):
overlaps.append((str(left), str(right)))
return overlaps
Verificações do Plano de Gerenciamento
Analise blocos VTY por seção para que as verificações de access-class não se espalhem por linhas não relacionadas.
import re
def iter_blocks(config: str, starts_with: str) -> list[str]:
blocks = []
current: list[str] = []
for line in config.splitlines():
if line.startswith(starts_with):
if current:
blocks.append("\n".join(current))
current = [line]
continue
if current:
if line and not line.startswith(" "):
blocks.append("\n".join(current))
current = []
else:
current.append(line)
if current:
blocks.append("\n".join(current))
return blocks
def check_vty_blocks(config: str) -> list[str]:
issues = []
for block in iter_blocks(config, "line vty"):
if re.search(r"transport\s+input\s+.*telnet", block, re.I):
issues.append("VTY permite Telnet; exija apenas SSH.")
if not re.search(r"\baccess-class\s+\S+\s+in\b", block, re.I):
issues.append("Bloco VTY não possui restrição de origem via access-class de entrada.")
if not re.search(r"\bexec-timeout\s+\d+\s+\d+\b", block, re.I):
issues.append("Bloco VTY não possui exec-timeout explícito.")
return issues
Verificações de Higiene de Segurança
SECURITY_PATTERNS = [
(re.compile(r"\bsnmp-server community\s+(public|private)\b", re.I),
"comunidade SNMP padrão configurada"),
(re.compile(r"\bsnmp-server community\s+\S+", re.I),
"string de comunidade SNMPv2 configurada; prefira SNMPv3 authPriv"),
(re.compile(r"\bip ssh version 1\b", re.I),
"SSH versão 1 habilitado"),
(re.compile(r"\benable password\b", re.I),
"senha enable está presente; use enable secret"),
(re.compile(r"\busername\s+\S+\s+password\b", re.I),
"usuário local usa password em vez de secret"),
]
BEST_PRACTICE_PATTERNS = [
(re.compile(r"\bntp server\b", re.I), "servidor NTP"),
(re.compile(r"\bservice timestamps\b", re.I), "timestamps de log"),
(re.compile(r"\blogging\s+\S+", re.I), "destino ou buffer de logging"),
(re.compile(r"\bsnmp-server group\s+\S+\s+v3\s+priv\b", re.I), "grupo SNMPv3 authPriv"),
(re.compile(r"\bbanner\s+(login|motd)\b", re.I), "banner de login"),
]
def check_security(config: str) -> list[str]:
return [message for pattern, message in SECURITY_PATTERNS if pattern.search(config)]
def check_missing_hygiene(config: str) -> list[str]:
return [
f"Faltando {description}"
for pattern, description in BEST_PRACTICE_PATTERNS
if not pattern.search(config)
]
Exemplos
Pré-voo para Janela de Mudança
- Execute verificações de comandos perigosos no trecho exato a ser colado.
- Execute verificações de IP duplicado e sobreposição de sub-rede na configuração candidata completa.
- Confirme que toda ACL, route-map e prefix-list referenciada existe.
- Confirme comandos de rollback e acesso fora de banda antes de qualquer alteração no plano de gerenciamento.
Pré-voo para Automação
Use a validação como uma barreira de bloqueio antes que Netmiko, NAPALM, Ansible ou API de fornecedor de automação envie uma configuração gerada. Feche negativamente (fail closed) em comandos perigosos e credenciais. Avisar sobre lacunas de boas práticas que estão fora do escopo da mudança.
Anti-Padrões
- Tratar validação com regex como um parser de dispositivo.
- Aplicar configuração gerada sem um diff de dry-run.
- Recomendar strings de comunidade SNMPv2 como requisito de monitoramento.
- Verificar blocos VTY com regex que pode acidentalmente abranger seções não relacionadas.
- Testar comportamento de firewall desabilitando ACLs em vez de ler contadores/logs.
Veja Também
- Agente:
network-config-reviewer - Agente:
network-troubleshooter - Skill:
network-interface-health