Днес ще говорим за възстановяване на пароли за рутери и комутатори, актуализиране, преинсталиране и възстановяване на IOS и системата за лицензиране на Cisco за операционната система IOSv15. Това са много важни теми относно управлението на мрежови устройства.
Как мога да възстановя паролата си? Може да попитате защо това може да е необходимо. Да предположим, че сте конфигурирали устройството и сте задали всички необходими пароли: на VTY, на конзолата, в привилегирован режим, на Telnet и SSH връзка и след това сте забравили тези пароли. Възможно е служителят на фирмата, който ги е инсталирал, да си е тръгнал и да не ви е дал записите или да сте закупили рутер от eBay и да не знаете паролите, зададени от предишния собственик, така че да нямате достъп до устройството.
В такива ситуации трябва да се използват "хакерски" техники. Хаквате устройство на Cisco и нулирате пароли, но не е истинско хакване, ако устройството е ваше. Това изисква три неща: последователност за прекъсване, конфигурационен регистър и рестартиране на системата.
Използвате превключвателя, изключвате захранването на рутера и след това го включвате отново, така че рутерът да започне да се рестартира, "ciscos" нарича това думата "подскачане". По време на разопаковането на изображението на IOS трябва да приложите прекъсване при зареждане, тоест да се свържете с устройството през конзолния порт и да стартирате Break Sequence. Клавишната комбинация, която стартира Break Sequence, зависи от програмата за емулация на терминала, която използвате, т.е. за Hyperterminal прекъсването на зареждането се извършва от една комбинация, за SequreSRT - от друга. Под това видео давам връзка , където можете да намерите всички клавишни комбинации за различни терминални емулатори, различна съвместимост и различни операционни системи.
Когато използвате прекъсване при зареждане, рутерът ще стартира в режим ROMmon. ROMmon е подобен на BIOS на компютър, това е елементарна базова ОС, която ви позволява да изпълнявате основни сервизни команди. В този режим можете да използвате конфигурационния регистър. Както знаете, по време на процеса на зареждане системата проверява за наличие на настройки за зареждане и ако те не са там, се зарежда с настройките по подразбиране.
Обикновено стойността на регистъра за конфигурация на рутера е 0x2102, което означава, че стартира конфигурацията за зареждане. Ако промените тази стойност на 0x2142, тогава по време на последователността за прекъсване конфигурацията за зареждане ще бъде игнорирана, тъй като системата няма да обърне внимание на съдържанието на енергонезависимата NVRAM памет и ще бъде заредена конфигурацията по подразбиране, съответстваща на настройките на рутера извън кутията.
По този начин, за да стартирате с настройки по подразбиране, трябва да промените стойността на конфигурационния регистър на 0x2142, което буквално казва на устройството: „моля, игнорирайте конфигурацията за зареждане при всяко зареждане!“. Тъй като тази конфигурация съдържа всички пароли, като стартирате с настройките по подразбиране, получавате безплатен достъп до привилегирован режим. В този режим можете да нулирате паролите си, да запазите промените си, да рестартирате системата си и да поемете пълен контрол над вашето устройство.
Сега ще стартирам Packet Tracer и ще покажа това, за което току-що говорих. Виждате топологията на мрежата, състояща се от рутер, в който трябва да нулирате паролите, комутатор и лаптоп. Във всички видео уроци щракнах върху иконата на устройството в Packet Tracer, отидох в раздела CLI конзола и конфигурирах устройството. Сега искам да го направя по различен начин и да покажа как това се прави на истинско устройство.
Ще свържа серийния порт на лаптопа RS-232 с конзолен кабел към конзолния порт на рутера, в програмата това е син кабел. Не е необходимо да конфигурирам никакви IP адреси, защото те не са необходими за комуникация с конзолния порт на рутера.
На лаптопа отивам в раздела Терминал и проверявам настройките: скорост на предаване 9600 bps, битове за данни 8, без паритет, стоп битове 1, контрол на потока не и след това натискам бутона OK, което ми дава достъп до рутера конзола. Ако сравним информацията в двата прозореца - CLI на рутера R0 и на екрана на лаптопа Laptop0, ще бъде абсолютно еднаква.
Packet Tracer ви позволява да правите тези неща, но на практика няма да използваме прозореца на CLI конзолата на рутера, а ще работим само през компютърния терминал.
И така, имаме рутер, на който трябва да възстановим паролата. Отивате на терминала на лаптопа, проверявате параметрите, отивате в панела с настройки на рутера и виждате, че достъпът е блокиран с парола! Как да отида там?
Отивам до рутера, до раздела, който го показва като физическо устройство, натискам превключвателя на захранването и веднага го включвам отново. Можете да видите, че в прозореца на терминала се появи съобщение за саморазархивирането на изображението на операционната система. В този момент трябва да използвате клавишната комбинация Ctrl+C, тя се използва за превключване към режим rommon в Packet Tracer. Ако сте влезли през Hyperterminal, тогава трябва да натиснете Ctrl+Break.
Виждате, че на екрана се е появил ред със заглавие rommon 1 и ако въведете въпросителен знак, тогава системата ще даде няколко съвета за това кои команди могат да се използват в този режим.
Опцията за зареждане стартира вътрешния процес на зареждане, confreg стартира помощната програма за настройка на системния регистър и това е командата, която ни интересува. Въвеждам в терминала confreg 0x2142. Това означава, че при рестартиране информацията, съхранена в NVRAM флаш паметта, ще бъде игнорирана и рутерът ще стартира с настройките по подразбиране като напълно ново устройство. Ако напиша командата confreg 0x2102, рутерът ще използва последните запазени опции за зареждане.
След това с командата за нулиране рестартирам системата. Както можете да видите, след зареждането му, вместо да ме подкани да въведа парола, както миналия път, системата просто ме пита дали възнамерявам да продължа диалоговия прозорец за настройка. Сега имаме рутер с настройки по подразбиране, без потребителска конфигурация.
Пиша no, последвано от enter и преминавам от потребителски режим към привилегирован режим. Тъй като искам да видя конфигурацията за зареждане, използвам командата show startup-config. Виждате името на хоста на рутера NwKing, банера за добре дошли и паролата на конзолата "console". Сега знам тази парола и мога да я копирам, за да не я забравя, или мога да я променя с друга.
Това, от което се нуждая преди всичко, е да заредя конфигурацията за стартиране в текущата конфигурация на рутера. За да направя това, използвам командата copy startup-config running-config. Сега текущата ни конфигурация е предишната конфигурация на рутера. Можете да видите, че след това името на рутера в командния ред се е променило от Router на NwKingRouter. С помощта на командата show run можете да видите текущата конфигурация на устройството, където можете да видите, че паролата за конзолата е думата „конзола“, не сме използвали парола за активиране, това е правилно. Трябва да запомните, че възстановяването "убива" привилегирован режим и вие се връщате в потребителски режим на командния ред.
Все още можем да правим промени в регистъра и ако паролата беше секретна, тоест беше използвана функцията enable secret, очевидно няма да можете да я декриптирате, така че можете да се върнете в режим на глобална конфигурация с командата config t и задайте нова парола. За да направя това, въвеждам командата enable secret enable или мога да използвам всяка друга дума като парола. Ако въведете show run, ще видите, че функцията enable secret е активирана, паролата вече не изглежда като думата „enable“, а като низ от криптирани знаци и не можете да се притеснявате за сигурността, защото току-що сте задали и сами сте шифровали нова парола.
Ето как можете да нулирате паролата на вашия рутер. Едно важно нещо, което трябва да отбележите е, че ако въведете командата show version, ще видите, че стойността на конфигурационния регистър е 0x2142. Това означава, че дори ако използвам командата за стартиране на копиране и рестартирам рутера, системата ще зареди отново настройките по подразбиране, тоест рутерът ще се върне към фабричните настройки. Изобщо не се нуждаем от това, защото нулирахме паролата, получихме контрол над устройството и искаме да го използваме в производствен режим.
Следователно трябва да влезете в режима на глобална конфигурация на Router(config)# и да въведете командата config-register 0x2102 и едва след това да използвате командата, за да копирате текущата конфигурация в копирането стартиране стартиране. Можете също да копирате текущите настройки в конфигурацията за зареждане, като използвате командата за запис. Ако сега въведете show version, ще видите, че текущата стойност на конфигурационния регистър е 0x2102 и системата съобщава, че промените ще влязат в сила следващия път, когато рутерът се рестартира.
Затова инициираме рестартиране с командата за презареждане, системата се рестартира и сега имаме всички конфигурационни файлове, всички настройки и знаем всички пароли. Ето как се възстановяват паролите на рутера.
Нека да разгледаме как да приложим същата процедура за превключване. Рутерът има превключвател, който ви позволява да изключите и включите отново захранването, но превключвателят на Cisco няма такъв превключвател. Трябва да се свържем към порта на конзолата с конзолен кабел, след това да изключим захранващия кабел от задната страна на превключвателя, след 10-15 секунди да го поставим обратно и веднага да натиснете и задръжте бутона MODE за 3 секунди. Това автоматично ще постави превключвателя в режим ROMmon. В този режим трябва да инициализирате флаш файловата система и да преименувате файла config.text на, например, config.text.old. Ако просто го премахнете, превключвателят ще „забрави“ не само пароли, но и всички предишни настройки. След това рестартирате системата.
Какво се случва в същото време с превключвателя? По време на рестартиране той осъществява достъп до конфигурационния файл config.text. Ако не намери този файл във флаш паметта на устройството, тогава зарежда IOS с настройките по подразбиране. Това е разликата: в рутера трябва да промените настройката на регистъра, а в комутатора просто трябва да промените името на файла с настройки за зареждане. Нека да видим как става това в програмата Packet Tracer. Този път свързвам лаптопа с конзолен кабел към конзолния порт на комутатора.
Ние не използваме CLI конзолата на превключвателя, а симулираме ситуация, при която настройките на превключвателя могат да бъдат достъпни само с лаптоп. Използвам същите настройки на терминала на лаптопа като в случая на рутера и с натискане на "Enter" се свързвам към конзолния порт на комутатора.
В Packet Tracer не мога да изключа и включа захранващия кабел, както мога с физическо устройство. Ако имах парола за конзолата, можех да рестартирам превключвателя, така че въвеждам командата enable password enable, за да присвоя парола за локален достъп на режима на привилегирована конзола.
Сега, ако отида в настройките, ще видя, че системата иска парола, която не знам. Така че трябва да започнете рестартиране на системата. Както можете да видите, системата не приема командата за презареждане, която идва от устройството на потребителя в потребителски режим, така че трябва да използвам привилегирован режим. Както казах, в реалния живот просто бих изключил захранващия кабел на превключвателя за няколко секунди, за да принудя рестартиране, но тъй като това не е възможно в програмата, трябва да премахна паролата и да рестартирам направо оттук. Разбираш защо го правя, нали?
И така, превключвам от раздела CLI към раздела Physical Device и когато устройството започне да се рестартира, задържам виртуалния бутон MODE за 3 секунди и влизам в режим ROMmon. Можете да видите, че информацията в CLI прозореца на комутатора е същата като в прозореца на екрана на лаптопа. Превключвам към лаптопа, който показва режима ROMmon на превключвателя, и въвеждам командата flash_init. Тази команда инициализира флаш файловата система, след което издавам командата dir_flash, за да прегледам съдържанието на флаш паметта.
Тук има два файла - файла на операционната система IOS с разширение .bin и файла config.text, който трябва да преименуваме. За да направя това, използвам командата rename flash:config.text flash:config.old. Ако сега използваме командата dir_flash, можем да видим, че файлът config.text е преименуван на config.old.
Сега въвеждам командата за нулиране, превключвателят се рестартира и след зареждане на системата отива към настройките по подразбиране. Това се доказва чрез промяна на името на устройството в командния ред от NwKingSwitch на просто Switch. В реалното устройство има команда за преименуване, но тя не може да се използва в Packet Tracer. Затова използвам show running conf, както можете да видите, превключвателят използва всички настройки по подразбиране и въведете командата more flash:config.old. Ето хака: просто трябва да копирате текущата конфигурация на устройството, показана на екрана, да влезете в режим на глобална конфигурация и да поставите копираната информация. В идеалния случай копираме абсолютно всички настройки и виждате, че името на устройството се е променило и превключвателят е преминал към нормална работа.
Сега остава да копирате текущата конфигурация в конфигурацията за зареждане, тоест да създадете нов файл config.text. Най-лесният начин е просто да преименувате стария файл обратно на config.text, т.е. да копирате съдържанието на config.old в текущата конфигурация и след това да го запишете като config.text. Ето как се възстановява паролата за превключване.
Сега ще разгледаме как да архивирате и възстановите операционната система Cisco IOS. Архивирането се състои от копиране на изображението на IOS на TFTP сървър. След това ще обясня как да прехвърлите системния файл с изображение от този сървър на вашето устройство. Третата тема е Възстановяване на системата в режим ROMmon. Това може да е необходимо, ако вашият колега случайно е изтрил IOS и системата е спряла да се зарежда.
Ще разгледаме как да получите системен файл от TFTP сървър в режим ROMmod. Има 2 начина да направите това, един от тях е xmodem. Packet Tracer не поддържа xmodem, така че ще обясня накратко какво представлява и след това ще използвам Packet Tracer, за да ви покажа как да използвате втория метод, възстановяване на системата чрез TFTP.
Диаграмата показва Router0, който има IP адрес 10.1.1.1. Този рутер е свързан към сървъра с IP адрес 10.1.1.10. Забравих да задам адрес на рутера, сега ще го направя бързо. Нашият рутер не е свързан с лаптопа, така че програмата не ви позволява да използвате CLI конзолата и ще трябва да поправя това.
Свързвам лаптопа към рутера с конзолен кабел, системата иска парола на конзолата, а аз използвам думата конзола. В режим на глобална конфигурация давам на интерфейс f0/0 правилния IP адрес и подмрежова маска 255.255.255.0 и добавям командата без изключване.
След това въвеждам командата show flash и виждам, че има 3 файла в паметта. Файл номер 3 е най-важният, това е IOS файлът на рутера. Сега трябва да конфигурирам TFTP сървъра, затова щраквам върху иконата на устройство Server0 и отварям раздела УСЛУГИ. Виждаме, че TFTP сървърът е активиран и съдържа файлове от много операционни системи на Cisco, включително IOS за нашия рутер c1841 - това е третият файл в списъка. Трябва да го премахна от сървъра, защото ще копирам друг IOS файл тук от нашия рутер Router0. За да направя това, избирам файла и щраквам върху Премахване на файла и след това отивам в раздела на конзолата на лаптопа.
От конзолата на рутера въвеждам copy flash tftp <име на изходен файл> <адрес на местоназначение/име на хост>, след което копирам и поставям името на файла на операционната система.
След това в командата трябва да посочите адреса или името на отдалечения хост, на който искате да копирате този файл. Точно както при запазване на конфигурацията за зареждане на рутера, тук трябва да внимавате. Ако по погрешка копирате не текущата конфигурация в конфигурацията за зареждане, а обратното, конфигурацията за зареждане в текущата, тогава след рестартиране на устройството ще загубите всички настройки, които сте направили. По същия начин в този случай източникът и местоназначението не трябва да се бъркат. И така, първо посочваме името на файла, който да се копира на сървъра, а след това IP адресът на този сървър е 10.1.1.10.
Виждате, че прехвърлянето на файлове е започнало и ако погледнете списъка с TFTP файлове, можете да видите, че вместо изтрития файл тук се е появил нов IOS файл на нашия рутер. Ето как IOS се копира на сървъра.
Сега се връщаме в прозореца за настройки на рутера на екрана на лаптопа и въвеждаме командата за копиране на tftp flash, посочваме адреса на отдалечения хост 10.1.1.10 и името на файла източник Име на файла източник, тоест IOS, който трябва да бъде копиран на флаш рутера: с1841-ipbase-mz.123 -14.T7.bin. След това се посочва името на целевия файл, което в нашия случай ще бъде точно същото като името на източника. След това натискам Enter и новият IOS файл се копира във флаш паметта на рутера. Можете да видите, че сега имаме два файла на операционната система: новият под номер 3 и предишният оригинален под номер 4.
В обозначението на IOS версията е важна за нас - в първия файл под номер 3 е 124, а във втория под номер 4 е 123, тоест по-стара версия. В допълнение, advipservicesk9 показва, че тази версия на системата е по-функционална от ipbase, тъй като позволява използването на MPLS и други подобни.
Друга възможност е да сте изтрили flash по погрешка - аз пиша delete flash и посочвам името на IOS файла за изтриване.
Но преди това искам да кажа, че сега по подразбиране по време на зареждане ще се използва системният файл номер 3, т.е. c1841-advipservicesk9-mz.124-15.T1.bin. Да предположим, че по някаква причина искам файл номер 4, c1841-ipbase-mz.123-14.T7.bin, да се използва при следващото зареждане на системата. За да направя това, влизам в режим на глобална конфигурация и въвеждам флаш командата за зареждане на системата: с1841-ipbase-mz.123-14.T7.bin.
Сега, при следващото зареждане, този файл ще се използва като операционна система по подразбиране, дори ако имаме две операционни системи, съхранени във флаш паметта.
Нека се върнем към изтриването на ОС и напишете командата delete flash: с1841-ipbase-mz.123-14.T7.bin. След това ще изтрием и втората ОС с командата delete flash: c1841-advipservicesk9-mz.124-15.T1.bin, така че рутерът ще загуби и двете операционни системи.
Ако сега напишем show flash, можем да видим, че сега изобщо нямаме операционна система. Какво се случва, ако дам команда за рестартиране? Можете да видите, че след като въведете командата за презареждане, устройството веднага преминава в режим ROMmon. Както казах, при зареждане устройството търси OS файл и ако го няма, скача на rommon base OS.
В Packet Tracer няма xmodem команди, които могат да се използват на действително физическо устройство. Там въвеждате xmodem и добавяте необходимите опции относно зареждането на ОС. Ако използвате терминал SecureCRT, можете да щракнете върху файла, да изберете опцията, която извършва прехвърлянето, и след това да изберете xmodem. След като сте избрали xmodem, вие избирате файла на операционната система. Да приемем, че този файл е на вашия лаптоп, след което въвеждате xmodem, посочвате този файл и го изпращате. Въпреки това xmodem е много, много бавно нещо и процесът на прехвърляне може да отнеме 1-2 часа в зависимост от размера на файла.
TFTP сървърът е много по-бърз. Както казах, в Packet Tracer няма xmodem команди, така че ще изтеглим tftp с командата tftpdnld, след което системата ще даде подсказки как да възстановим системния образ през TFTP сървъра. Виждате различните опции, които ще трябва да посочите, за да заредите OS файла. Защо са необходими тези параметри? Те трябва да се използват, защото в режим rommon този рутер няма функционалността на устройство с пълен IOS. Следователно, първо трябва ръчно да посочим IP адреса на нашия рутер, като използваме параметъра IP_ADDRESS=10.1.1.1, след това маската на подмрежата IP_SUBNET_MASK=255.255.255.0, шлюза по подразбиране DEFAULT_GATEWAY=10.1.1.10, сървъра TFTP_SERVER=10.1.1.10 и файл TFTP_FILE=c1841-advipservicesk9-mz.124-15.T1.bin.
След като направя това, изпълнявам командата tftpdnld и системата ме моли да потвърдя това действие, защото всички данни, съществуващи във флаш паметта, ще бъдат загубени. Ако отговоря с „Да“, ще видите, че цветът на портовете за връзка рутер-сървър се е променил на зелено, тоест процесът на копиране на операционната система от сървъра е в ход.
След като изтеглянето на файла приключи, използвам командата за зареждане, след което започва разопаковането на системния образ. Можете да видите, че след това рутерът преминава в работно състояние, тъй като операционната система се връща на устройството. Така се извършва възстановяването на здравето на устройство, което е загубило операционната си система.
Сега нека поговорим малко за лицензирането на Cisco IOS.
Преди версия 15 имаше предишни версии на лицензи, например 12, след което веднага беше пусната версия 15, не питайте къде са изчезнали номерата 13 и 14. Така че, когато сте закупили устройство Cisco, тогава с основната функционалност на IOS IP Base струва, да речем, 1000$. Това беше минималната цена на хардуер с инсталирана операционна система с основна конфигурация.
Да приемем, че вашият приятел иска устройството му да има разширена функционалност на Advance IP Services, тогава цената е била, да речем, $10 9. Давам произволни числа, за да схванете идеята. Когато и двамата имате еднакъв хардуер, разликата е само в инсталирания софтуер. Нищо не може да ви попречи да помолите приятел за копие от неговия софтуер, да го инсталирате на вашия хардуер и по този начин да спестите $15. Дори и да нямате такъв приятел, с модерното развитие на Интернет можете да изтеглите и инсталирате пиратско копие на софтуера. Това е незаконно и не ви препоръчвам да го правите, но хората често го правят. Ето защо Cisco реши да внедри механизъм, който предотвратява подобни измами, и разработи версията на IOS XNUMX, която предвижда лицензиране.
В предишните версии на IOS, например 12.4, самото име на системата показва нейната функционалност, така че когато влезете в настройките на устройството, можете да ги идентифицирате по името на файла на OS. Всъщност имаше няколко операционни системи от една и съща версия, по начина, по който съществуват Windows Home, Windows Professional, Windows Enterprise и т.н.
Във версия 15 има само една универсална операционна система - Cisco IOSv15, която има няколко нива на лицензиране. Системният образ съдържа всички функции, но те са заключени и разделени на пакети.
IP Base е активна по подразбиране, има доживотна валидност и е достъпна за всеки, който закупи устройство Cisco. Останалите три пакета Data, Unified Communication и Security се активират само с лиценз. Ако имате нужда от пакет данни, можете да отидете на уебсайта на компанията, да платите определена сума и Cisco ще изпрати файл с лиценз на имейла ви. Вие копирате този файл във флаш паметта на вашето устройство чрез TFTP или друг метод, след което всички функции на пакета данни стават автоматично достъпни. Ако имате нужда от разширени функции за сигурност като криптиране, IPSec, VPN, защитна стена и т.н., закупувате лиценз за пакета Защита.
Сега, с помощта на Packet Tracer, ще ви покажа как изглежда. Отивам в раздела CLI на настройките на рутера и въвеждам командата show version. Можете да видите, че работим с версия на ОС 15.1, това е универсална ОС, която съдържа цялата функционалност. Ако превъртите надолу прозореца, можете да видите информацията за лиценза.
Това означава, че пакетът ipbase е постоянен и е достъпен при всяко зареждане на устройството, докато пакетите за сигурност и данни не са налични, тъй като системата в момента няма подходящите лицензи.
Можете да използвате командата show license all, за да видите подробна информация за лиценза. Освен това можете да видите подробностите за текущия лиценз, като използвате командата за показване на подробности за лиценза. Функциите на лиценза могат да се видят с помощта на командата show license features. Това е обобщение на системата за лицензиране на Cisco. Отивате на уебсайта на компанията, купувате необходимия лиценз и вмъквате лицензния файл в системата. Това може да се направи в режима за конфигуриране на глобалните настройки с помощта на командата за инсталиране на лиценз.
Благодарим ви, че останахте с нас. Харесвате ли нашите статии? Искате ли да видите още интересно съдържание? Подкрепете ни, като направите поръчка или препоръчате на приятели, 30% отстъпка за потребителите на Habr за уникален аналог на сървъри от начално ниво, който беше измислен от нас за вас: (предлага се с RAID1 и RAID10, до 24 ядра и до 40GB DDR4).
Dell R730xd 2 пъти по-евтин? Само тук в Холандия! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - от $99! Прочети за
Източник: www.habr.com