در این راهنما هر دو روش را بر پایه اسناد رسمی سیسکو قدم‌به‌قدم مرور می‌کنیم، به‌علاوه نکته‌های استک، StackWise Virtual ، سوئیچ‌های شاسی‌دار، و اینکه اگر no service password-recovery فعال باشد چه اتفاقی می‌افتد.

آماده‌سازی و دکمه Mode

کابل کنسول را به پورت Console سوئیچ وصل کنید. سوئیچ‌های جدید کنسول USB Mini-B یا USB-C هم دارند. تنظیم ترمینال همیشه 9600 بیت بر ثانیه، 8 بیت داده، بدون Parity ، 1 Stop bit و بدون Flow control است.

روی پنل جلوی کاتالیست‌ها دکمه‌ای به نام Mode هست که در کنار نمایش حالت LEDها، کلید ورود به محیط بوت‌لودر (switch:) هم هست.

روش سوئیچ‌های IOS کلاسیک (2960 ، 3560 ، 3750)

این روش برای سوئیچ‌های Catalyst 2940 ، 2950 ، 2960 ، 2960-X ، 3550 ، 3560 و 3750 با IOS کلاسیک است.

قدم ۱: ورود به بوت‌لودر

برق سوئیچ را قطع کنید. دکمه Mode را نگه دارید و برق را وصل کنید. وقتی LED سیستم (SYST) از چشمک‌زن به سبز ثابت یا کهربایی تغییر کرد (معمولاً حدود ۱۵ ثانیه بعد)، دکمه را رها کنید. سوئیچ پیامی شبیه این نشان می‌دهد:

The system has been interrupted prior to initializing the flash file system.
The following commands will initialize the flash file system, and finish
loading the operating system software:

    flash_init
    boot

قدم ۲: فعال کردن فایل‌سیستم فلش و تغییر نام کانفیگ

switch: flash_init
switch: dir flash:
Directory of flash:/
    2  -rwx  1048    config.text
    3  -rwx  616     vlan.dat
    4  drwx  512     c2960x-universalk9-mz.152-7.E9
switch: rename flash:config.text flash:config.text.old
switch: boot

روی سوئیچ‌های خیلی قدیمی (مثل 3550) ممکن است قبل از boot به load_helper هم نیاز باشد. توجه کنید فایل vlan.dat را دست نزنید؛ VLANها در همین فایل هستند.

قدم ۳: رد کردن Setup و برگرداندن کانفیگ

Would you like to enter the initial configuration dialog? [yes/no]: no
Switch> enable
Switch# rename flash:config.text.old flash:config.text
Destination filename [config.text]?
Switch# copy flash:config.text system:running-config
Destination filename [running-config]?

قدم ۴: رمز جدید و ذخیره

SW-FL2# configure terminal
SW-FL2(config)# enable algorithm-type scrypt secret NewStr0ngPass
SW-FL2(config)# username admin privilege 15 algorithm-type scrypt secret NewStr0ngPass
SW-FL2(config)# end
SW-FL2# copy running-config startup-config
SW-FL2# show interfaces status

روی نسخه‌های قدیمی IOS که algorithm-type ندارند، enable secret معمولی کافی است. بعد از ذخیره، وضعیت پورت‌ها و SVI مدیریت را ببینید و هر اینترفیسی که shutdown مانده را بالا بیاورید.

روش Catalyst 9000 (9200 ، 9300 ، 9400 ، 9500 ، 9600)

روی خانواده Catalyst 9000 با IOS XE ، سیسکو در سند Perform Password Recovery on Catalyst 9000 Series Switches روشی واحد برای همه مدل‌ها ارائه کرده است.

قدم ۱: ورود به ROMMON

سوئیچ را خاموش و روشن کنید. روش ترجیحی: وقتی پیام Preparing to autoboot. [Press Ctrl-C to interrupt] را دیدید، Ctrl-C بزنید. اگر این پیام نیامد، دکمه Mode را پشت‌سرهم فشار دهید تا prompt switch: ظاهر شود.

قدم ۲: نادیده گرفتن startup-config

switch: set
switch: SWITCH_IGNORE_STARTUP_CFG=1
switch: boot

قدم ۳: برگرداندن کانفیگ و تعویض رمز

Switch> enable
Switch# copy startup-config running-config
Destination filename [running-config]?
ACC-9300-01# configure terminal
ACC-9300-01(config)# username admin privilege 15 algorithm-type scrypt secret NewStr0ngPass
ACC-9300-01(config)# enable algorithm-type scrypt secret NewStr0ngPass
ACC-9300-01(config)# end

قدم ۴: گام حیاتی آخر

ACC-9300-01# no system ignore startupconfig switch all
ACC-9300-01# copy running-config startup-config
ACC-9300-01# show romvar

استک، StackWise Virtual و سوئیچ‌های شاسی‌دار

اگر password recovery غیرفعال باشد

با دستور no service password-recovery ، مدیر شبکه می‌تواند دسترسی به کانفیگ از طریق بوت‌لودر را ببندد. در این حالت وقتی دکمه Mode را نگه دارید، سوئیچ پیغام می‌دهد که مکانیزم password recovery غیرفعال است و فقط اجازه می‌دهد سوئیچ را به تنظیمات کارخانه برگردانید؛ یعنی کانفیگ و فایل VLAN پاک می‌شوند و بعد می‌توانید از بکاپ برگردانید. برای همین پیش از فعال کردن این قابلیت، همیشه یک بکاپ بیرونی از کانفیگ داشته باشید؛ آموزش آن را در بکاپ کانفیگ سیسکو توسط TFTP ببینید.

مقایسه دو روش

پرسش‌های متداول

VLANها بعد از ریست پسورد می‌مانند؟
بله. VLANها در vlan.dat هستند و این روش آن را دست نمی‌زند.

دکمه Mode را نگه داشتم ولی سوئیچ عادی بوت شد.
زمان‌بندی مهم است؛ دکمه را قبل از وصل کردن برق نگه دارید و تا تغییر رنگ LED سیستم رها نکنید. روی Catalyst 9000 از Ctrl-C استفاده کنید.

برای روتر هم همین روش است؟
نه. روترها با Configuration Register کار می‌کنند؛ مطلب ریست پسورد روتر سیسکو را ببینید.

بهتر است به‌جای رمز محلی از چه استفاده کنم؟
برای شبکه‌های سازمانی، احراز هویت متمرکز با TACACS+ یا RADIUS (مثل Cisco ISE) و یک یوزر محلی اضطراری با رمز قوی.

منابع رسمی

• Perform Password Recovery on Catalyst 9000 Series Switches
• Troubleshoot Rommon on Catalyst 9000 Series Switches
• Cisco Catalyst 9300 Series – Password Recovery

پشتیبانی با AKA NET

اگر سوئیچ در شبکه عملیاتی یا داخل استک است و نمی‌خواهید ریسک قطعی را بپذیرید، با آکانت (AKA NET) تماس بگیرید.