Dnes si povíme o obnově hesel routerů a switchů, aktualizaci, přeinstalaci a obnově IOS a o systému licencování Cisco pro operační systém IOSv15. To jsou velmi důležitá témata týkající se správy síťových zařízení.
Jak lze obnovit heslo? Můžete se zeptat, proč by to mohlo být potřebné. Předpokládejme, že jste nastavili zařízení a nastavili všechny potřebné hesla: na VTY, na konzoli, na privilegovaný režim, na připojení Telnet a SSH, a pak jste tato hesla zapomněli. Možná, že zaměstnanec společnosti, který je nastavil, odešel a nezanechal vám poznámky, nebo jste zakoupili router na eBay a nevíte, jaká hesla nastavil bývalý majitel, a proto se nemůžete k zařízení dostat.
V takových situacích byste měli použít "hacker" triky. Hackujete zařízení Cisco a přeinstalováváte hesla, ale to není skutečné hackování, pokud zařízení patří vám. K tomu jsou potřeba tři věci: přerušovací sekvence Break Sequence, stav registru a restart systému.
Používáte spínač, vypnete napájení routeru a okamžitě ho zapínáte, aby router začal restart. "Ciscovodi" to nazývají "bouncing". V okamžiku rozbalení obrazu IOS je třeba použít přerušení načítání, tj. připojit se k zařízení přes konzolový port a spustit Break Sequence. Klávesová kombinace, která spouští Break Sequence, závisí na emulačním programu terminálu, který používáte, tj. pro Hyperterminal je přerušení načítání realizováno jednou kombinací a pro SecureSRT jinou. Pod tímto videem uvádím odkaz , kde si můžete prohlédnout všechny klávesové zkratky pro různé emulátory terminálů, různou kompatibilitu a různé operační systémy.
Při použití přerušení spuštění se router spustí v režimu ROMmon. ROMmon je obdobou BIOSu počítače, je to základní operační systém, který umožňuje vykonávat základní servisní příkazy. V tomto režimu lze využít registry konfigurace. Jak víte, během spuštění systém kontroluje přítomnost spouštěcích nastavení, a pokud chybí, načte se s výchozími nastaveními.
Normálně je hodnota registru konfigurace routeru 0x2102, což znamená spuštění spouštěcí konfigurace. Pokud tuto hodnotu změníte na 0x2142, při přerušení sekvenci se spouštěcí konfigurace ignoruje, protože systém nebude brát v úvahu obsah nevolatilní paměti NVRAM a načte konfiguraci odpovídající výchozím nastavením routeru ‚z krabice‘.
Tímto způsobem pro načtení s výchozími nastaveními je třeba změnit hodnotu registru konfigurace na 0x2142, což doslovně říká zařízení: „prosím, při jakémkoli načtení ignorujte spouštěcí konfiguraci!“. Protože tato konfigurace obsahuje všechna hesla, při načtení s výchozími nastaveními máte volný přístup do privilegovaného režimu. V tomto režimu můžete resetovat hesla, uložit provedené změny, restartovat systém a získat plnou kontrolu nad zařízením.
Teď spustím Packet Tracer a ukážu vám to, o čem jsem právě mluvil. Vidíte síťovou topologii, která se skládá z routeru, na kterém je třeba resetovat hesla, switche a notebooku. Ve všech videonávodech jsem kliknul na ikonu zařízení v Packet Tracer, otevřel kartu konzole CLI a nakonfiguroval zařízení. Teď chci udělat něco jiného a ukázat, jak to udělat na reálném zařízení.
Propojím sériový port notebooku RS-232 konzolovým kabelem s konzolovým portem routeru, v programu je tento kabel modré barvy. Nemusím nastavovat žádné IP adresy, protože pro komunikaci s konzolovým portem routeru nejsou potřeba.
V notebooku otevřu kartu Terminál a zkontroluji parametry: přenosová rychlost 9600 b/s, informačních bitů – 8, bez parity, stop bitů – 1, řízení toku – žádné, a poté kliknu na tlačítko OK, což mi poskytne přístup do konzole routeru. Pokud porovnáte informace v obou oknech – CLI routeru R0 a na obrazovce notebooku Laptop0, budou zcela shodné.
Packet Tracer umožňuje provádět podobné úkony, ale v praxi nebudeme používat okno konzole routeru CLI, ale budeme pracovat pouze prostřednictvím terminálu počítače.
Takže máme router, u něhož je potřeba obnovit heslo. Otevřete terminál notebooku, zkontrolujete parametry, přejdete na panel nastavení routeru a zjistíte, že přístup je zablokován heslem! Jak se tam dostat?
Přecházím k routeru, na kartu, kde je zobrazen jako fyzické zařízení, klikám na vypínač napájení a hned ho znovu zapínám. Vidíte, že ve okně terminálu se objevilo zpráva o samorozbalování obrazu OS. V tu chvíli byste měli použít kombinaci kláves Ctrl+C, ta se používá pro přechod do režimu rommon v programu Packet Tracer. Pokud jste se přihlásili přes Hyperterminal, je třeba stisknout Ctrl+Break.
Vidíte, že na obrazovce se objevila řádka s názvem rommon 1, a pokud zadáte otazník, systém vám poté nabídne řadu nápověd, jaké příkazy můžete použít v tomto režimu.
Parametr boot spouští vnitřní proces načítání, confreg spouští utilitu pro nastavení registru, a nás zajímá právě tento příkaz. Do řádku terminálu zadávám confreg 0x2142. To znamená, že při restartu bude ignorován obsah uložený ve flash paměti NVRAM a router se načte s výchozími nastaveními, jako zcela nové zařízení. Kdybych zadal příkaz confreg 0x2102, router by použil poslední uložené parametry pro načtení.
Dále příkazem reset restartuji systém. Jak vidíte, po jeho načtení se místo žádosti o zadání hesla, jako minule, systém jednoduše ptá, zda chci pokračovat v nastavení. Nyní máme před sebou router s výchozími nastaveními, bez jakékoli uživatelské konfigurace.
Zadávám no, poté příkaz enter a přecházím z uživatelského režimu do privilegovaného režimu. Protože chci zobrazit konfiguraci spouštění, používám příkaz show startup-config. Vidíte, že název hostitele je NwKing router, uvítací banner a heslo pro konzoli je „console“. Teď toto heslo znám a mohu si ho zkopírovat, abych na něj nezapomněl, nebo ho mohu změnit na jiné.
Co potřebuji hned na začátek, je načíst konfiguraci spouštění do aktuální konfigurace routeru. K tomu používám příkaz copy startup-config running-config. Naše aktuální konfigurace se tedy stala předchozí konfigurací routeru. Vidíte, že po tom se název routeru na příkazovém řádku změnil z Router na NwKingRouter. Pomocí příkazu show run můžeme zobrazit aktuální konfiguraci zařízení, kde je vidět, že heslo pro konzoli je slovo „console“, nepoužili jsme enable password, to je správně. Musíte si pamatovat, že obnova „zabíjí“ privilegovaný režim a vy se znovu ocitnete v uživatelském režimu příkazového řádku.
Stále můžeme provádět změny v registru a pokud by heslo bylo tajné, tedy by byla použita funkce enable secret, samozřejmě byste ho nemohli dešifrovat, takže se můžete vrátit do globálního konfiguračního režimu příkazem config t a nastavit nové heslo. K tomu zadávám příkaz enable secret enable, nebo mohu použít jakékoli jiné slovo jako heslo. Pokud napíšete show run, uvidíte, že funkce enable secret je povolena, heslo nyní nevypadá jako slovo „enable“, ale jako řetězec zašifrovaných znaků a můžete být v klidu ohledně bezpečnosti, protože jste právě sami nastavili a zašifrovali nové heslo.
Takhle můžete provést obnovu hesla routeru. Všimněte si jedné důležité věci: pokud zadáte příkaz „show version“, uvidíte, že hodnota registrační konfigurace je 0x2142. To znamená, že i když použiji příkaz copy running to startup a restartuji router, systém znovu načte základní nastavení, tedy router se vrátí do továrního nastavení. To vůbec nechceme, protože jsme resetovali heslo, získali kontrolu nad zařízením a chceme ho používat v pracovním režimu.
Proto je potřeba přejít do globální konfiguračního režimu Router(config)# a zadat příkaz config-register 0x2102 a teprve poté použít příkaz pro zkopírování aktuální konfigurace do spuštění copy run start. Aktuální nastavení do spouštěcí konfigurace lze také zkopírovat pomocí příkazu write. Pokud nyní zadáte show version, uvidíte, že hodnota registračního registru je nyní 0x2102, přičemž systém informuje, že změny vstoupí v platnost při příštím restartu routeru.
Proto iniciujeme restart příkazem reload, systém se restartuje, a nyní máme všechny konfigurační soubory, všechna nastavení a známe všechna hesla. Takto se provádí obnova hesel routeru.
Podívejme se, jak provést stejný postup pro switch. Router má vypínač, který umožňuje vypnout a znovu zapnout napájení, ale Cisco switch takový vypínač nemá. Musíme se připojit k console portu pomocí console kabelu, poté odpojit napájecí kabel zezadu switche, po 10-15 sekundách ho znovu zapojit a ihned podržet tlačítko MODE po dobu 3 sekund. To automaticky přepne switch do režimu ROMmon. V tomto režimu musíte inicializovat souborový systém na flash a přejmenovat soubor config.text, například na config.text.old. Pokud ho jen smazáte, switch „zapomene“ nejen hesla, ale i všechna předchozí nastavení. Poté restartujete systém.
Co se s přepínačem stane? Při restartu se dotazuje na konfigurační soubor config.text. Pokud tento soubor nenajde ve flash paměti zařízení, načte IOS s výchozími nastaveními. V tom spočívá rozdíl: u routeru musíte změnit nastavení registru, zatímco u switche stačí jednoduše změnit název spouštěcího souboru nastavení. Podívejme se, jak se to děje v programu Packet Tracer. Tentokrát připojuji notebook console k potu switche.
Používáme CLI konzoli switche, ale modelujeme situaci, kdy lze mít přístup k nastavením switche pouze prostřednictvím notebooku. Používám stejné nastavení terminálu notebooku jako v případě routeru, a po stisknutí "Enter" se připojuji k console portu switche.
Ve Packet Traceru nemohu odpojit a znovu připojit napájecí kabel, jako to dělám s fyzickým zařízením. Kdybych měl heslo pro konzoli, mohl bych restartovat přepínač, proto zadávám příkaz enable password enable pro nastavení místního hesla pro privilegovaný režim konzole.
Nyní, když se dostanu do nastavení, uvidím, že systém vyžaduje heslo, které neznám. To znamená, že je třeba iniciovat restart systému. Jak vidíte, systém nereaguje na příkaz reload, který byl zaslán z uživatelského režimu, takže musím použít privilegovaný režim. Jak jsem říkal, v reálném životě bych jednoduše na několik sekund vypnul napájení přepínače, abych vyvolal restart, ale protože to v programu není možné, musím odstranit heslo a restartovat se přímo odsud. Chápete, proč to dělám, že ano?
Tak přecházím z karty CLI na kartu „Fyzické zařízení“, a když se zařízení začíná restartovat, držím virtuální tlačítko MODE po dobu 3 sekund a vstoupím do režimu ROMmon. Vidíte, že informace v okně CLI přepínače je stejná jako v okně na obrazovce notebooku. Přecházím k notebooku, v jehož okně je zobrazen režim ROMmon přepínače, a zadávám příkaz flash_init. Tento příkaz inicializuje souborový systém na flash paměti, poté zadávám příkaz dir_flash, abych zobrazil obsah flash paměti.
Zde se nacházejí dva soubory – soubor operačního systému IOS s příponou .bin a soubor config.text, který musíme přejmenovat. K tomu používám příkaz rename flash:config.text flash:config.old. Pokud nyní použiji příkaz dir_flash, mohu vidět, že soubor config.text byl přejmenován na config.old.
Nyní zadávám příkaz reset, přepínač se restartuje a po načtení systému přejde na výchozí nastavení. To dokazuje změna názvu zařízení v příkazovém řádku z NwKingSwitch na jednoduše Switch. Ve skutečném zařízení existuje příkaz rename, ale v Packet Tracer ho nelze použít. Proto používám show running conf, jak vidíte, přepínač používá všechna výchozí nastavení a zadávám příkaz more flash:config.old. Tady je klíč k hacknutí: stačí zkopírovat aktuální konfiguraci zařízení zobrazenou na obrazovce, přejít do globální konfiguračního režimu a vložit zkopírované informace. Ideálně máme zkopírovány naprosto všechny nastavení a vidíte, že se změnilo jméno zařízení a přepínač přešel do běžného režimu práce.
Nyní zbývá zkopírovat aktuální konfiguraci do spouštěcí konfigurace, tedy vytvořit nový soubor config.text. Nejjednodušší způsob je prostě přejmenovat starý soubor zpět na config.text, tedy zkopírovat obsah config.old do aktuální konfigurace a poté ji uložit jako config.text. Takto se provádí obnovení hesla přepínače.
Nyní se podíváme, jak provádět zálohování a obnovení operačního systému Cisco IOS. Zálohování spočívá v kopírování obrazu IOS na TFTP-server. Dále vám ukážu, jak přenést soubor obrazu systému z tohoto serveru na vaše zařízení. Třetí téma je obnovení systému v režimu ROMmon. To může být potřeba, pokud váš kolega omylem smazal IOS a systém se přestal načítat.
Podíváme se, jak získat soubor systému z TFTP-serveru v režimu ROMmon. Existují dva způsoby, jedním z nich je xmodem. Packet Tracer xmodem nepodporuje, takže vám stručně vysvětlím, co to je, a poté vám ukážu pomocí Packet Tracer, jak použít druhý způsob – obnovení systému přes TFTP.
Na schématu je zobrazeno zařízení Router0, kterému byl přiřazen IP adresa 10.1.1.1. Tento router je připojen k serveru s IP adresou 10.1.1.10. Zapomněl jsem přiřadit adresu routeru, takže to teď rychle udělám. Náš router není připojen k notebooku, takže program neumožňuje použít konzolu CLI, a to budu muset opravit.
Připojuji notebook k routeru pomocí konzolového kabelu, systém žádá heslo pro konzoli, a já používám slovo console. V globálním konfiguračním režimu přiděluji rozhraní f0/0 požadovanou IP adresu a masku podsítě 255.255.255.0 a přidávám příkaz no shutdown.
Dále zadávám příkaz show flash a vidím, že v paměti jsou umístěny 3 soubory. Soubory číslo 3 je nejdůležitější, je to soubor IOS routeru. Teď je potřeba nastavit TFTP server, a proto kliknu na ikonu zařízení Server0 a otevřu záložku SERVICES. Vidíme, že TFTP server je zapnutý a obsahuje soubory mnoha operačních systémů Cisco, včetně IOS pro náš router s1841 – to je třetí soubor v seznamu. Musím ho odstranit ze serveru, protože se chystám sem zkopírovat jiný soubor IOS z našeho routeru Router0. K tomu vyberu soubor a kliknu na Remove file, a poté přejdu na záložku konzole notebooku.
Během práce v konzole routeru zadávám příkaz copy flash tftp , poté zkopíruji a vložím jméno souboru operačního systému.
Dále v příkazu musí být uvedena adresa nebo název vzdáleného hostitele, na který má být tento soubor zkopírován. Stejně jako při ukládání spouštěcí konfigurace routeru je třeba být opatrný. Pokud omylem zkopírujete neaktuální konfiguraci do spouštěcí, a naopak, spouštěcí do aktuální, po restartování zařízení ztratíte všechny provedené nastavení. Také v tomto případě nelze plést zdroj a cíl. Takže nejprve uvedeme jméno souboru, který má být zkopírován na server, a poté IP adresu tohoto serveru 10.1.1.10.
Vidíte, že začal přenos souboru, a pokud se podíváte na seznam souborů TFTP, vidíte, že místo vzdáleného souboru se zde objevil nový soubor IOS našeho routeru. Takto probíhá kopírování IOS na server.
Nyní se vracíme k oknu nastavení routeru na obrazovce notebooku a zadáme příkaz copy tftp flash, určíme adresu vzdáleného hostitele 10.1.1.10 a název zdrojového souboru Source filename, což je IOS, který se má zkopírovat do flash paměti routeru: c1841-ipbase-mz.123-14.T7.bin. Dále zadáme název cílového souboru Destination filename, který v našem případě bude přesně stejný jako název zdroje. Poté stisknu „Enter“ a nový soubor IOS se zkopíruje do flash paměti routeru. Vidíte, že nyní máme dva soubory operačního systému: nový s číslem 3 a předchozí originální s číslem 4.
Ve označení IOS je pro nás důležitá verze – v prvním souboru s číslem 3 je to 124, a ve druhém s číslem 4 je to 123, tedy starší verze. Kromě toho advipservicesk9 naznačuje, že tato verze systému je funkčnější než ipbase, protože umožňuje používat MPLS a podobně.
Další možný scénář spočívá v tom, že jste omylem smazali flash – zadávám příkaz delete flash a uvádím název souboru IOS, který má být odstraněn.
Ale předtím chci říct, že nyní se při spuštění standardně použije soubor operačního systému s číslem 3, tedy c1841-advipservicesk9-mz.124-15.T1.bin. Předpokládejme, že z nějakého důvodu chci, aby se při příštím spuštění systému použil soubor číslo 4 — c1841-ipbase-mz.123-14.T7.bin. K tomu přejdu do režimu globální konfigurace a zadám příkaz boot system flash: c1841-ipbase-mz.123-14.T7.bin.
Nyní se při dalším spuštění tento soubor použije jako operativní systém standardně, i když máme ve flash dvě operační systémy.
Vrátíme se k odstranění OS a zadáme příkaz delete flash: c1841-ipbase-mz.123-14.T7.bin. Poté odstraníme i druhý OS příkazem delete flash: c1841-advipservicesk9-mz.124-15.T1.bin, takže router přijde o oba operační systémy.
Pokud nyní zadáte show flash, můžete vidět, že nyní nemáme žádný operační systém. Co se stane, pokud dám příkaz k restartování? Vidíte, že po zadání příkazu reload zařízení okamžitě přechází do režimu ROMmon. Jak jsem řekl, při spuštění zařízení hledá soubor OS a v jeho absenci přechází na základní OS rommon.
V programu Packet Tracer nejsou k dispozici příkazy xmodem, které by se daly použít na skutečném fyzickém zařízení. Zde zadáváte xmodem a přidáváte nezbytné možnosti pro načtení operačního systému. Pokud používáte terminál SecureCRT, můžete kliknout na soubor, zvolit možnost, která provádí přenos, a poté vybrat xmodem. Jakmile vyberete xmodem, vyberete soubor operačního systému. Předpokládejme, že tento soubor je na vašem notebooku, pak zadáte xmodem, určíte tento soubor a odešlete ho. Nicméně xmodem je velmi a velmi pomalá věc, a proces přenosu může v závislosti na velikosti souboru trvat 1-2 hodiny.
TFTP server funguje mnohem rychleji. Jak jsem již zmínil, v programu Packet Tracer nejsou k dispozici příkazy xmodem, takže načteme tftp příkazem tftpdnld, po kterém systém poskytne nápovědu, jak obnovit obraz systému přes TFTP server. Uvidíte různé parametry, které je třeba uvést pro načtení souboru operačního systému. Proč jsou tyto parametry potřebné? Jejich použití je nutné, protože v režimu rommon tento router nemá funkčnost plnohodnotného zařízení s IOS. Takže nejprve musíme ručně určit IP adresu našeho routeru pomocí parametru IP_ADDRESS=10.1.1.1, poté masku podsítě IP_SUBNET_MASK=255.255.255.0, výchozí bránu DEFAULT_GATEWAY=10.1.1.10, TFTP_SERVER=10.1.1.10 a soubor TFTP_FILE=c1841-advipservicesk9-mz.124-15.T1.bin.
Poté, co jsem to udělal, spouštím příkaz tftpdnld, a systém se mě ptá, zda to chci potvrdit, protože všechna existující data ve flash paměti budou ztracena. Pokud odpovím "Ano", uvidíte, že barva portů spojení router-server se změnila na zelenou, což znamená, že probíhá proces kopírování operačního systému ze serveru.
Jakmile je načítání souboru dokončeno, používám příkaz boot, po čemž začíná dekomprese obrazu systému. Vidíte, že po tomto router přechází do funkčního stavu, protože zařízení dostalo zpět operační systém. Takto dochází k obnově funkčnosti zařízení, které přišlo o svůj operační systém.
Nyní se pojďme trochu pobavit o licencích Cisco IOS.
Před verzí 15 existovaly předchozí verze licencí, například 12, po které byla okamžitě vydána verze 15. Neptejte se, kam se poděly čísla 13 a 14. Když jste tedy koupili zařízení Cisco, s základní funkcionalitou IOS IP Base, stála, řekněme, 1000 $. To byla minimální cena „hardwaru“ s nainstalovaným operačním systémem základní konfigurace.
Předpokládejme, že váš přítel chtěl, aby jeho zařízení mělo rozšířenou funkcionalitu Advance IP Services, pak byla cena, řekněme, 10 tisíc dolarů. Uvádím náhodná čísla, jen abyste pochopili princip. Pokud jste oba měli stejné hardware, rozdíl spočíval pouze v nainstalovaném software. Nic vám nemohlo zabránit požádat přítele o kopii jeho software, nainstalovat ji na své „hardware“ a tím ušetřit 9 tisíc dolarů. I když takového přítele nemáte, při současném rozvoji internetu si můžete stáhnout a nainstalovat pirátskou kopii software. Je to nezákonné a nedoporučuji vám to, ale lidé to často dělají. Právě proto se Cisco rozhodlo zavést mechanismus, který takovým manipulacím brání, a vyvinulo verzi IOS 15, která zahrnuje licencování.
V předchozích verzích IOS, například 12.4, samotný název systému ukazoval na jeho funkční možnosti, takže přístupem do nastavení zařízení jste mohli určit jejich podle názvu souboru OS. Ve skutečnosti existovalo několik operačních systémů jedné verze podobně jako Windows Home, Windows Professional, Windows Enterprise atd.
Ve verzi 15 existuje pouze jeden univerzální operační systém – Cisco IOSv15, který má několik úrovní licencování. Obraz systému obsahuje všechny funkce, ale ty jsou zablokovány a rozděleny do balíčků.
Základní balíček IP Base je ve výchozím nastavení aktivní, má doživotní platnost a je dostupný každému, kdo zakoupil zařízení vyráběné společností Cisco. Ostatní tři balíčky, Data, Unified Communication a Security, lze aktivovat pouze pomocí licence. Pokud potřebujete balíček Data, můžete navštívit webové stránky společnosti, zaplatit určitou částku a Cisco vám zašle licenční soubor na váš email. Tento soubor zkopírujete na flash paměť svého zařízení pomocí TFTP nebo jiným způsobem, po čemž se všechny funkce balíčku Data automaticky stanou dostupnými. Pokud potřebujete pokročilé bezpečnostní funkce, jako je šifrování, IPSec, VPN, firewall atd., zakoupíte licenci na balíček Security.
Nyní vám pomocí Packet Tracer ukážu, jak to vypadá. Přecházím na kartu CLI nastavení routeru a zadávám příkaz show version. Vidíte, že máme spuštěný OS verze 15.1, což je univerzální operační systém, který obsahuje všechny funkční možnosti. Pokud posunete okno dolů, můžete vidět informace o licenci.
Zde je uvedeno, že balíček ipbase je trvale aktivní a dostupný při každém spuštění zařízení, zatímco balíčky security a data nejsou dostupné, protože systém v současnosti nemá odpovídající licence.
Pro zobrazení podrobných licenčních informací lze použít příkaz show license all. Dále můžete zobrazit detaily aktuální licence pomocí příkazu show license detail. Funkce licence lze prohlédnout pomocí příkazu show license features. To je stručná informace o licenčním systému Cisco. Navštívíte webové stránky společnosti, zakoupíte požadovanou licenci a vložíte licenční soubor do systému. To je možné provést v režimu globální konfigurace nastavení pomocí příkazu license install.
Děkujeme, že s námi zůstáváte. Líbí se vám naše články? Chcete vidět více zajímavých materiálů? Podpořte nás objednávkou nebo doporučením známým, 30 % sleva pro uživatele Habra na jedinečný analog entry-level serverů, který jsme pro vás vymysleli: (k dispozici varianty s RAID1 a RAID10, až 24 jader a až 40GB DDR4).
Dell R730xd za polovinu ceny? Jen u nás v Nizozemsku! Dell R420 — 2x E5-2430 2.2GHz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — od 99 $! Čtěte o tom
Zdroj: habr.com
