Cómo crear una copia de seguridad de la configuración de Cisco y restaurarla tras un fallo

Un conmutador averiado por sí solo es molesto, pero es mucho peor descubrir después del reemplazo que nadie conservó su configuración. VLAN, direcciones de interfaz, rutas, listas de acceso, ajustes de puertos y decenas de otros parámetros hay que restaurarlos manualmente, y parte de esos detalles ya nadie los recuerda.

Cisco ofrece varias maneras de guardar la configuración: desde copiar el archivo a un servidor hasta un archivo de versiones automático. Lo importante es entender exactamente qué se guarda, dónde está la copia y cómo restaurarla después en el equipo. Un archivo que nunca se ha probado en la práctica no garantiza una recuperación rápida de la red. Vamos a desglosarlo.

Running-config y startup-config: qué configuración debe guardarse

En Cisco IOS e IOS XE existen dos configuraciones que es fácil confundir.

Configuración	Qué contiene	Qué ocurre tras el reinicio
`running-config`	Los ajustes actuales con los que el dispositivo está funcionando en este momento	No se guarda por sí sola
`startup-config`	Configuración destinada al siguiente arranque	Se usa al iniciar el dispositivo

La configuración actual se almacena en la memoria operativa. Puede verse con el comando:

show running-config

La configuración para el siguiente arranque puede consultarse así:

show startup-config

Si el administrador cambió ajustes pero no los guardó, running-config y startup-config diferirán. Tras el reinicio, los cambios no guardados se perderán.

Para escribir la configuración actual como de arranque, Cisco en la guía actual de gestión de archivos de configuración utiliza el comando:

copy system:running-config nvram:startup-config

En la práctica suele emplearse la forma corta:

copy running-config startup-config

Cisco lo admite como alias. En la mayoría de plataformas startup-config se guarda en NVRAM, es decir, en memoria no volátil. En algunos dispositivos la ubicación puede determinarse mediante la variable CONFIG_FILE, por lo que no conviene asumir que NVRAM es el único lugar posible en todas las modelos.

Para copia de seguridad es útil guardar ambas versiones. startup-config muestra lo que se cargará tras un reinicio. running-config contiene los ajustes reales en el momento de crear la copia, incluyendo cambios que el administrador aún no ha guardado.

Cómo guardar la configuración de Cisco en un servidor mediante SCP o TFTP

Tener una copia solo en el propio equipo sirve de poco si falla su memoria o hay que reemplazar el conmutador. Por eso la configuración debe almacenarse también en un servidor separado.

Una de las opciones más sencillas es:

copy running-config tftp:

Cisco pedirá la dirección del servidor TFTP y el nombre de archivo. Se puede indicar la dirección completa:

copy system:running-config tftp://192.0.2.20/sw-office-01-running.cfg

De forma similar se guarda startup-config:

copy nvram:startup-config tftp://192.0.2.20/sw-office-01-startup.cfg

TFTP es apropiado para una red cerrada de administración, pero no cifra ni ofrece autenticación robusta. No conviene transmitir configuraciones por redes no confiables mediante TFTP.

Para transferencia segura es mejor usar SCP, si la versión concreta de IOS o IOS XE lo soporta. El comando de copia se construye con el mismo principio:

copy system:running-config scp:

copy nvram:startup-config scp:

SCP funciona sobre SSH y cifra la conexión. Cisco lo describe en una guía separada sobre Secure Copy.

El comando:

ip scp server enable

se usa en otra situación: habilita el servidor SCP en el propio equipo Cisco para que un cliente autorizado pueda copiar archivos hacia y desde el sistema de ficheros del dispositivo. Para ello también deben estar correctamente configurados SSH, autenticación y autorización AAA. No es necesario activar ip scp server enable únicamente para que Cisco envíe ella misma el archivo a un servidor SCP externo.

Los archivos de configuración deben considerarse datos sensibles. Pueden contener cuentas, hashes y contraseñas cifradas, parámetros SNMP, direcciones de infraestructura, claves precompartidas de VPN y otros datos útiles para un atacante. El servidor con las copias debe tener acceso restringido y conviene cifrar las copias en reposo.

Tras la copia, compruebe siempre que el archivo apareció en el servidor y que su tamaño no es cero. Aún mejor es abrir periódicamente varias copias recientes y verificar que contienen la configuración esperada. El mensaje [OK] tras un comando no sustituye a la comprobación de todo el sistema de copias de seguridad.

Cómo configurar copias de seguridad automáticas en Cisco

En IOS e IOS XE existe el mecanismo Configuration Versioning. Guarda versiones sucesivas de running-config en un archivo de historial. El soporte de sistemas de ficheros concretos depende de la plataforma, por lo que conviene revisar la documentación del modelo antes de configurar.

Un archivo local sencillo puede configurarse así:

configure terminal
archive
 path bootflash:config-backup
 maximum 10
 time-period 1440
end

path especifica la ubicación y el comienzo del nombre de archivo. maximum 10 conserva hasta diez versiones. Cuando se alcance el límite, al crear la siguiente versión se eliminará la más antigua. En la documentación actual de IOS XE la orden maximum acepta valores de 1 a 14; el valor por defecto es 10.

time-period 1440 significa guardado automático cada 1440 minutos, es decir, una vez al día. Para crear manualmente una nueva versión:

archive config

Ver las versiones guardadas:

show archive

La descripción detallada del mecanismo figura en la guía de Cisco sobre Configuration Versioning.

Hay una limitación importante. Un archivo en la memoria interna protege frente a un cambio erróneo de configuración, pero no frente a la avería del dispositivo. Por tanto las versiones locales y la copia externa resuelven problemas distintos.

El mecanismo integrado archive soporta distintas memorias locales y de red según la plataforma. En la documentación general de IOS XE entre las opciones de red se mencionan TFTP, FTP y RCP. SCP no aparece indicado como vía universal para el archivo. Por eso no conviene copiar a ciegas desde internet configuraciones tipo path scp://... esperando que funcionen en cualquier Catalyst o en cualquier router sin comprobarlo.

Si la empresa necesita copias externas automáticas y cifradas, es más fiable usar un sistema de gestión de red o un servidor de automatización. Ese servidor puede conectarse por SSH a los equipos según un calendario, obtener la configuración y almacenar versiones en un repositorio protegido. Además permite detectar de inmediato qué dispositivos han dejado de enviar copias.

Cómo recuperar un Cisco tras un fallo o una configuración errónea

El método de recuperación depende de lo ocurrido. Si el dispositivo funciona pero el administrador ha estropeado la configuración, a veces un reinicio restaura el último startup-config guardado. Pero antes hay que asegurarse de que la configuración errónea no se guardó.

Si el archivo necesario está en un servidor TFTP y se desea añadirlo a la configuración actual, se usa:

copy tftp://192.0.2.20/sw-office-01.cfg system:running-config

Aquí hay una particularidad importante. Cisco no borra running-config antes de esa copia. Los comandos del archivo se aplican a la configuración existente. Como resultado pueden permanecer ajustes que no están en la copia de seguridad.

Por eso cargar un archivo en running-config sirve, por ejemplo, para añadir un conjunto conocido de comandos, pero no puede considerarse automáticamente una restauración exacta del estado anterior.

Si es necesario que la configuración guardada se cargue en el siguiente arranque, se puede copiar el archivo directamente a startup-config:

copy tftp://192.0.2.20/sw-office-01.cfg nvram:startup-config
reload

Para SCP, si el dispositivo lo soporta, se aplica el mismo principio con la fuente scp:.

En plataformas que soportan Configuration Replace, la configuración actual puede reemplazarse por el archivo guardado en lugar de combinarse con él. Por ejemplo:

configure replace nvram:startup-config

Para retroceso automático si no se confirma el cambio, Cisco también admite la variante con temporizador:

configure replace nvram:startup-config time 120

Tras una verificación satisfactoria hay que confirmar el cambio:

configure confirm

Si no se recibe la confirmación dentro del tiempo establecido, el equipo intentará restaurar la configuración anterior. Esta función es especialmente útil en acceso remoto, cuando un cambio erróneo de dirección IP, ruta o lista de acceso puede dejar al administrador sin acceso SSH.

Pero configure replace tampoco es una solución universal. Algunas órdenes y funciones tienen limitaciones, y para determinados escenarios PKI Cisco indica condiciones especiales. En infraestructuras críticas conviene probar el procedimiento en la propia plataforma con antelación.

Cómo restaurar la configuración tras reemplazar un dispositivo

Supongamos que el conmutador antiguo falló por completo y hay uno nuevo sobre la mesa. Incluso con un archivo reciente no conviene cargar la configuración antigua sin comprobarla.

Primero compare el modelo y la versión de IOS o IOS XE. Si el reemplazo difiere del equipo original pueden cambiar los nombres y el número de interfaces, los comandos soportados, la estructura de stack, las condiciones de licencia y las funciones disponibles.

Para un dispositivo lo más parecido posible, la restauración suele seguir este esquema:

Instale la versión de IOS o IOS XE adecuada y verifique su compatibilidad con la configuración guardada.
Configure el acceso mínimo al equipo nuevo: por ejemplo, consola y conectividad temporal con el servidor de copias.
Copie el archivo de respaldo al equipo o directamente a startup-config.
Revise el archivo y corrija de antemano parámetros vinculados al hardware antiguo si el modelo difiere.
Reinicie el equipo con la startup-config restaurada.
Compruebe interfaces, VLAN, enrutamiento, listas de acceso, protocolos de redundancia, SSH y otras funciones usadas.
Genere una nueva copia de seguridad tras una recuperación exitosa.

Para copiar un archivo a startup-config puede usar, por ejemplo:

copy tftp://192.0.2.20/sw-office-01-startup.cfg nvram:startup-config

Tras el reinicio el equipo intentará aplicar esa configuración.

Pero un startup-config no siempre contiene absolutamente todo lo necesario para reemplazar el equipo. Según la plataforma y las funciones, pueden almacenarse datos adicionales por separado.

Base de VLAN. En algunos conmutadores la información de VLAN se guarda en el archivo vlan.dat, no solo en startup-config.
Material criptográfico. Certificados, claves privadas y ciertos datos PKI pueden requerir traslado separado o reemisión.
Imagen de IOS o IOS XE. La configuración no contiene el firmware del equipo.
Licencias. Pueden estar ligadas a la cuenta, a la plataforma o al equipo concreto y no se restauran con la sola copia de la configuración.
Archivos adicionales. En algunas plataformas hay archivos en la memoria flash que no forman parte de running-config ni de startup-config.

Por eso, junto con la configuración conviene guardar también el modelo, el número de serie, la versión de software, la lista de licencias y la información sobre archivos adicionales. Puede comprobar el modelo y el software con:

show inventory
show version

Para un conmutador también resultan útiles:

show vlan brief
show interfaces status

Así es más fácil determinar si el equipo restaurado corresponde al estado previo a la avería.

Esquema normal de copia de seguridad para una pequeña empresa

Para unos pocos routers y conmutadores no se necesita un sistema complejo, pero tampoco es suficiente copiar la configuración manualmente cada seis meses. Un esquema operativo puede ser:

Qué hacer	Cuándo	Dónde almacenar
Guardar `running-config` en `startup-config`	Tras cada cambio confirmado	En el propio equipo
Crear una versión de archivo local	Antes de un cambio importante y automáticamente una vez al día	En flash/bootflash, si hay espacio suficiente
Exportar la configuración	Automáticamente a diario y tras cambios importantes	En un servidor protegido separado
Conservar historial de versiones	De forma continua con periodo de retención fijado	En un repositorio externo
Verificar el éxito de las copias	Regularmente	Mediante el registro del sistema de copias
Comprobar la restauración	Periódicamente y tras un cambio importante de plataforma	En un equipo de reserva o de laboratorio

Los nombres de archivos conviene hacerlos descriptivos sin abrir su contenido, por ejemplo:

sw-office-01_2026-10-23_running.cfg
rtr-main-01_2026-10-23_startup.cfg

Antes de cambiar la red es útil crear una copia con fecha y con la finalidad del cambio. Así, en caso de problema no habrá que adivinar cuál de diez archivos era el último que funcionaba.

Otra regla sobre el lugar de almacenamiento: si todas las copias están solo en la memoria flash del propio conmutador, en una avería de hardware se perderán junto con él. Al menos una versión actual debe estar fuera del equipo. En redes realmente importantes también conviene replicar el repositorio externo.

Y, por último, una copia de seguridad debe comprobarse restaurándola. Se pueden acumular archivos en el servidor durante años y, en un desastre, descubrir credenciales incorrectas, falta de vlan.dat, una versión incompatible de IOS XE o una configuración de un equipo ya retirado. Un procedimiento de prueba cada pocos meses aporta mucho más valor que cientos de archivos no verificados.

Preguntas y respuestas

¿Cómo hacer una copia de seguridad de la configuración de Cisco?

Primero guarde la configuración actual con copy running-config startup-config, luego copie running-config y startup-config a un servidor externo mediante un protocolo soportado, por ejemplo SCP o TFTP.

¿En qué se diferencia running-config de startup-config?

running-config contiene los ajustes con los que Cisco está funcionando ahora. startup-config se usa en el siguiente arranque. Los cambios no guardados en running-config se perderán tras un reinicio.

¿Cómo guardar running-config en startup-config?

Use el comando copy running-config startup-config. La forma completa en la documentación de Cisco es copy system:running-config nvram:startup-config.

¿Qué es mejor para las copias: SCP o TFTP?

Para transferir configuraciones por red es preferible SCP, porque funciona sobre SSH y cifra la conexión. TFTP es más simple, pero no provee cifrado ni autenticación, por lo que debe limitarse a una red administrativa de confianza.

¿Se puede guardar la configuración de Cisco automáticamente?

Sí. En IOS e IOS XE está disponible el mecanismo Configuration Versioning con las órdenes archive, path, maximum y time-period. Para copias externas y protegidas puede usarse un sistema de automatización que obtenga las configuraciones por calendario.

¿Por qué no basta con copiar la copia de seguridad en running-config?

La orden copy ... running-config añade los comandos del archivo a la configuración en ejecución y no elimina automáticamente los ajustes ausentes en la copia. Por eso el resultado puede diferir del estado guardado.

¿Es suficiente el startup-config para reemplazar un conmutador averiado?

No siempre. Según el modelo pueden ser necesarios por separado la base de VLAN, certificados y claves, la versión adecuada de IOS o IOS XE, licencias y archivos adicionales en la memoria flash. Antes de una avería conviene identificar el conjunto completo de datos necesarios para cada equipo.