Config Drift beginnt selten als Problem. Jemand nimmt um 2 Uhr nachts eine schnelle Änderung an einem Switch vor, um ein dringendes Problem zu lösen, lässt das Change-Ticket weg und macht weiter. Über ein Jahr und über die ganze Flotte summiert, stimmen Ihre Running-Configs nicht mehr mit dem überein, was Sie für ausgerollt halten.
Drift ist gerade deshalb gefährlich, weil er leise ist. Heute geht nichts kaputt. Aber die Lücke zwischen Ihrer freigegebenen Konfiguration und dem, was tatsächlich läuft, ist der Ursprung von nicht bestandenen Audits, inkonsistentem Verhalten und langsamer Fehlersuche. Die Lösung ist nicht mehr Disziplin. Es ist die automatische Prüfung gegen eine bekannte, gute Baseline.
Eine Golden Config hinterlegen
Ohne Referenz lässt sich Drift nicht messen. Der erste Schritt ist, eine bekannte, gute Konfiguration als freigegebene Baseline für jeden Switch zu markieren. Diese Golden Config wird zur Linie, an der alles andere gemessen wird, und ist das, was Sie später gegenüber einem Auditor belegen können.
Hinterlegen oder aktualisieren Sie eine freigegebene Baseline für einen Switch mit einem Klick, und löschen Sie sie ebenso einfach, wenn sich der freigegebene Zustand legitim ändert.
Bei jedem Backup prüfen
Drift-Erkennung hilft nur, wenn sie von selbst läuft. NetGUI vergleicht das jeweils neueste Konfigurations-Backup jedes Switches bei jedem Backup-Lauf mit seiner freigegebenen Baseline und markiert das Gerät als in sync, drifted oder noch ohne Baseline. Kein separater Scan, der geplant werden muss, kein zusätzlicher Prozess, an den man denken muss.
Profi-Tipp: Koppeln Sie die Drift-Prüfung an das tägliche Backup, das Sie ohnehin ausführen. Laufen die Backups, läuft die Drift-Erkennung, ohne dass Sie etwas Neues pflegen müssen.
Alarmiert werden, sobald ein Switch abweicht
Eine Statusseite, die niemand öffnet, ist kein Schutz. Wenn ein Switch von seiner Baseline abweicht, löst NetGUI einen Alarm im Dashboard aus und sendet ihn an die Kanäle, die Ihr Team ohnehin nutzt, etwa Microsoft Teams oder Slack. Sobald das Gerät wieder in Ordnung gebracht ist, löst sich der Alarm von selbst auf.
Alarme werden dedupliziert, sodass ein einzelnes abgewichenes Gerät Ihren Kanal nicht überflutet, und sie lösen sich automatisch auf, sobald die Config wieder der Baseline entspricht.
Drift über die Zeit verfolgen
Ein Status zu einem Zeitpunkt ist nützlich. Ein Trend ist besser. NetGUI führt eine Historie der Drift-Ereignisse und hält fest, wann jedes erkannt und wann es behoben wurde, sodass Sie sehen, wie oft Geräte abweichen und wie lange sie ausserhalb der Compliance bleiben, inklusive der durchschnittlichen Zeit bis zur Behebung.
Verwandeln Sie «wir glauben, wir sind compliant» in Zahlen, die Sie zeigen können: wie viele Geräte abgewichen sind, wann, und wie schnell jedes zurückgeführt wurde.
Einen audit-fähigen Report exportieren
Wenn ein Auditor Ihre Konfigurations-Compliance sehen will, zählen Screenshots und mündliche Zusicherungen nicht. NetGUI exportiert einen Compliance-Report über Baselines, den aktuellen Drift-Status und die Ereignis-Historie, als druckbares HTML, CSV oder sauberes PDF.
Übergeben Sie dem Auditor ein datiertes PDF, statt eine Woche damit zu verbringen, Screenshots und Tabellen von Hand zusammenzustellen.
Das Fazit
Config Drift ist kein Problem, das man einmal löst. Es ist eine fortlaufende Lücke zwischen freigegeben und tatsächlich, die nur geschlossen bleibt, wenn etwas sie für Sie prüft. Baseline hinterlegen, bei jedem Backup prüfen, bei Änderung alarmieren und die Nachweise behalten.
Manuell ausgeführt rutscht diese Arbeit weg, sobald es hektisch wird. Mit NetGUI läuft sie leise im Hintergrund und ist an dem Tag bereit, an dem Sie jemand bittet, es zu belegen.
Das ist der Unterschied zwischen hoffen, dass man compliant ist, und es zeigen können.