Yapılandırmayı silmeden Cisco switch şifresini sıfırlama

Switch şifresi unutulmuş, önceki uzman şifreyi teslim etmeden ayrılmış ya da ikinci el bir switch almışsınız. Bu durumların hiçbirinde switch’i tamamen fabrika ayarlarına döndürmeniz gerekmez. Cisco Catalyst switch’lerde şifreyi değiştiren ve mevcut yapılandırmayı koruyan bir password recovery yöntemi vardır.

Yöntemin temel fikri

Switch açılırken yapılandırmayı flash bellekteki config.text dosyasından okur. Kurtarma yönteminde:

1. Switch’i normal açılmak yerine önyükleme modunda (switch:) kalacak şekilde başlatırız.
2. Yapılandırma dosyasının adını değiştiririz; böylece switch şifresiz ve ayarsız açılır.
3. Girdikten sonra yapılandırma dosyasını geri getirir, yeni şifreyi koyar ve kaydederiz.

Bu yöntem switch’e fiziksel erişim gerektirir; uzaktan yapılamaz ve bu bilerek konmuş bir güvenlik katmanıdır.

Gerekenler

• Cisco konsol kablosu (RJ45–seri veya USB–RJ45) ya da yeni modellerdeki USB konsol portu.
• PuTTY veya SecureCRT gibi bir terminal programı.
• Seri port ayarları: 9600 baud, 8 veri biti, parity yok, 1 stop biti, akış kontrolü yok.
• Kısa bir kesinti penceresi; switch işlem sırasında yeniden başlar.

Adım 1: Önyükleme moduna geçme

1. Konsol kablosunu bağlayın ve terminal penceresini açın.
2. Switch’in güç kablosunu çıkarın.
3. Switch’in önündeki MODE düğmesini basılı tutarken gücü geri takın.
4. SYST ışığının rengi değişene kadar yaklaşık 15 saniye basılı tutun, sonra bırakın.

Terminalde buna benzer bir mesaj ve sonunda switch: istemini görmelisiniz:

The system has been interrupted prior to initializing the flash filesystem.
...
switch:

Adım 2: Yapılandırma dosyasını devre dışı bırakma

Flash belleği hazırlayın ve içeriğine bakın:

switch: flash_init
switch: dir flash:

Bazı eski modellerde dir’den önce load_helper komutunu da çalıştırmanız gerekir.

Listede config.text dosyası olmalıdır. Adını değiştirin ve switch’i başlatın:

switch: rename flash:config.text flash:config.old
switch: boot

vlan.dat dosyasına dokunmayın; VLAN bilgileri onun içindedir.

Adım 3: Şifresiz giriş ve yapılandırmayı geri yükleme

Switch ayarsız açılır ve ilk yapılandırma diyaloğuna girmek isteyip istemediğinizi sorar. no yanıtını verin.

Would you like to enter the initial configuration dialog? [yes/no]: no
Switch> enable
Switch# rename flash:config.old flash:config.text
Switch# copy flash:config.text system:running-config

Son komut önceki yapılandırmayı çalışan belleğe yükler. Switch’in adı (hostname) eski haline döner ve şifresiz olarak içeridesiniz.

Adım 4: Yeni şifreleri belirleme

SW1# configure terminal
SW1(config)# enable secret N3w-Str0ng-Pass
SW1(config)# username admin privilege 15 secret N3w-Adm1n-Pass
SW1(config)# line console 0
SW1(config-line)# password N3w-C0nsole-Pass
SW1(config-line)# login
SW1(config-line)# exit
SW1(config)# line vty 0 15
SW1(config-line)# login local
SW1(config-line)# end

Yapılandırmada vty şifresi ya da başka kullanıcılar da varsa onları da şimdi değiştirin.

Adım 5: Arayüzleri kontrol etme ve kaydetme

Yapılandırmayı running-config’e kopyalamak bazen bazı arayüzlerin, özellikle interface vlan’ın, shutdown durumunda kalmasına neden olur. Kontrol edin:

SW1# show ip interface brief
SW1# configure terminal
SW1(config)# interface vlan 1
SW1(config-if)# no shutdown
SW1(config-if)# end

Sonunda mutlaka kaydedin; yoksa bir sonraki yeniden başlatmada yine şifresiz kalırsınız:

SW1# copy running-config startup-config

Password recovery kapalıysa

Switch’te no service password-recovery komutu girilmişse MODE düğmesini basılı tutmak sizi switch: moduna götürmez. Switch yalnızca tüm yapılandırmayı silip fabrika ayarlarıyla açılmayı önerir. Bu durumda yapılandırma kaybolur; bu yüzden her şeyden önce yapılandırmanın bir yedeğinin başka bir yerde olduğundan emin olun.

Catalyst 9000 serisi switch’ler

Catalyst 9200 ve 9300 gibi IOS-XE kullanan yeni switch’lerde switch: moduna geldikten sonra dosya adını değiştirmek yerine, switch’in yapılandırmayı yok saymasını sağlayan bir değişken ayarlanır:

switch: SWITCH_IGNORE_STARTUP_CFG=1
switch: boot

Girdikten sonra yapılandırmayı daha önceki gibi yükleyip şifreyi değiştirin. Ardından bu ayarı geri alın ve kaydedin:

Switch# copy startup-config running-config
Switch# configure terminal
Switch(config)# no system ignore startupconfig switch all
Switch(config)# end
Switch# copy running-config startup-config

Ayrıntılar model ve sürüme göre değişir; başlamadan önce modelinize ait resmî Cisco kılavuzuna da bakın.

Kurtarma sonrası güvenlik ipuçları

• enable password değil, enable secret kullanın; ilki hash olarak saklanır.
• Yönetim erişimini SSH ile sınırlayın ve Telnet’i kapatın.
• Switch’i kilitli bir kabinde tutun; konsol kablosu ve MODE düğmesine erişimi olan herkes aynı işlemi yapabilir.
• Şifreleri güvenli bir kurumsal şifre yöneticisinde saklayın ki bir daha kaybolmasın.

Cisco switch şifresini kurtarmak fiziksel erişim ve yaklaşık on dakika ister; yapılandırma ve VLAN’lar korunur. İki yaygın hatayı tekrarlamayın: sonunda copy running-config startup-config’i unutmak ve shutdown’da kalan arayüzleri yeniden açmamak.