配置变更留痕是什么
配置变更留痕指把一次设备改动的「谁改、何时改、改了哪些命令、依据是什么」完整记录下来，事后能以证据形式还原。它的价值不只在合规检查：故障回溯、责任界定、双机配置比对、新人接手都依赖这段历史。设备操作日志只能证明命令被执行过，必须与变更单、变更前后配置备份三者关联，才构成可审计的变更历史。
留痕四要素
| 变更单据 | 变更单号、审批记录、计划窗口与影响范围 |
|---|---|
| 操作日志 | 设备 syslog 或 AAA 平台记录的命令、时间与操作人 |
| 配置备份 | 变更前后各一份，作为结果与回退基准 |
| 执行记录 | 现场操作记录、录屏、复核签字（高风险变更） |
典型使用场景
- 合规检查：等保与内审要求提供变更证明，按变更单号即可调出全套材料
- 故障回溯：异常出现在某次变更之后时，用前后配置比对快速锁定改动点
- 双机一致性核对：取两台设备同一时段的备份比对，确认配置是否同步
- 责任界定：多人值班或外包运维时，确认操作人与授权范围是否匹配
- 回退准备：变更引发问题时按备份还原，缩短业务中断时间
一次变更的留痕组合
一次变更的留痕组合
变更单 CM-20261013-018 已审批 窗口 02:00-03:00 # 依据
变更前备份 cfg-before-20261013.cfg # 基准
执行阶段：设备 syslog 记录命令序列与操作账号 # 过程
变更后备份 cfg-after-20261013.cfg # 结果
diff cfg-before-20261013.cfg cfg-after-20261013.cfg # 确认改动范围
归档：两份配置与比对结果挂到变更单附件 # 留存留痕要素与查证方式
| 要素 | 存放位置 | 查证方式 |
|---|---|---|
| 变更单 | 变更管理系统或工单平台 | 按设备名、时间检索审批记录 |
| 操作日志 | syslog 服务器或 AAA 平台 | 按设备与时间过滤命令级记录 |
| 配置备份 | 备份服务器或网管平台 | 取变更前后两份做文本比对 |
| 执行记录 | 值班日志、录屏归档 | 以变更单号关联同一次操作 |
设备时间与日志服务器不同步，变更单时间和设备日志时间就对不上，留痕等于留了个矛盾证据：先把 NTP 统一，再谈证据关联。
紧急变更先处置、后补单是常见折中，但补录必须写明原因、批准人与实际执行时间，否则事后无法区分紧急变更与未授权改动。