SwitchConfigFetcher

1. Was das Programm macht

SwitchConfigFetcher meldet sich per SSH oder Telnet an Ihren Netzwerk-Switchen an, ruft die Konfiguration und einige Diagnose-Ausgaben ab und legt alles als Textdateien ab. So haben Sie jederzeit einen aktuellen Stand Ihrer Geräte, auch wenn einmal ein Switch ausfällt oder jemand etwas verstellt.

• Nur lesend: Das Programm schreibt nichts auf die Geräte und ändert keine Einstellungen.
• Mitgelieferte Profile: Cisco IOS / IOS-XE (inkl. Catalyst 1000 und ältere Geräte), HP ProCurve, Aruba AOS-CX, Extreme EXOS, MikroTik RouterOS, Ubiquiti UniFi.
• Pro Gerät abgerufen (je nach Profil): laufende Konfiguration, Version, Schnittstellen, MAC-Adresstabelle, VLANs.
• Alles lokal: Keine Cloud, keine Anmeldung, keine Datenübertragung an uns. Passwörter werden mit Windows-DPAPI verschlüsselt abgelegt.
• Windows-Programm für die Kommandozeile (Windows 10/11, Server 2019 oder neuer, 64 Bit). Es braucht keine Installation und keine .NET-Runtime; die Datei SwitchConfigFetcher.exe genügt.

2. Schnellstart in sechs Schritten

Öffnen Sie eine PowerShell im Ordner mit der SwitchConfigFetcher.exe. Wir empfehlen, die Datei nach C:\Tools\SwitchConfigFetcher\ oder C:\Program Files\codekunst systems GmbH\SwitchConfigFetcher\ zu legen.

1. Ordner anlegen lassen.
   

   .\SwitchConfigFetcher.exe init

   Das legt C:\ProgramData\codekunst systems GmbH\SwitchConfigFetcher\ an (Konfiguration, Ausgabe, Logs) und schreibt eine Start-config.json. Einen anderen Ort wählen Sie mit init --root D:\SCF.
2. Konfiguration vorbereiten. Nehmen Sie eine der Beispieldateien aus dem Ordner samples (siehe Abschnitt 3), tragen Sie Ihre Switche ein und speichern Sie sie als config.json in den Ordner aus Schritt 1.
3. Passwort setzen (verdeckte Eingabe, wird sofort verschlüsselt):

   .\SwitchConfigFetcher.exe set-password --all
   .\SwitchConfigFetcher.exe set-password --ip 10.0.1.1 --enable

   Das erste Kommando setzt das Login-Passwort für alle Switche, das zweite das Enable-Passwort eines einzelnen Geräts.
4. Konfiguration prüfen.

   .\SwitchConfigFetcher.exe validate-config
   .\SwitchConfigFetcher.exe list

   Meldet OK, wenn alles passt, sonst eine verständliche Fehlermeldung.
5. Probelauf ohne Verbindung.

   .\SwitchConfigFetcher.exe --dry-run

   Zeigt nur, welche Geräte abgefragt würden. Es wird keine Verbindung aufgebaut.
6. Erster echter Lauf, zunächst mit einem einzelnen Gerät:

   .\SwitchConfigFetcher.exe --ip 10.0.1.1 --verbose

   Die Ergebnisse liegen danach unter ...\SwitchConfigFetcher\output\10.0.1.1\<Datum_Uhrzeit>\. Läuft das, rufen Sie ohne --ip alle Geräte ab.

3. Die Konfiguration

Die Datei config.json ist eine normale JSON-Datei. Zeilenkommentare (// ...) und ein Komma am Zeilenende sind erlaubt. Im Ordner samples liegen vier Vorlagen:

Die Beispiele sind absichtlich nicht lauffähig: Solange bei passwordEncrypted noch REPLACE_WITH_OUTPUT_OF_encrypt_COMMAND steht, bricht das Programm ab. So läuft nichts versehentlich mit falschen Zugangsdaten gegen Ihre Geräte.

Ein Switch-Eintrag

{
  "ip": "10.0.1.1",                  // Pflicht, zugleich Name des Ausgabeordners
  "hostname": "core-sw-01",          // optional, nur für Anzeige und Logs
  "group": "core",                   // optional, für --group
  "vendor": "cisco-ios",             // Pflicht, Name eines Profils (Abschnitt 8)
  "protocol": "ssh",                 // "ssh" oder "telnet"
  "port": 22,                        // optional (Standard: SSH 22, Telnet 23)
  "username": "admin",               // Pflicht
  "passwordEncrypted": "AQAAANCM...",       // wird von set-password eingetragen
  "enablePasswordEncrypted": "AQAAANCM...", // nur bei Geräten mit Enable-Stufe
  "enabled": true                    // false = Switch überspringen
}

Einstellungen für den Lauf

4. Passwörter und Sicherheit

So kommt ein Passwort in die Konfiguration

Der empfohlene Weg ist set-password. Es fragt das Passwort verdeckt ab (zur Kontrolle zweimal), verschlüsselt es mit Windows-DPAPI und trägt nur den verschlüsselten Wert in die config.json ein. Das Klartext-Passwort steht weder in einer Datei noch in der PowerShell-Verlaufsliste noch in der Prozessliste.

Vor jeder Änderung legt set-password eine Sicherung als config.json.bak an. Weil die Datei dabei neu geschrieben wird, gehen Kommentare in der config.json verloren. Die Sicherung enthält sie noch.

Wie sicher ist das?

• Der verschlüsselte Wert ist an diesen Rechner gebunden (DPAPI, Bereich „Lokaler Computer“). Auf einem anderen Rechner lässt er sich nicht verwenden. Sie müssen die Passwörter dort neu setzen.
• Aber: Auf diesem Rechner kann jeder Benutzer und jedes Programm den Wert wieder entschlüsseln. Der Schutz besteht darin, dass die Datei nicht lesbar ist. Beschränken Sie den Ordner deshalb auf Administratoren und SYSTEM:

  icacls "C:\ProgramData\codekunst systems GmbH\SwitchConfigFetcher" /inheritance:r
  icacls "C:\ProgramData\codekunst systems GmbH\SwitchConfigFetcher" /grant:r "Administrators:(OI)(CI)F" "SYSTEM:(OI)(CI)F"

• Verwenden Sie an den Geräten ein eigenes Konto nur für diese Abfrage, mit so wenigen Rechten, wie das Gerät zulässt (das Auslesen der Konfiguration braucht bei Cisco meist Privilege 15).
• Klartext in der Konfiguration (Feld password) wird zwar beim ersten Lauf automatisch verschlüsselt, dabei bleibt aber eine config.json.bak mit dem Klartext zurück. Nicht empfohlen. Löschen Sie die .bak-Datei, wenn Sie es doch getan haben.
• Die Ergebnisdateien enthalten komplette Konfigurationen, oft mit Hash-Werten von Kennwörtern und SNMP-Community-Strings. Behandeln Sie den Ausgabeordner wie ein sensibles Backup.

5. Befehle

6. Ergebnis, Logs und Rückgabewerte

Pro Lauf und Gerät entsteht ein Ordner mit Zeitstempel:

output\
└── 10.0.1.1\
    ├── 2026-10-01_0230\
    │   ├── running-config.txt
    │   ├── version.txt
    │   ├── interfaces.txt
    │   ├── mac-table.txt
    │   └── vlans.txt
    └── 2026-10-02_0230\ ...

• Dateiname = Name des Befehls im Profil; Text in UTF-8.
• Schlägt ein einzelner Befehl fehl, entsteht statt .txt eine .err-Datei. Schlägt das ganze Gerät fehl, steht fetch.err im Ordner.
• Die Log-Datei (logs\fetcher-JJJJ-MM-TT.log) enthält immer die Details. Passwörter stehen nie darin. Zeitüberschreitungen listen die letzten empfangenen Zeichen auf, daran erkennen Sie, was das Gerät tatsächlich geantwortet hat. Alte Logs und Ergebnisse werden nicht automatisch gelöscht.

7. Täglich automatisch laufen lassen

Das Programm hat keinen eigenen Zeitplan. Nutzen Sie dafür die Windows-Aufgabenplanung, zum Beispiel jede Nacht um 02:30 Uhr:

$exe = "C:\Tools\SwitchConfigFetcher\SwitchConfigFetcher.exe"
$action    = New-ScheduledTaskAction -Execute $exe
$trigger   = New-ScheduledTaskTrigger -Daily -At 02:30
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount -RunLevel Highest
$settings  = New-ScheduledTaskSettingsSet -StartWhenAvailable -DontStopOnIdleEnd
Register-ScheduledTask -TaskName "SwitchConfigFetcher" -Action $action -Trigger $trigger -Principal $principal -Settings $settings

• Die Passwörter sind an den Rechner gebunden, nicht an einen Benutzer: Die Aufgabe darf also unter SYSTEM laufen, auch wenn Sie die Passwörter als Administrator gesetzt haben. Die Aufgabe muss auf demselben Rechner laufen.
• Der Rückgabewert der Aufgabe entspricht dem Rückgabewert des Programms (Abschnitt 6). Die Aufgabenplanung zeigt ihn unter „Letztes Ausführungsergebnis“ an; so lässt sich ein Fehlschlag überwachen.
• Alte Logs und Ergebnisse räumen Sie selbst auf, zum Beispiel Logs älter als 90 Tage:

  Get-ChildItem "C:\ProgramData\codekunst systems GmbH\SwitchConfigFetcher\logs\*.log" |
    Where-Object { $_.LastWriteTime -lt (Get-Date).AddDays(-90) } | Remove-Item

8. Hersteller-Profile anpassen

Ein Profil beschreibt, wie das Programm mit einem Gerätetyp spricht: Prompts, Anmeldung, abzufragende Befehle, Abmeldung. Im Feld vendor eines Switch-Eintrags steht der Name des Profils.

Befehle ergänzen oder ändern

Die eingebauten Profile sehen Sie nach init im Ordner profiles neben der config.json (nur zur Ansicht, das Programm verwendet die eingebauten). Änderungen gehören in vendorOverrides der config.json:

"vendorOverrides": {
  "cisco-ios": {
    "ssh": {
      "commands": [
        { "name": "running-config", "send": "show running-config",        "expect": "privExec" },
        { "name": "version",        "send": "show version",               "expect": "privExec" },
        { "name": "cdp-neighbors",  "send": "show cdp neighbors detail",  "expect": "privExec" }
      ]
    }
  }
}

• name ist der Dateiname der Ausgabe, send der Befehl am Gerät, expect der Prompt (aus dem Profil), auf den gewartet wird.
• Listen werden komplett ersetzt, nicht ergänzt. Führen Sie die Standardbefehle also mit auf, wenn Sie nur einen Befehl hinzufügen wollen. Alle übrigen Felder des Profils bleiben unverändert.
• Ein ganz neues Profil (anderer Hersteller) lässt sich ohne Neuübersetzung nicht hinzufügen.

9. Fehlersuche

Starten Sie immer zuerst mit .\SwitchConfigFetcher.exe --ip <Adresse> --verbose und öffnen Sie daneben die Log-Datei.

10. Lizenz, Haftung, Kontakt

• Kostenlos für private und geschäftliche Nutzung. Die Weitergabe in unveränderter Form (die ZIP-Datei) ist erlaubt. Die vollständigen Bedingungen stehen in LICENSE.txt.
• Das Programm wird ohne Gewähr bereitgestellt. Prüfen Sie Sicherungen regelmäßig auf Vollständigkeit; testen Sie Wiederherstellungen, bevor Sie sich darauf verlassen.
• Sicherheitslücke gefunden? Bitte melden Sie sie uns vertraulich: siehe SECURITY.txt bzw. www.codekunst-systems.com/security.
• Fragen, Hilfe bei der Einrichtung, Anpassung an weitere Geräte: info@codekunst-systems.com · +49 7231 13334-0