Automatisation backup réseau

Le problème

La gestion manuelle des sauvegardes de configuration sur un parc réseau mondial induit des risques réels : oublis, incohérences de version, et en cas de remplacement d'équipement non planifié ou de rollback suite à un change mal effectué, une reconfiguration depuis zéro. Aucune automatisation n'existait pour les 11 réseaux Meraki mondiaux (350+ devices), le firewall Palo Alto, les 4 nœuds VPN ASA et les 2 VM Kemp du périmètre.

Ce que j'ai fait

• Inventorié le périmètre complet et étudié les API disponibles par constructeur : clé Read Only suffisante chez Meraki, Read/Write obligatoire chez Palo Alto (confirmé avec le support), aucune API exploitable chez Kemp.
• Développé un script Python 3.x (librairie Requests, clés API en variables d'environnement) exportant les configurations en JSON pour Meraki et XML pour Palo Alto.
• Mis en place un serveur FTP dédié (FileZilla) derrière firewall, avec un fichier horodaté par équipement, et des ARM templates pour sauvegarder aussi les VMs hébergeant les appliances.
• Planifié l'exécution hebdomadaire via task scheduler, le samedi à 3 h, en s'appuyant sur le backup natif FTP des Kemp pour compléter la couverture.
• Développé un monitoring par baseline du nombre de fichiers attendus par dossier, avec mail récapitulatif automatique envoyé à toute l'équipe réseau.

Résultats

Le script tourne en production, sans intervention manuelle. La comparaison des backups successifs permet de détecter toute dérive de configuration non planifiée sur le parc, et en cas de remplacement d'urgence ou de rollback, la configuration est disponible immédiatement sur le FTP. La migration du stockage vers un Azure Storage Account reste en standby : le format de backup natif des Kemp n'y est pas compatible, ce qui a motivé un projet parallèle visant à sortir ces équipements du périmètre.

Ce que j'en retiens

Ce projet a validé ma capacité à lier développement et réseau, ce qu'on appelle le NetDevOps : identifier un risque non couvert, proposer une solution et la déployer seul. Si c'était à refaire, j'aurais renforcé la validation dès le départ : la baseline détecte un fichier manquant mais pas un fichier tronqué, une prochaine version vérifierait la structure JSON et une taille minimale par équipement.