Hoje vamos falar sobre a recuperação de senhas de roteadores e switches, atualização, reinstalação e recuperação do IOS e sobre o sistema de licenciamento da Cisco para o sistema operacional IOSv15. Estes são tópicos muito importantes relacionados à gestão de dispositivos de rede.
Como você pode recuperar uma senha? Você pode se perguntar para que isso pode ser necessário. Suponha que você tenha configurado um dispositivo e definido todas as senhas necessárias: para VTY, para o console, para o modo privilegiado, para conexões Telnet e SSH, e então esqueceu essas senhas. Pode ser que um funcionário da empresa que as configurou foi demitido e não passou os registros para você, ou você comprou um roteador no eBay e não sabe as senhas que o antigo proprietário instalou, e assim não consegue acessar o dispositivo.
Nessas situações, você precisa usar algumas técnicas de "hacker". Você vai invadir o dispositivo Cisco e reinstalar as senhas, mas isso não é realmente hacking se o dispositivo pertence a você. Para isso, você precisa de três coisas: a sequência de interrupção Break Sequence, o modo de configuração e a reinicialização do sistema.
Você utiliza um interruptor, desliga a energia do roteador e logo em seguida a liga de novo, para que o roteador comece a reinicialização, o que os "ciscovoados" chamam de "bouncing". No momento em que a imagem do IOS é descompactada, é necessário aplicar a interrupção de inicialização, ou seja, conectar-se ao dispositivo através da porta do console e iniciar a Break Sequence. A combinação de teclas que inicia a Break Sequence depende do programa de emulação de terminal que você está usando; para o Hyperterminal, a interrupção é feita com uma combinação, e para o SecureCRT – com outra. Abaixo deste vídeo, coloco um link , onde você pode encontrar todas as combinações de teclas para diferentes emuladores de terminais, com diferentes compatibilidades e sistemas operacionais variados.
Ao usar a interrupção de boot, o roteador iniciará em modo ROMmon. ROMmon é semelhante ao BIOS de um computador, sendo um sistema operacional básico que permite executar comandos de serviço fundamentais. Neste modo, é possível utilizar o registro de configuração. Como se sabe, durante o processo de inicialização, o sistema verifica a existência de configurações de boot, e se não as encontrar, ele carrega as configurações padrão.
Normalmente, o valor do registro de configuração do roteador é 0x2102, o que significa que a configuração de boot será carregada. Se você alterar esse valor para 0x2142, durante a sequência de interrupção, a configuração de boot será ignorada, pois o sistema não prestará atenção ao conteúdo da memória não volátil NVRAM, e a configuração padrão, correspondente às configurações de fábrica do roteador, será carregada.
Assim, para iniciar com as configurações padrão, você precisa alterar o valor do registro de configuração para 0x2142, que literalmente diz ao dispositivo: "por favor, ao iniciar, ignore a configuração de boot!". Como esta configuração contém todas as senhas, ao iniciar com as configurações padrão, você terá acesso completo ao modo privilegiado. Nesse modo, você pode reinstalar senhas, salvar as alterações feitas, reiniciar o sistema e ter controle total sobre o dispositivo.
Agora vou iniciar o Packet Tracer e mostrar o que acabei de explicar. Você vê a topologia da rede, que consiste em um roteador, onde as senhas precisam ser reinstaladas, um switch e um laptop. Em todos os tutoriais em vídeo, eu cliquei no ícone do dispositivo no Packet Tracer, acessei a aba do console CLI e configurei o dispositivo. Agora, quero fazer de maneira diferente e mostrar como isso é feito em um dispositivo real.
Vou conectar a porta serial do laptop RS-232 ao portão console do roteador com um cabo console, que no programa é da cor azul. Não preciso configurar nenhum endereço IP, pois para a conexão com a porta console do roteador, eles não são necessários.
No notebook, eu acesso a guia Terminal e verifico os parâmetros: velocidade de transmissão 9600 b/s, bits informativos – 8, sem paridade, bits de parada – 1, controle de fluxo – nenhum, e em seguida pressiono o botão OK, o que me dá acesso ao console do roteador. Se compararmos as informações nas duas janelas – CLI do roteador R0 e na tela do notebook Laptop0, elas serão exatamente iguais.
O Packet Tracer permite fazer essas coisas, mas na prática não usaremos a janela do console CLI do roteador, mas trabalharemos apenas através do terminal do computador.
Então, temos um roteador no qual precisamos redefinir a senha. Você entra no terminal do notebook, verifica os parâmetros, acessa o painel de configuração do roteador e vê que o acesso está bloqueado por uma senha! Como fazer para entrar?
Eu vou até o roteador, na guia onde ele é mostrado como um dispositivo físico, clico no interruptor de energia e logo em seguida o ligando novamente. Você vê que apareceu uma mensagem no terminal sobre a autoextração da imagem do sistema operacional. Nesse momento, você deve usar a combinação de teclas Ctrl+C, que é aplicada para entrar no modo rommon no programa Packet Tracer. Se você entrou pelo Hyperterminal, deve pressionar Ctrl+Break.
Você vê que na tela apareceu uma linha com o cabeçalho rommon 1, e se você digitar o ponto de interrogação, o sistema fornecerá uma série de dicas sobre quais comandos podem ser usados nesse modo.
O parâmetro boot inicia o processo interno de inicialização, o confreg inicia a utilidade de configuração do registro, e é exatamente esse comando que nos interessa. Digito no terminal confreg 0x2142. Isso significa que ao reiniciar, as informações armazenadas na memória flash NVRAM serão ignoradas e o roteador será inicializado com as configurações padrão, como um dispositivo completamente novo. Se eu tivesse digitado o comando confreg 0x2102, o roteador teria usado os últimos parâmetros de inicialização salvos.
Em seguida, com o comando reset, estou reiniciando o sistema. Como você pode ver, após a inicialização em vez de solicitar a senha, como da última vez, o sistema simplesmente pergunta se eu pretendo continuar o diálogo de configuração. Agora temos um roteador com as configurações padrão, sem nenhuma configuração do usuário.
Eu digito no, em seguida, o comando enter e saio do modo do usuário para o modo privilegiado. Como quero visualizar a configuração de inicialização, uso o comando show startup-config. Você vê o nome do host NwKing router, o banner de boas-vindas e a senha do console "console". Agora eu sei essa senha e posso copiá-la para não esquecer, ou posso trocá-la por outra.
O que eu preciso em primeiro lugar é carregar a configuração de inicialização na configuração atual do roteador. Para isso, uso o comando copy startup-config running-config. Agora nossa configuração atual se tornou a configuração anterior do roteador. Você vê que depois disso o nome do roteador na linha de comando mudou de Router para NwKingRouter. Com o comando show run, é possível visualizar a configuração atual do dispositivo, onde podemos ver que a senha do console é a palavra "console", não utilizamos a senha enable, e isso está correto. Você precisa lembrar que a recuperação "destrói" o modo privilegiado e você retorna ao modo de usuário da linha de comando.
Ainda podemos fazer alterações no registro, e se a senha fosse secreta, ou seja, se a função enable secret fosse utilizada, obviamente você não conseguiria descriptografá-la, então é possível voltar ao modo de configuração global usando o comando config t e definir uma nova senha. Para isso, digito o comando enable secret enable ou posso usar qualquer outra palavra como senha. Se digitar show run, você verá que a função enable secret está ativada, a senha agora aparece não como a palavra "enable", mas como uma string de caracteres criptografados, e você pode ficar tranquilo quanto à segurança, porque acabou de configurar e criptografar a nova senha.
Veja como é possível realizar a recuperação da senha do roteador. Observe uma coisa importante: se você digitar o comando "show version", verá que o valor do registro de configuração é 0x2142. Isso significa que mesmo que eu use o comando copy running to startup e reinicie o roteador, o sistema irá carregar novamente as configurações padrão, ou seja, o roteador retornará às configurações de fábrica. Não precisamos disso, porque reinstalamos a senha, assumimos o controle do dispositivo e queremos usá-lo em modo de operação.
Portanto, precisamos entrar no modo de configuração global Router(config)# e inserir o comando config-register 0x2102 e só então usar o comando para copiar a configuração atual para a inicialização copy run start. A configuração atual também pode ser copiada para a configuração de inicialização usando o comando write. Se agora digitarmos show version, veremos que o valor do registro de configuração está agora igual a 0x2102, e o sistema informa que as alterações entrarão em vigor na próxima reinicialização do roteador.
Portanto, iniciamos a reinicialização com o comando reload, o sistema reinicia e agora temos todos os arquivos de configuração, todas as configurações e conhecemos todas as senhas. Assim é como a recuperação de senhas do roteador é realizada.
Vamos ver como executar esse mesmo procedimento para o switch. O roteador tem um interruptor que permite desligar e religar a alimentação, mas o switch Cisco não tem esse interruptor. Precisamos conectar ao porta da console com um cabo de console, então desconectar o cabo de alimentação na parte traseira do switch, esperar de 10 a 15 segundos e conectá-lo de volta, e, em seguida, pressionar e manter o botão MODE pressionado por 3 segundos. Isso automaticamente coloca o switch no modo ROMmon. Neste modo, você deve inicializar o sistema de arquivos no flash e renomear o arquivo config.text, por exemplo, para config.text.old. Se você apenas excluí-lo, o switch "esquecerá" não apenas as senhas, mas também todas as configurações anteriores. Depois disso, você reinicia o sistema.
O que acontece com o switch neste processo? No momento da reinicialização, ele se refere ao arquivo de configuração config.text. Se não encontrar esse arquivo na memória flash do dispositivo, ele carrega o IOS com configurações padrão. Essa é a diferença: no roteador, você deve alterar a configuração do registro, enquanto no switch, basta mudar o nome do arquivo de configuração de inicialização. Vamos ver como isso acontece no programa Packet Tracer. Desta vez, conecto um laptop ao porta da console do switch usando um cabo de console.
Não estamos usando a CLI do switch, mas simulando uma situação em que as configurações do switch podem ser acessadas apenas através do laptop. Estou usando as mesmas configurações de terminal do laptop que usadas com o roteador e, ao pressionar "Enter", me conecto ao porta da console do switch.
No Packet Tracer eu não consigo desligar e ligar o cabo de energia, como faço com um dispositivo físico. Se eu tivesse uma senha para o console, poderia reiniciar o switch, então digito o comando enable password enable para atribuir uma senha local de acesso ao modo privilegiado do console.
Agora, se eu acessar as configurações, verei que o sistema solicita uma senha que não conheço. Portanto, é necessário iniciar a reinicialização do sistema. Como você pode ver, o sistema não reconhece o comando reload, que foi enviado do dispositivo do usuário no modo usuário, então preciso usar o modo privilegiado. Como eu disse, na vida real eu simplesmente desligaria o cabo de alimentação do switch por alguns segundos para forçar a reinicialização, mas como não é possível fazer isso no programa, preciso remover a senha e reiniciar a partir daqui. Você entende por que estou fazendo isso, certo?
Então, eu mudo da aba CLI para a aba 'Dispositivo físico', e quando o dispositivo começa a reiniciar, mantenho pressionado o botão virtual MODE por 3 segundos para entrar no modo ROMmon. Você vê que as informações na janela CLI do switch são as mesmas que estão na janela da tela do laptop. Vou para o laptop, na janela do qual aparece o modo ROMmon do switch, e digito o comando flash_init. Este comando inicializa o sistema de arquivos no flash, depois do qual eu digito o comando dir_flash para ver o conteúdo da memória flash.
Aqui estão localizados dois arquivos – o arquivo do sistema operacional IOS com a extensão .bin e o arquivo config.text, que precisamos renomear. Para isso, uso o comando rename flash:config.text flash:config.old. Se agora usar o comando dir_flash, é possível ver que o arquivo config.text foi renomeado para config.old.
Agora eu digito o comando reset, o switch reinicia e, após o carregamento do sistema, retorna às configurações padrão. Isso é evidenciado pela alteração do nome do dispositivo na linha de comando de NwKingSwitch para apenas Switch. Embora exista um comando rename em dispositivos reais, não é possível utilizá-lo no Packet Tracer. Portanto, eu aplico o comando show running conf, como você pode ver, o switch está usando todas as configurações padrão, e eu digito o comando more flash:config.old. Aqui está o truque: você precisa simplesmente copiar a configuração atual do dispositivo mostrada na tela, entrar no modo de configuração global e colar as informações copiadas. Idealmente, todas as configurações são copiadas, e você vê que o nome do dispositivo mudou e o switch retornou ao modo de operação normal.
Agora, resta copiar a configuração atual para a configuração de inicialização, ou seja, criar um novo arquivo config.text. A maneira mais simples é simplesmente renomear o arquivo antigo de volta para config.text, ou seja, copiar o conteúdo de config.old para a configuração atual e, em seguida, salvá-la como config.text. Assim é feito a recuperação da senha do switch.
Agora vamos ver como realizar o backup e a recuperação do sistema operacional Cisco IOS. O backup consiste em copiar a imagem do IOS para um servidor TFTP. Depois, falarei sobre como transferir o arquivo da imagem do sistema desse servidor para o seu dispositivo. O terceiro tópico é a recuperação do sistema em modo ROMmon. Isso pode ser necessário se seu colega acidentalmente apagou o IOS e o sistema parou de carregar.
Vamos discutir como obter o arquivo do sistema do servidor TFTP em modo ROMmod. Existem 2 maneiras de fazer isso, uma delas é xmodem. O Packet Tracer não suporta xmodem, portanto, falarei rapidamente sobre o que é, e depois mostrarei, usando o Packet Tracer, como usar a segunda maneira – a recuperação do sistema por meio de TFTP.
O diagrama mostra o dispositivo Router0, que recebeu o endereço IP 10.1.1.1. Este roteador está conectado a um servidor com o endereço IP 10.1.1.10. Eu esqueci de atribuir um endereço ao roteador, então agora vou fazer isso rapidamente. Nosso roteador não está conectado ao laptop, portanto, o programa não permite usar o console CLI, e eu vou ter que corrigir isso.
Estou conectando o laptop ao roteador com um cabo console, o sistema solicita a senha do console, e eu uso a palavra console. No modo de configuração global, atribuo ao interface f0/0 o IP necessário e a máscara de sub-rede 255.255.255.0 e adiciono o comando no shutdown.
Em seguida, digito o comando show flash e vejo que existem 3 arquivos na memória. O arquivo número 3 é o mais importante, é o arquivo IOS do roteador. Agora é necessário configurar o servidor TFTP, então clico no ícone do dispositivo Server0 e abro a aba SERVICES. Vemos que o servidor TFTP está ativado e ele contém arquivos de vários sistemas operacionais Cisco, incluindo o IOS para nosso roteador c1841 – este é o terceiro arquivo na lista. Preciso removê-lo do servidor, pois vou copiar outro arquivo IOS do nosso roteador Router0. Para isso, selecionei o arquivo e pressionei Remove file, e então fui para a aba do console do laptop.
Estando no console do roteador, digito o comando copy flash tftp , então copio e colo o nome do arquivo do sistema operacional.
Em seguida, no comando, é necessário especificar o endereço ou nome do host remoto para o qual este arquivo deve ser copiado. Assim como ao salvar a configuração de inicialização do roteador, é preciso ter cuidado aqui. Se você acidentalmente copiar a configuração não atual para a inicialização, e vice-versa, perderá todas as configurações feitas após reiniciar o dispositivo. Da mesma forma, neste caso, não se pode confundir a origem e o destino. Portanto, primeiro especificamos o nome do arquivo que precisa ser copiado para o servidor e, em seguida, o endereço IP desse servidor 10.1.1.10.
Você vê que a transferência do arquivo foi iniciada, e se olhar a lista de arquivos TFTP, verá que em vez do arquivo remoto, um novo arquivo IOS do nosso roteador apareceu aqui. Assim é como a cópia do IOS para o servidor é realizada.
Agora voltamos para a janela de configurações do roteador na tela do notebook e digitamos o comando copy tftp flash, especificando o endereço do host remoto 10.1.1.10 e o nome do arquivo de origem Source filename, que é o IOS que precisa ser copiado para a memória flash do roteador: c1841-ipbase-mz.123-14.T7.bin. Em seguida, indicamos o nome do arquivo de destino Destination filename, que, no nosso caso, será exatamente igual ao nome de origem. Após isso, eu pressiono 'Enter', e o novo arquivo IOS é copiado para a memória flash do roteador. Você vê que agora temos dois arquivos do sistema operacional: o novo, com o número 3, e o original anterior, com o número 4.
Na designação do IOS, a versão é importante para nós – no primeiro arquivo, com o número 3, é 124, e no segundo, com o número 4, é 123, ou seja, uma versão mais antiga. Além disso, advipservicesk9 indica que esta versão do sistema é mais funcional do que ipbase, pois permite o uso de MPLS e afins.
Outra possibilidade é que você tenha excluído o flash por engano – eu digito o comando delete flash e indico o nome do arquivo IOS que deve ser excluído.
Mas antes disso, quero dizer que agora, por padrão, durante a inicialização, será utilizado o arquivo do sistema de número 3, ou seja, c1841-advipservicesk9-mz.124-15.T1.bin. Suponha que, por algum motivo, eu queira que na próxima inicialização do sistema seja utilizado o arquivo número 4 – c1841-ipbase-mz.123-14.T7.bin. Para isso, entro no modo de configuração global e digito o comando boot system flash: c1841-ipbase-mz.123-14.T7.bin.
Agora, na próxima inicialização, esse arquivo será utilizado como sistema operacional padrão, mesmo que tenhamos duas versões do sistema operacional na memória flash.
Vamos voltar à exclusão do sistema operacional e digitar o comando delete flash: c1841-ipbase-mz.123-14.T7.bin. Depois disso, excluiremos o segundo sistema operacional com o comando delete flash: c1841-advipservicesk9-mz.124-15.T1.bin, assim o roteador ficará sem nenhum dos dois sistemas operacionais.
Se agora digitarmos show flash, podemos ver que não temos nenhum sistema operacional. O que acontecerá se eu der o comando para reiniciar? Você verá que após a digitação do comando reload, o dispositivo imediatamente entra no modo ROMmon. Como eu disse, ao inicializar, o dispositivo procura o arquivo do sistema operacional e, na sua ausência, vai para o sistema operacional básico rommon.
No programa Packet Tracer, não existem comandos xmodem que podem ser usados em dispositivos físicos reais. Lá, você digita xmodem e adiciona as opções necessárias para o carregamento do sistema operacional. Se estiver usando o terminal SecureCRT, você pode clicar no arquivo, selecionar a opção que realiza a transferência e, em seguida, escolher xmodem. Depois de selecionar xmodem, você escolhe o arquivo do sistema operacional. Suponha que esse arquivo esteja no seu notebook, então você digita xmodem, especifica esse arquivo e o envia. No entanto, xmodem é um processo muito lento, e a transferência pode levar de 1 a 2 horas, dependendo do tamanho do arquivo.
O servidor TFTP funciona muito mais rápido. Como já mencionei, não há comandos xmodem no Packet Tracer, portanto, vamos carregar com o comando tftpdnld, após o qual o sistema fornecerá dicas sobre como restaurar a imagem do sistema através do servidor TFTP. Você verá várias opções que devem ser especificadas para carregar o arquivo do sistema operacional. Por que essas opções são necessárias? Precisamos usá-las porque, no modo rommon, esse roteador não possui a funcionalidade de um dispositivo com um IOS completo. Portanto, primeiro devemos especificar manualmente o endereço IP do nosso roteador, utilizando a opção IP_ADDRESS=10.1.1.1, em seguida, a máscara de sub-rede IP_SUBNET_MASK=255.255.255.0, o gateway padrão DEFAULT_GATEWAY=10.1.1.10, o servidor TFTP_SERVER=10.1.1.10 e o arquivo TFTP_FILE=c1841-advipservicesk9-mz.124-15.T1.bin.
Depois de fazer isso, eu executo o comando tftpdnld e o sistema pede para confirmar a ação, pois todos os dados existentes na memória flash serão perdidos. Se eu responder "Sim", você verá que a cor das portas de conexão do roteador ao servidor mudou para verde, indicando que o processo de cópia do sistema operacional do servidor está ocorrendo.
Após a conclusão do carregamento do arquivo, eu uso o comando boot, após o qual a descompactação da imagem do sistema começa. Você verá que, depois disso, o roteador passa a funcionar corretamente, pois o sistema operacional é retornado ao dispositivo. É assim que a funcionalidade do dispositivo, que havia perdido seu sistema operacional, é restaurada.
Agora, vamos falar um pouco sobre o licenciamento do Cisco IOS.
Antes da versão 15, havia versões anteriores de licenças, como a 12, após a qual a versão 15 foi lançada imediatamente. Não pergunte onde ficaram os números 13 e 14. Pois bem, quando você comprava um dispositivo Cisco, com a funcionalidade básica do IOS IP Base, custava, digamos, 1000$. Este era o preço mínimo do "hardware" com o sistema operacional instalado na configuração básica.
Suponha que seu amigo quisesse que seu dispositivo tivesse a funcionalidade avançada do Advance IP Services, então o preço seria, digamos, 10 mil dólares. Estou apresentando números aleatórios apenas para que você entenda o princípio. Se ambos possuírem o mesmo hardware, a única diferença está no software instalado. Nada impedia você de pedir uma cópia do software do seu amigo, instalá-la no seu "hardware" e, assim, economizar 9 mil dólares. Mesmo que você não tenha esse amigo, com o desenvolvimento moderno da internet é possível baixar e instalar uma cópia pirata do software. Isso é ilegal e eu não recomendo que você faça isso, mas as pessoas costumam fazê-lo. É por isso que a Cisco decidiu implementar um mecanismo que previne tais manipulações e desenvolveu a versão IOS 15, que inclui licenciamento.
Nas versões anteriores do IOS, como a 12.4, o próprio nome do sistema indicava suas funcionalidades, portanto, ao acessar as configurações do dispositivo, você poderia identificá-las pelo nome do arquivo do sistema operacional. Na verdade, existiam vários sistemas operacionais de uma mesma versão, assim como existem o Windows Home, Windows Professional, Windows Enterprise, etc.
Na versão 15, existe apenas um sistema operacional universal – Cisco IOSv15, que possui vários níveis de licenciamento. A imagem do sistema contém todas as funções, mas elas estão bloqueadas e divididas em pacotes.
O pacote básico IP Base está ativo por padrão, tem validade vitalícia e está disponível para todos que adquiriram um dispositivo da Cisco. Os três outros pacotes, Data, Unified Communication e Security, só podem ser ativados com uma licença. Se você precisar do pacote Data, pode visitar o site da empresa, pagar uma determinada quantia e a Cisco enviará um arquivo de licença para seu e-mail. Você copia esse arquivo para a memória flash de seu dispositivo usando TFTP ou de outra forma, após o qual todas as funções do pacote Data se tornam automaticamente disponíveis. Se você precisar de funções avançadas de segurança, como criptografia, IPSec, VPN, firewall, etc., você adquire uma licença para o pacote Security.
Agora, com o Packet Tracer, vou mostrar como isso funciona. Acesso a aba CLI das configurações do roteador e digito o comando show version. Você pode ver que estamos executando o sistema operacional versão 15.1, que é um sistema operacional universal que contém todas as funcionalidades. Se você rolar a janela para baixo, pode ver informações sobre a licença.
Aqui está informado que o pacote ipbase é permanente e está disponível a cada inicialização do dispositivo, enquanto os pacotes security e data não estão disponíveis, uma vez que no momento o sistema não possui as licenças adequadas.
Para visualizar informações detalhadas sobre a licença, você pode usar o comando show license all. Além disso, é possível visualizar os detalhes da licença ativa usando o comando show license detail. As funcionalidades da licença podem ser visualizadas com o comando show license features. Esta é uma breve informação sobre o sistema de licenciamento da Cisco. Você acessa o site da empresa, compra a licença necessária e insere o arquivo de licença no sistema. Isso pode ser feito no modo de configuração global usando o comando license install.
Obrigado por estar conosco. Você gosta dos nossos artigos? Quer ver mais materiais interessantes? Apoie-nos fazendo um pedido ou recomendando a amigos, 30% de desconto para usuários do Habra em um análogo único de servidores de entrada, que foi desenvolvido para você: (disponíveis opções com RAID1 e RAID10, até 24 núcleos e até 40GB DDR4).
Dell R730xd pela metade do preço? Somente conosco na Holanda! Dell R420 — 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB — a partir de $99! Leia sobre
Fonte: habr.com
