Contents

Introduction

Informações de Apoio

Problema

Solução

Novas etapas de recuperação de senha

Summary

Introduction

Este documento descreve um novo processo de recuperação de senha para as plataformas Cisco IOS®-XR para Cisco 8000 e NCS5500.

Informações de Apoio

Se um usuário esquecer a senha raiz ou as senhas de todos os usuários forem perdidas em plataformas XR7 LNT (Cisco 8000, NCS-540L) ou plataformas eXR (ASR9K 64 bits, NCS5K, NCS5500, NCS 540, NCS 560), o roteador se tornará inacessível para a usuário, pois o login não é possível sem uma combinação correta de nome de usuário/senha. Atualmente, a recuperação de senha de tal roteador é possível somente através da reimagem do roteador com o uso do método de inicialização USB ou inicialização iPXE a partir de um servidor externo. A reimagem do roteador envolve a instalação do software do roteador novamente após a atualização e o carregamento da configuração do dispositivo. A instalação de software é um processo demorado.

A partir da versão 7.3.16 para a plataforma da série Cisco 8000 e 7.3.3 para a plataforma da série NCS5500, a Cisco apresentou um novo método para recuperação de senha sem a necessidade de recriar a imagem do roteador. Esse método de recuperação de senha não exigirá que o software seja reinstalado, economizando tempo e permitindo o acesso ao roteador após a redefinição de senha. Esse novo método de recuperação de senha é compatível com padrões de segurança, pois as informações do usuário antigo e os dados de tempo de execução do usuário são apagados antes do início do processo de recuperação de senha.

Problema

Atualmente, a recuperação de senha em plataformas XR7 LNT (Cisco 8000, NCS-540L) ou eXR (ASR9K 64 bits, NCS5K, NCS5500, NCS 540, NCS 560) não é possível. A única alternativa disponível para redefinir a senha é recriar a imagem do roteador com o uso do método de inicialização USB ou inicialização iPXE a partir de um servidor externo. Esse é um processo demorado, pois envolve instalar novamente o software do roteador e carregar a configuração do dispositivo.

É necessário um método mais rápido e seguro para recuperação de senha nas plataformas Cisco XR7 e eXR.

Solução

A partir da versão 7.3.16 para a plataforma da série Cisco 8000 e 7.3.3 para a plataforma da série NCS5500, a Cisco apresentou um novo método para recuperação de senha sem a necessidade de recriar a imagem do roteador. No menu GRUB (Grand Unified Bootloader) da tela de inicialização do RP (Route Processor), uma nova opção é adicionada - "IOS-XR-Recovery", que é explicitamente criada para o procedimento de recuperação de senha. Na configuração do roteador, uma nova recuperação do sistema de comando é criada para permitir o novo recurso de recuperação de senha. Este é atualmente um recurso opcional e não está ativado por padrão.

Caveats:

- A opção de menu de inicialização GRUB do bios RP IOS-XR-recovery será vista independentemente do comando recuperação do sistema configurado ou não configurado na configuração do roteador. Se o comando system recovery não estiver presente na configuração do roteador e se um novo método de recuperação de senha for tentado selecionando a opção de menu de tela GRUB do bios IOS-XR-recovery, o roteador cancelará o processo de recuperação de senha e inicializará com a configuração antiga. Portanto, é obrigatório ter um comando de recuperação do sistema configurado no roteador para que o método de recuperação de senha funcione.

- O recurso de recuperação de senha está desativado por padrão.

- O recurso de recuperação de senha precisa ser explicitamente ativado por meio da CLI (Command Line Interface, interface de linha de comando) de configuração. RP/0/RP0/CPU0:HOSTNAME(config)#recuperação do sistema.

- Se o roteador for submetido a um procedimento de recuperação de senha, o comando system recovery será desativado após a inicialização do roteador, pois toda a configuração do roteador será apagada como parte do procedimento de recuperação de senha. Os usuários precisam carregar a configuração do dispositivo novamente e configurar o comando de recuperação do sistema se ele não fizer parte da configuração do dispositivo.

- Além da exclusão da configuração do roteador, todos os arquivos criados pelo usuário, show tech files, dumper files serão removidos do disco0 e do disco rígido como parte do procedimento de limpeza durante a recuperação de senha.

- Este recurso é atualmente suportado na versão 7.3.16 e superior no Cisco 8000, 7.3.3 e superior no NCS5500, e em outras plataformas XR7 LNT e eXR, esse recurso será disponibilizado em versões futuras.

- Use o procedimento fornecido para plataformas onde ambas as placas RP estão instaladas no chassi. Reduza ambas as placas RP ao menu GRUB do bios. Em seguida, os procedimentos de recuperação de senha devem ser feitos em cada placa RP, um por um. Esta é uma etapa obrigatória para plataformas RP duplas, caso contrário, levaria à inconsistência de configuração e limpeza de arquivos.

Novas etapas de recuperação de senha

Pré-requisito: O novo recurso de recuperação de senha só funciona se a CLI fizer parte da configuração do dispositivo. Se a CLI não estiver configurada, o novo mecanismo de recuperação de senha não funcionará devido à falta da CLI de configuração.

Ativar recurso de recuperação de senha:

RP/0/RP0/CPU0:HOSTNAME(config)#system recovery

Desativar recurso de recuperação de senha:

RP/0/RP0/CPU0:HOSTNAME(config)#no system recovery

O procedimento de recuperação de senha deve ser feito somente através do console RP.

Etapa 1. Reduza a placa RP ao menu GRUB do bios. Para plataformas onde ambas as placas RP estão instaladas no chassi, ambas as placas RP devem ser rebaixadas para o menu GRUB do bios antes de iniciar o procedimento de recuperação de senha. Esta é uma etapa obrigatória. Isso pode ser feito por um ciclo de energia do dispositivo e, em seguida, pressione a tecla ESC em ambos os consoles RP para entrar no menu GRUB do bios ou, fisicamente, encaixando cada RP um por um e pressione a tecla ESC no console RP para entrar no menu GRUB do bios.

Placa RP0 e RP1:

Placa RP0 e RP1:

Etapa 2. No console da placa RP0, selecione a opção IOS-XR-recovery no menu GRUB e pressione Enter.

Placa RP0:

Etapa 3. Selecione a opção IOS-XR-recovery no menu GRUB e pressione Enter no console da placa RP1, assim que você vir a Initiating IOS-XR System Recovery... no console da placa RP0. Não espere até que a placa RP0 acesse o prompt "Enter root-system username:" (Inserir nome de usuário do sistema raiz:); caso contrário, a placa RP1 reinicializará automaticamente e sairá do menu GRUB do bios. A placa RP0 será inicializada como ativa e a placa RP1 será inicializada como uma placa em espera após o processo de recuperação.

Placa RP0:

Placa RP1:

Etapa 4. Na placa RP0, crie um novo usuário raiz e uma nova senha. Tente fazer login no dispositivo usando o novo nome de usuário e senha raiz.

Placa RP0:

Etapa 5. O procedimento de recuperação de senha está concluído neste ponto.

O roteador agora é inicializado com uma configuração em branco e com o nome de usuário/senha raiz criado na etapa 4. Continue com a configuração normal do roteador ou carregue uma configuração de um arquivo de backup (qualquer backup de configuração armazenado em disco0 ou disco rígido será perdido como parte do procedimento de recuperação de senha, portanto sempre salve a configuração em um servidor externo). Certifique-se de que essa mensagem esteja nos registros de console RP0 para RP0 e RP1, como uma etapa de verificação para confirmar a recuperação de senha e para verificar se toda a limpeza de dados de usuário antigo foi concluída com êxito para ambos os RP. Caso contrário, repita a Etapa de pré-requisito e as Etapas 1. to 4. até que você veja essas mensagens nos registros do console RP0. Se essa mensagem não for vista para RP em standby, você precisará repetir a Etapa de pré-requisito e as Etapas 1. to 4. somente para RP em standby.

RP/0/RP0/CPU0:Jul 8 06:13:24.551 CEST: sys_rec[1188]: %SECURITY-SYSTEM_RECOVERY-1-REPORT : System Recovery at 06:10:19 CEST Thu Jul 08 2021 was successful

RP/0/RP1/CPU0:Jul 8 06:15:13.967 CEST: sys_rec[1188]: %SECURITY-SYSTEM_RECOVERY-1-REPORT : System Recovery at 06:11:23 CEST Thu Jul 08 2021 was successful

Summary

Esse novo procedimento de recuperação de senha pode ser usado para redefinir com segurança as senhas perdidas na plataforma da série Cisco 8000 e na plataforma da série NCS5500 em menos de 10 minutos.