目錄

簡介

需求

採用元件

硬體：

軟體

背景資訊:

問題.

1:正在嘗試在所有位置重置工廠

2:執行資料擦除的Zapdisk

步驟 3:核心轉儲詳細資訊

解決方案

1:提交替換

2:出廠重置關閉位置全部

3:Zapdisk開始位置全部

zapdisk操作

4:Hderase

簡介

本檔案介紹使用IOS® XR的Cisco上的安全資料擦除和出廠重設操作，包括使用「factory-reset」、「zapdisk」和「commit replace commands」命令、已知問題和建議的替代方法。

需求

思科建議您瞭解以下主題：

- Cisco IOS XR軟體架構和操作。

- IOS XR環境中「factory-reset」和「zapdisk」命令的特定於平台的行為。

- 思科路由平台上的裝置重新映像和配置管理程式。

- 瞭解IOS XR中的核心轉儲分析和故障排除。

採用元件

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您已瞭解任何指令可能造成的影響，本檔案中的資訊是根據以下軟體和硬體版本：

硬體：

- Cisco NCS 5500/5700系列路由器

- Cisco NCS 540/560

- Cisco ASR9000/9900

- 思科路由器8000

軟體

- IOS XR軟體版本：

- 32位

- 64位

- XR7

- 採用預設配置的實驗環境

- 最近的更改：執行

- "factory-reset shutdown location all"

- "zapdisk start location all"命令

- 「commit replace」是最常用的命令。

- "Hderase"（ROMMON模式）

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

背景資訊:

運行IOS XR的思科平台通常用於需要安全刪除配置和敏感資料的環境，例如裝置停用或實驗室清理期間。

三個主要命令可用於此類操作：

- 提交替換：用於用新配置替換整個運行配置，從而有效地清除現有配置。這是一個強有力的命令，必須謹慎使用，因為它可能會影響服務。實質上，它就像一個「寫擦除」，然後載入新的配置。

- factory-reset shutdown location all:旨在通過清除所有位置的配置和使用者資料，將裝置重置為出廠狀態。

- zapdisk啟動位置全部：  用於安全地清除所有位置儲存裝置的使用者資料。

- 高級:此擦除磁碟記憶體功能會永久刪除RSP和線卡的磁碟記憶體中的資料。擦除的資料不可恢復。

問題.

關於跨不同型別的XR執行配置清理的正確方法，可能存在一些差距。 目前，有幾個命令可幫助我們執行配置清理。

本文檔中涉及的主要難題是從運行IOS XR 7.8.1或7.8.2的Cisco NCS 5500系列路由器上安全刪除機密資訊。該方案概述了觀察到的問題和症狀：

1:正在嘗試在所有位置重置工廠

device# factory-reset shutdown location all

輸出範例：

LC/0/1/CPU0:May 27 23:55:49.699 UTC: ssd_enc_server[255]: %OS-SSD_ENC-1-FACTORY_RESET : Factory reset CLI is not supported on this platform. Please use 'zapdisk' instead.

device#

說明:此平台不支援「factory-reset shutdown location all」命令。系統指示使用者使用「zapdisk」命令作為替代方法。

2:執行資料擦除的Zapdisk

device# zapdisk start location all

觀察到的症狀：在執行期間，系統檢測到並記錄了進程崩潰。系統日誌消息已生成：

Sep 15 19:29:14.345 UTC: logger[69445]: %OS-SYSLOG-4-LOG_WARNING : PAM detected crash for zapdisk_client on 0_RP0_CPU0. All necessary files for debug have been collected and saved at 0/RP0/CPU0  : harddisk:/cisco_support/PAM-crash-xr_0_RP0_CPU0-zapdisk_client-2024Sep15-192913.tgz (Please copy tgz file out of the router and send to Cisco support. This tgz file will be removed after 14 days.)

說明:「zapdisk」操作觸發「zapdisk_client」進程的崩潰，導致生成核心轉儲。通過SSH仍可訪問路由器，並且沒有立即報告硬體不可用。

步驟 3:核心轉儲詳細資訊

Core location: 0/RP0/CPU0:/misc/disk1

Core for pid = 61085 (zapdisk_client)

Core for process: zapdisk_client_61085.by.11.20240915-192911.xr-vm_node0_RP0_CPU0.dd2cd.core.gz

Core dump time: 2024-09-15 19:29:11.109818050 +0000

Process:

Core was generated by `zapdisk_client -a'.

說明:路由器為診斷目的建立了一個核心轉儲檔案。檔案儲存在本地，並可在需要時進行分析，或上傳至思科支援部門。

解決方案

顯示通常在所有XR平台中最常用的選項。

1:提交替換

所有Cisco IOS XR平台都支援此命令，目前使用最廣泛、最受歡迎。出於這些原因，這是推薦過程。此命令用於用新配置替換或刪除整個運行配置。此操作被視為影響服務，因為它可能會根據新配置替換現有配置，顯著改變裝置運行狀態。

範例：

RP/0/RP0/CPU0:NCS-540-D#conf t

Thu Aug  7 23:30:45.335 UTC

RP/0/RP0/CPU0:NCS-540-D(config)#commit replace

Thu Aug  7 23:30:50.118 UTC

This commit will replace or remove the entire running configuration. This

operation can be service affecting.

Do you wish to proceed? [no]: y

2:出廠重置關閉位置全部

這隻適用於Cisco 8000系列路由器。

factory reset命令會永久清除路由器上的所有敏感資料。在退回裝置以執行RMA、停用裝置或轉讓所有權之前，這是一個關鍵的安全步驟。資料從以下目錄中刪除：

- /misc/disk1

- /misc/scratch

- /ar/log

- /misc/config

除了刪除檔案外，還可以用隨機資料覆蓋儲存裝置，使恢復變得困難或幾乎不可能。

範例：

RP/0/RP1/CPU0:8808-A#factory-reset ?

reload    Reload the location after performing factory-reset

shutdown  Shutdown the location after performing factory-reset

RP/0/RP1/CPU0:8808-A#factory-reset reload ?

location  Specify location

RP/0/RP1/CPU0:8808-A#factory-reset reload location ?

0/1/CPU0    Fully qualified location specification

0/2/CPU0    Fully qualified location specification

0/RP1/CPU0  Fully qualified location specification

WORD        Fully qualified location specification

all         Show all locations

RP/0/RP1/CPU0:8808-A#factory-reset reload location

3:Zapdisk開始位置全部

eXR 6.3.1版映像提供了zapdisk功能。zapdisk功能通過清除磁碟邏輯卷和重置路由器上所有CPU主機板上的rommon引數來實現路由器出廠重置。當您發現卡(RSP/LC)有故障並且需要為RMA傳送該功能時，需要首先使用此功能，這需要清理卡的磁碟/分割槽。運行eXR的ASR9K系統需要此命令。

zapdisk操作

- 啟用後的行為:在CPU主機板上啟用zapdisk後，如果路由器/主機板重新映像，可以將主機板上的rommon變數重置為出廠設定以及主機板上要清理的磁碟邏輯卷(包括/harddisk:下儲存的檔案)。

- 重新載入行為：在CPU主機板上啟用zapdisk後，通過執行物理OIR或使用CLI命令重新載入主機板無法觸發zapdisk功能。

- 重要附註：請勿重新載入卡（執行Zapdisk的位置）或整個機箱，直到將卡從插槽中移除。重新載入可能導致卡再次啟動，並且磁碟上重新填充剛剛擦除的資料。

- CLI命令:

- 管理zapdisk集:在路由器上啟用zapdisk。

- admin zapdisk unset:在路由器上禁用zapdisk。

- 驗證：

- 在CPU主機板上執行Calvados shell命令以驗證zapdisk的狀態：/opt/cisco/calvados/bin/nvram_dump -a

- 輸出顯示：

- ZAPDISK_CARD=1 — 設置zapdisk(在設定admin zapdisk之後)

- ZAPDISK_CARD=0 — 未設定zapdisk(在取消設定admin zapdisk之後)

- 或者，可以使用/opt/cisco/calvados/bin/nvram_dump -r ZAPDISK_CARD，如果設定輸出數據，則輸出數據為1。

- 增強型操作（從iOS XR 7.0.1開始）:

- 顯示可以執行Zapdisk的所有位置：顯示zapdisk位置

- EXEC CLI，用於在指定位置啟動操作：zapdisk start location <location>(例如zapdisk start location 0/1, zapdisk start location all)

- 如果指定的位置不正確，系統將使用「INCORRECT LOCATION， zapdisk cannot be initiated on this node」進行響應。

- 執行zapdisk start location all時，操作完成後會顯示系統日誌消息。

4:Hderase

現在輪到使用高級命令了。以下是在Cisco ASR 9000路由器中iOS XR 64位7.0.x的硬體過程：

1.如果是2 RP路由器，請刪除1 RP。如果存在單個RP，則不需要執行任何操作。將控制檯電纜連線到RP。完成此操作後，重新載入RP/路由器：

sysadmin-vm:0_RSP0# hw-module location all reload

Tue Jun 16 04:27:50.284 UTC

Reload hardware module ? [no,yes] yes

result Card graceful reload request on all acknowledged.

sysadmin-vm:0_RSP0#

2.啟動時，按CTRL-C:

##########################################################

System Bootstrap, Version 22.24 [ASR9K x86 ROMMON],

Copyright (c) 1994-2019 by Cisco Systems, Inc.

Compiled on Tue 07/16/2019 15:41:43.70

BOARD_TYPE : 0x101014

Rommon : 22.24 (Primary)

Board Revision : 5

PCH EEPROM : 0.0

IPU FPGA(PL) : 0.20.1 (Primary)

IPU INIT(HW_FPD) : 2.5.1

IPU FSBL(BOOT.BIN) : 1.104.0

IPU LINUX(IMAGE.FPD) : 1.104.0

DRAX FPGA : 0.35.1

CBC0 : Part 1=54.10, Part 2=54.8, Act Part=1

Product Number : ASR-9901-RP

Chassis : ASR-9901

Chassis Serial Number : FOC2216NU0J

Slot Number : 0

Pxe Mac Address LAN 0 : b0:26:80:ac:81:a0

Pxe Mac Address LAN 1 : b0:26:80:ac:81:a1

==========================================================

Got EMT Mode as Disk Boot

Got Boot Mode as Disk Boot

Booting IOS-XR 64 bit Boot previously installed image - Press Ctrl-c to stop >>>>>>>>>>>>>>>>>>>>>>>> At this point, press CTRL-C

3.看到此bios選單後，選擇選項1:

Please select the operating system and the boot device:

1) Boot to ROMMON

2) IOS-XR 64 bit Boot previously installed image

3) IOS-XR 64 bit Mgmt Network boot using DHCP server

4) IOS-XR 64 bit Mgmt Network boot using local settings (iPXE)

(Press 'p' for more option)

Selection [1/2/3/4]: 1

Selected Boot to ROMMON, Continue ? Y/N: Y

Set CBC OS type IOS-XR 32 bit, EMT IOS-XR Boot to CBC

<SNIP>

##########################################################

System Bootstrap, Version 22.24 [ASR9K x86 ROMMON],

Copyright (c) 1994-2019 by Cisco Systems, Inc.

Compiled on Tue 07/16/2019 15:41:43.70

BOARD_TYPE : 0x101014

Rommon : 22.24 (Primary)

Board Revision : 5

PCH EEPROM : 0.0

IPU FPGA(PL) : 0.20.1 (Primary)

IPU INIT(HW_FPD) : 2.5.1

IPU FSBL(BOOT.BIN) : 1.104.0

IPU LINUX(IMAGE.FPD) : 1.104.0

DRAX FPGA : 0.35.1

CBC0 : Part 1=54.10, Part 2=54.8, Act Part=1

==========================================================

DRAM Frequency: 2133 MHz

DRAM Frequency: 2133 MHz

Memory Size: 32768 MB

Valid Flash Device returned -

Device Type 3

Id 1620512, ExtId 0, Size 8, VendorName Micron DeviceName N25Q128A

Memory Size: 32768 MB

MAC Address from cookie: b0:26:80:ac:81:a0

Board Type: 0x00101014

Chassis Type: 0x00ef1015

Slot Number: 00

Chassis Serial: FOC2216NU0J

Cbc uart base address = 3e8

rommon 1 >

rommon 1 >

4.在此處，您可以在rommon下看到「hderase」選項（在XR 6.6.3版之前不存在此選項）：

rommon 1 > priv

You now have access to the full set of monitor commands.

Warning: some commands will allow you to destroy your

configuration and/or system images and could render

the machine unbootable.

rommon 2 > ?

alias set and display aliases command

dumpcounters Dump RX/Tx marvell switch counters

bpcookie display contents of upper backplane cookie

call call a subroutine at address with converted hex args

cbc0_select Select CBC0 for CPU-CBC communication

<SNIP>

aldrin_init aldrin initialization

aldrin_cmd aldrin command execution

bios_usb_en bios usb stack en/dis

mvinit_strld Initialize Marvell 88E6122 Switch for LC use

hderase Erase all hard drive contents permanently >>>>>>>>>>>>>>>>>>>>>>>>>>>>

rommon 3 >

rommon 4 > hderase

SATA HD(0x4,0x0,0x0):

Model : SMART iSATA SHSLM32GEBCITHD02

Serial No : STP190505VU

Secure Erase Supported

Security State : Disable/Not Locked/Not Frozen

All the contents on this Drive will be Erased

Do you wish to continue?(Y/N)y

Erasing SATA HD(0x4,0x0,0x0)...

Erasing SATA HD(0x4,0x0,0x0) Completed

rommon 5 > reset -h

Starting ASR9k initialization ...

<SNIP>

Booting IOS-XR (32 bit Classic XR) - Press Ctrl-c to stop

摘要

本文檔概述了流程和運行IOS XR軟體的Cisco路由器上的安全資料擦除和出廠重置操作的最佳實踐。其中介紹了可用於配置清理和資料清理的主要命令的目的、用途和限制，具體包括commit replace、factory-reset、zapdisk和hderase。

本文檔重點介紹了commit replace在清除所有IOS XR平台上的配置時受到廣泛支援並受到推薦，而factory-reset和zapdisk命令具有平台和版本特定的行為。特別要注意的是，在某些平台上（例如，使用IOS XR 7.8.x的NCS 5500系列），factory-reset不受支援，並且zapdisk可能會發生進程崩潰 — 儘管這些不會影響裝置可用性，並在以後的軟體版本中解決。

所有命令和步驟均在實驗室環境中經過驗證，思科建議在將其應用於生產環境之前對其進行仔細檢查。本文檔提供有關命令使用、故障排除的指導，並提供參考以進一步獲取技術支援和文檔。