Аудит конфигурации сетевого оборудования: чек-лист

Сетевая инфраструктура меняется быстрее, чем успевают обновляться схемы, пароли и журналы событий. Аудит конфигурации сетевого оборудования позволяет увидеть фактическое состояние коммутаторов, маршрутизаторов, межсетевых экранов, точек доступа и вспомогательных устройств, а также сопоставить его с утверждённой схемой и политиками безопасности. Проверка охватывает настройки, прошивки, лицензии, питание, кабельные трассы и организацию технической поддержки.

Готовый чек-лист превращает эту работу в последовательный процесс с фиксированными критериями. Сначала определяют границы инфраструктуры и собирают документацию, затем проверяют устройства и каналы связи, после чего фиксируют отклонения, риски и владельцев каждого изменения. Такой подход снижает вероятность незамеченных ошибок и даёт основание для планового обслуживания, модернизации и контроля повторных проверок.

Цели, границы и подготовка к аудиту

Перед началом проверки фиксируют периметр аудита: офисы, производственные площадки, серверный сегмент, филиалы, VPN и удалённый доступ. В перечень включают активное, резервное и снятое с эксплуатации оборудование. Для каждого устройства указывают назначение, владельца, критичность и допустимый простой, чтобы проверять риски для конкретных сервисов.

Исходные материалы формируют пакетом: актуальная схема сети, перечень IP-адресов, таблица VLAN, правила межсетевого экрана, схема Wi-Fi, договоры на лицензии и гарантийное обслуживание. Перед проверкой создают резервные копии конфигураций и согласуют окно, в котором допустимы диагностические действия. Доступ выдают по ролям, а команды фиксируют в журнале изменений.

Аудит проводят в режиме сопоставления фактической настройки с утверждённым стандартом. В рабочем журнале фиксируют команды, снимки экранов, версии прошивок и ответы проверок. Каждое отклонение получает уровень риска, владельца и рекомендацию; изменения без согласования в период проверки не вносят, а критичные проблемы передают ответственным сразу.

Контрольные списки для инвентаризации и проверки

Физическую и функциональную инфраструктуру фиксируют в двух связанных списках. Первый помогает понять, что установлено и как подключено, а второй определяет параметры, которые нужно сравнить с эталоном.

• Модель, производитель, серийный номер, MAC-адреса, назначение, место установки и владелец устройства.
• Версия прошивки, лицензии, дата окончания поддержки, наличие расширенной гарантии и резервной копии.
• Адреса управления, VLAN, состояние портов, параметры PoE, скорость, подключённые линки и счётчики ошибок.
• Тип и маркировка кабелей, патч-панели, оптические модули, порты ввода-вывода и свободные места в стойке.
• Схема резервирования, электропитание, охлаждение, мониторинг и дата последней проверки или обслуживания.

Конфигурационную часть проверяют по параметрам, которые влияют на связность, доступность и защиту. Полученные данные сопоставляют со схемой, таблицей адресов и действующими регламентами.

• Состав VLAN, untagged- и tagged-порты, запрет выхода за пределы разрешённых VLAN и состояние неиспользуемых портов.
• Маршруты, шлюзы по умолчанию, DHCP, DNS, NTP, NAT, VPN и правила межсетевого экрана.
• Учётные записи, роли, аутентификация, журналирование, оповещения, сертификаты и сроки их действия.
• Настройки STP, LACP, QoS, MTU, Jumbo Frame, IPv4 и IPv6 в пределах утверждённой схемы.
• Резервное копирование, журналы событий, сбор трафика, мониторинг состояния и проверка восстановления из архива.

Оба списка служат основой для полевого чек-листа. Каждый пункт дополняют фактом, фотографией, выгрузкой или ссылкой на подтверждающий документ. В графе результата отмечают соответствие, отклонение или отсутствие данных. Пустые поля не оставляют без пометки: отсутствие сведений само по себе требует отдельного вывода.

Проверка коммутаторов, маршрутизаторов и межсетевых экранов

Для коммутаторов сверяют работающую и сохранённую конфигурации, затем проверяют VLAN на всех портах, согласование trunk, режим native VLAN и запрет выхода за его пределы. Особое внимание уделяют неиспользуемым портам, STP, BPDU Guard, PortFast, LACP, бюджету PoE, MTU и счётчикам ошибок. Расхождение между настройками может указывать на несостоявшееся изменение. Дополнительно сверяют версии прошивки и сроки поддержки, чтобы определить устройства, требующие обновления.

У маршрутизаторов проверяют таблицу маршрутизации, метрики, резервные и равнозначные пути, сроки жизни записей, параметры BGP или OSPF, аутентификацию соседей и обработку ошибок. Отдельно оценивают фильтрацию нежелательного трафика, TTL, фрагментацию пакетов, policy routing и доступ к серверам 1С, SONO и порталам налогоплательщиков.

Правила межсетевого экрана читают в порядке обработки, чтобы выявить дубли, теневые и слишком широкие разрешения. Проверяют списки адресов и объектов, зоны DMZ, исходящие соединения, VPN, журналы отказов, срок действия сертификатов и наличие проверки состояния пакетов. Утверждённую схему доступа сравнивают с фактическими маршрутами и правилами NAT.

После настройки выполняют контрольные соединения между сегментами, обращения к DNS и NTP, передачу данных, отказоустойчивые сценарии и проверку веб-сервисов. Каждый тест должен иметь разрешённый результат: доступ — только там, где он предусмотрен, а запрещённый маршрут не должен обходиться через другой шлюз или туннель.

Беспроводная сеть, питание и физический уровень

В беспроводной сети сверяют названия SSID, режимы WPA2 или WPA3, корпоративную и гостевую аутентификацию, изоляцию клиентов, параметры RADIUS и сроки действия сертификатов. Проверяют каналы, мощность передачи, загруженность диапазонов, бесшовный роуминг, лицензии точек доступа и наличие посторонних SSID. Для чувствительных сетей оценивают доступ к точке из недоверенной зоны.

Контроллер или система управления должна хранить актуальный образ конфигурации, журналы событий и резервную копию. Проверяют синхронизацию времени, обновление точек, политики QoS, гостевой доступ и срабатывание правил при изменении состава группы. Устаревшие или неподдерживаемые модели выделяют для плановой замены.

Физический уровень проверяют по маркировке кабелей, схеме патч-панелей, категории медных линий, состоянию разъёмов и оптических модулей. Ошибки CRC, потери пакетов и нестабильность линка требуют измерения канала, а не только перезагрузки порта. Отдельно оценивают нагрузку на ИБП, PDU, контуры заземления, вентиляцию, пыль, температуру и резервирование питания. Плановое тестирование аккумуляторов ИБП и переключение на резервную линию входят в регламент технического обслуживания.

Безопасность, отказоустойчивость и эксплуатация

Управление устройствами оценивают по учётным записям, ролям и принципу минимальных привилегий. Служебные и стандартные учётные записи удаляют, административные доступы разделяют, пароли и ключи хранят в защищённом менеджере. Для CLI предпочтительны SSH, для веб-интерфейсов — HTTPS; SNMPv3, AAA, MFA и ограничение источников управления применяются там, где поддерживаются.

Отказоустойчивость подтверждают контрольным отключением резервного канала или узла, не нарушая рабочие сервисы. Проверяют STP, LACP, резервирование шлюзов и WAN, отказоустойчивость DHCP, синхронизацию времени, DNS и журналы. Для критичных сервисов нужны заранее утверждённые сценарии деградации, восстановления и эскалации.

Непрерывный мониторинг должен видеть состояние интерфейсов, загрузку процессоров и памяти, температуру, ошибки каналов, неудачные входы и изменение конфигураций. Syslog, SNMP-уведомления или платформенные оповещения связывают с ответственными, а архивы конфигураций хранят отдельно от устройств в зашифрованном виде. Проверка восстановления из архива подтверждает, что резервная копия действительно пригодна. Отдельно контролируют срок поддержки прошивок и график обновлений.

Результаты аудита и закрепление изменений

Итоговый отчёт описывает фактическое состояние инфраструктуры, обнаруженные отклонения, доказательства и ожидаемый результат. Ошибки, неработающие ссылки и неактуальная документация фиксируются отдельно от нарушений безопасности. Каждая рекомендация получает категорию критичности, владельца, срок, оценку трудозатрат и связь с риском для сервисов. В приложения включают выгрузки конфигураций, журналы проверок и перечень затронутого оборудования.

Изменения выполняют поэтапно: сначала создают копию, затем проверяют совместимость версий и зависимости, применяют тестовую настройку и только потом закрепляют её в эталоне. После работ сравнивают конфигурации, повторяют контрольные сценарии и обновляют схемы, реестр IP-адресов и журнал изменений. Повторный аудит подтверждает устранение критичных и средних рисков.

VINCIT — казахстанская ИТ-компания — проводит аудит сетевой инфраструктуры, настраивает серверы и телекоммуникационное оборудование, внедряет мониторинг и организует техническую поддержку по сервисным соглашениям. Команда может взять на себя ИТ-аутсорсинг, обслуживание офисной и печатной инфраструктуры, модернизацию сети и сопровождение систем 1С, SONO и порталов налогоплательщиков. Передайте VINCIT карту объектов и зоны ответственности — специалисты подготовят план проверки, оценят сроки и зафиксируют ожидаемые результаты аудита.