Es gibt zwei Wege:

• Methode A: archive download-sw mit einer .tar-Datei. Der Switch entpackt das Image und die Web-Device-Manager-Dateien und setzt die Boot-Variable selbst.
• Methode B: Manuelles Upgrade mit einer .bin-Datei. Sie kopieren das Image, prüfen es, setzen boot system und starten neu.

Lab-Hinweis: Ich aktualisiere meinen eigenen Catalyst 3560 mit 8 PoE-Ports mit beiden Methoden. Konsolenausgaben und Zeiten aus diesem Lab werden ergänzt.

1. Vorbereitung

Konfiguration sichern

Switch# copy running-config startup-config
Switch# copy startup-config tftp:

Bewahren Sie das Backup außerhalb des Switches auf: auf Ihrem Laptop, einem TFTP- oder SCP-Server oder in Ihrem Konfigurationsmanagement.

Modell, Version und Feature Set ermitteln

Switch# show version
Switch# show inventory

Notieren Sie drei Dinge:

• Genaues Modell, zum Beispiel WS-C3560-8PC-S. Das Image muss zur Plattform passen.
• Aktuelle IOS-Version.
• Feature Set, zum Beispiel IP Base (ipbasek9) oder IP Services (ipservicesk9). Wählen Sie für das neue Image dasselbe Feature Set, außer Sie wollen es bewusst ändern.

Boot-Einstellungen und Flash-Speicher prüfen

Switch# show boot
Switch# dir flash:

show boot zeigt, welches Image der Switch beim nächsten Neustart lädt. dir flash: zeigt die Dateien und ganz unten den freien Speicher. Kompakte Switches wie der 3560 mit 8 Ports haben wenig Flash. Oft reicht der Platz nicht für zwei Images gleichzeitig.

Image herunterladen

Laden Sie das Image über Cisco Software Download herunter. Dafür ist ein Servicevertrag nötig. Sie finden zwei Dateitypen:

Notieren Sie die MD5-Prüfsumme von der Download-Seite. Sie vergleichen sie später auf dem Switch.

Der klassische Catalyst 3560 ist End of Life. Das neueste Release auf der Download-Seite ist also das letzte für diese Plattform.

2. Methode A: archive download-sw

Das ist die von Cisco empfohlene Methode für diese Switch-Familie. Ein Befehl überträgt die .tar-Datei, entpackt sie in ein neues Verzeichnis im Flash, aktualisiert die Boot-Variable und startet bei Bedarf neu.

Switch# archive download-sw /overwrite /reload tftp://192.0.2.10/c3560-ipservicesk9-tar.<version>.tar

Die wichtigsten Optionen:

Wenn Platz für beide Images ist, verwenden Sie /leave-old-sw statt /overwrite. Ein Rollback ist dann nur eine Änderung der Boot-Variable.

Ohne /reload prüfen Sie das Ergebnis vor dem Neustart:

Switch# show boot
Switch# dir flash:
Switch# reload

3. Methode B: Manuelles Upgrade mit einer .bin-Datei

Die manuelle Methode gibt Ihnen volle Kontrolle über jeden Schritt. Sie ist nützlich, wenn Sie nur eine .bin-Datei haben oder das Image prüfen wollen, bevor Sie die Boot-Variable ändern.

Image kopieren

Switch# copy tftp://192.0.2.10/c3560-ipservicesk9-mz.<version>.bin flash:

Reicht der Platz nicht, müssen Sie zuerst das alte Image löschen. Damit verlieren Sie die Rollback-Option auf dem Switch. Stellen Sie sicher, dass das alte Image auf Ihrem TFTP-Server liegt und eine Konsolenverbindung bereitsteht.

TFTP funktioniert für kleine Dateien, ist aber langsam und über große Entfernungen unzuverlässig. Wenn Ihre IOS-Version es unterstützt, sind SCP oder FTP schneller.

Prüfsumme verifizieren

Switch# verify /md5 flash:c3560-ipservicesk9-mz.<version>.bin

Vergleichen Sie das Ergebnis mit dem MD5-Wert von der Cisco-Download-Seite. Stimmen sie nicht überein, löschen Sie die Datei und kopieren sie erneut. Starten Sie nie ein Image, dessen Prüfung fehlgeschlagen ist.

Boot-Variable setzen und neu starten

Switch# configure terminal
Switch(config)# boot system flash:c3560-ipservicesk9-mz.<version>.bin
Switch(config)# end
Switch# copy running-config startup-config
Switch# show boot
Switch# reload

Prüfen Sie show boot vor dem Neustart. Die BOOT path-list muss auf das neue Image zeigen, mit korrektem Dateinamen und Pfad.

4. Nach dem Upgrade

Switch# show version
Switch# show interfaces status
Switch# show power inline
Switch# show logging

• show version: Die neue IOS-Version läuft.
• show interfaces status: Alle erwarteten Ports sind aktiv.
• show power inline: PoE-Geräte werden wieder versorgt.
• show logging: Keine Fehler beim Start.

Wenn die neue Version sicher funktioniert, löschen Sie das alte Image, um Platz zu schaffen, außer Sie wollen es für einen Rollback behalten.

5. Rollback

• Altes Image noch im Flash: Boot-Variable mit boot system flash:<altes-image> zurückstellen, speichern und neu starten.
• Altes Image gelöscht: Vom TFTP-Server zurückkopieren, MD5 prüfen und Boot-Variable setzen.
• Switch startet IOS gar nicht: Er bleibt am Prompt switch: stehen. Das behandelt der Artikel Wenn ein Catalyst 3560 nicht startet: Wiederherstellung über den Boot Loader.

Häufige Fehler

• Falsche Plattform oder falsches Feature Set. Ein Image für ein anderes Modell startet nicht.
• Altes Image löschen, bevor das neue geprüft ist. Ist die Kopie beschädigt, gibt es nichts mehr zu starten.
• Tippfehler in boot system. Der Switch findet das Image nicht und bleibt im Boot Loader stehen.
• Keine Konsolenverbindung während des Neustarts. Wenn etwas schiefgeht, sehen Sie es nur über die Konsole.

Verwandte Artikel

• Cisco Catalyst 3560 Passwort-Wiederherstellung: Zwei Methoden
• Wenn ein Catalyst 3560 nicht startet: Wiederherstellung über den Boot Loader
• Cisco Nexus NX-OS Software-Upgrade-Leitfaden
• SecureCRT und SuperPuTTY für Netzwerk-Engineers

Dieser Leitfaden behandelt die zwei Situationen aus der Praxis:

• Methode 1: Konfiguration behalten. Der Switch startet ohne Startkonfiguration, Sie setzen die Passwörter neu und spielen die ursprüngliche Konfiguration wieder ein.
• Methode 2: Passwort-Wiederherstellung ist deaktiviert. Jemand hat no service password-recovery konfiguriert. Der Switch lässt sich trotzdem zurückholen, aber nur über einen Reset auf Werkseinstellungen.

Lab-Hinweis: Ich führe diese Schritte auf meinem eigenen Catalyst 3560 mit 8 PoE-Ports durch. Die Konsolenausgaben aus diesem Lab werden ergänzt.

Was Sie brauchen

• Physischen Zugang zum Switch. Eine Passwort-Wiederherstellung aus der Ferne ist absichtlich nicht möglich.
• Ein Konsolenkabel (RJ-45-Rollover oder USB-Seriell) und ein Terminalprogramm wie SecureCRT, PuTTY oder screen.
• Terminaleinstellungen: 9600 Baud, 8 Datenbits, keine Parität, 1 Stoppbit, keine Flusskontrolle.
• Ein Wartungsfenster. Der Switch startet zweimal neu und leitet währenddessen keinen Verkehr weiter.

Für Konsolenzugriff aus der Ferne ist ein Konsolenserver die professionelle Lösung. Siehe Next-Gen Console Server Architektur.

So funktioniert die Wiederherstellung

Der Catalyst 3560 speichert seine Startkonfiguration als Datei config.text im Flash. Beim normalen Start lädt IOS diese Datei. Bei der Passwort-Wiederherstellung wird der Startvorgang unterbrochen, bevor IOS startet. Sie landen im Boot Loader, einer kleinen Umgebung mit dem Prompt switch:.

Im Boot Loader haben Sie Zugriff auf das Flash-Dateisystem. Wenn config.text umbenannt ist, startet IOS ohne Konfiguration und damit ohne Passwörter. Danach melden Sie sich an, stellen die Konfiguration manuell wieder her und setzen neue Passwörter.

Methode 1: Passwort zurücksetzen und Konfiguration behalten

Schritt 1: Startvorgang unterbrechen

1. Konsolenkabel anschließen und Terminalsitzung öffnen.
2. Stromkabel ziehen.
3. Die Mode-Taste an der Vorderseite gedrückt halten.
4. Strom wieder anschließen und die Taste weiter gedrückt halten.
5. Die Taste nach etwa 15 Sekunden loslassen, wenn die Konsole meldet, dass das System vor der Initialisierung des Flash-Dateisystems unterbrochen wurde.

Jetzt sollte der Prompt switch: erscheinen. Startet der Switch normal, schalten Sie ihn aus und versuchen es erneut, diesmal mit etwas längerem Drücken.

Schritt 2: Flash initialisieren

Das Flash-Dateisystem ist noch nicht eingebunden. Initialisieren Sie es:

switch: flash_init

Bei einigen älteren Boot-Loader-Versionen müssen zusätzlich Hilfsdateien geladen werden:

switch: load_helper

Dann den Inhalt des Flash anzeigen:

switch: dir flash:

Sie sollten das IOS-Image (oder ein Verzeichnis mit dem Image), config.text, vlan.dat und eventuell private-config.text sehen.

Schritt 3: Konfigurationsdatei umbenennen

switch: rename flash:config.text flash:config.text.old

Löschen Sie config.text nicht. Das Umbenennen reicht, damit IOS die Datei nicht lädt, und den Inhalt brauchen Sie später noch.

Schritt 4: IOS ohne Konfiguration starten

switch: boot

Der Switch startet mit leerer Konfiguration. Auf die Frage nach dem Initial Configuration Dialog antworten Sie mit no.

Schritt 5: Ursprüngliche Konfiguration wiederherstellen

Switch> enable
Switch# rename flash:config.text.old flash:config.text
Switch# copy flash:config.text system:running-config

Der Switch läuft jetzt mit der ursprünglichen Konfiguration, inklusive Hostname, VLANs, Interfaces und den alten Passwörtern. Sie sind weiterhin im privilegierten Modus, weil Sie ihn vor dem Laden der Konfiguration betreten haben.

Schritt 6: Neue Passwörter setzen

Switch# configure terminal
Switch(config)# enable secret <neues-enable-secret>
Switch(config)# username admin privilege 15 secret <neues-passwort>
Switch(config)# line con 0
Switch(config-line)# login local
Switch(config-line)# line vty 0 15
Switch(config-line)# login local
Switch(config-line)# end

Passen Sie das an die bisherige Authentifizierung an. Nutzt der Switch TACACS+ oder RADIUS, prüfen Sie, ob der lokale Fallback-Account funktioniert.

Schritt 7: Interfaces prüfen und speichern

Beim Kopieren in die Running-Config wird die Konfiguration zusammengeführt. Dabei wird nicht jeder Interface-Zustand wiederhergestellt. Prüfen Sie, ob Interfaces administrativ heruntergefahren sind, besonders VLAN-Interfaces (SVIs):

Switch# show ip interface brief

Interfaces, die aktiv sein sollen, mit no shutdown aktivieren. Dann speichern:

Switch# copy running-config startup-config

Starten Sie einmal neu und melden Sie sich mit den neuen Zugangsdaten an, um sicherzugehen, dass alles einen Neustart übersteht.

Methode 2: Wenn die Passwort-Wiederherstellung deaktiviert ist

Wurde der Switch mit no service password-recovery konfiguriert, verhält sich die Mode-Taste anders. Sie haben im Boot Loader keinen Zugriff auf das Flash-Dateisystem. Stattdessen meldet der Switch, dass die Passwort-Wiederherstellung deaktiviert ist, und fragt, ob das System auf die Standardkonfiguration zurückgesetzt werden soll.

• Mit yes löscht der Switch die Konfigurationsdatei und die VLAN-Datenbank und startet mit Werkseinstellungen. Das IOS-Image bleibt im Flash.
• Mit no startet der Switch normal mit der aktuellen Konfiguration, und Sie stehen wieder vor der Passwortabfrage.

Das ist der gewollte Kompromiss dieser Funktion. Ein Angreifer mit physischem Zugang kann die Konfiguration nicht auslesen, aber Sie verlieren sie ebenfalls.

Vor dem Reset sollten Sie ein aktuelles Backup der Konfiguration aus einer anderen Quelle haben, zum Beispiel aus einem Konfigurationsmanagement-Tool, von einem TFTP-Server oder als archivierte show running-config. Nach dem Reset:

1. Ohne Passwort anmelden und neue Zugangsdaten setzen.
2. Konfiguration aus dem Backup wiederherstellen.
3. VLANs neu anlegen, falls das Backup sie nicht enthält. Die VLAN-Datenbank (vlan.dat) wird ebenfalls gelöscht.
4. Entscheiden, ob no service password-recovery wieder aktiviert werden soll. Das ist sinnvoll für Switches an öffentlichen oder unverschlossenen Orten, sofern die Konfiguration woanders gesichert ist.

Neuere Boot Loader: Startkonfiguration ignorieren

Neuere Catalyst-Modelle und Boot-Loader-Versionen bieten eine sauberere Alternative zum Umbenennen von config.text: eine Boot-Loader-Variable, die IOS anweist, die Startkonfiguration für einen Start zu ignorieren. Ob Ihr Switch das unterstützt, hängt vom Modell und von der Boot-Loader-Version ab. Mit set am Prompt switch: sehen Sie, welche Variablen Ihr Boot Loader kennt.

Was der Boot Loader des 3560 hier bietet, dokumentiere ich, sobald die Lab-Ausgaben vorliegen.

Häufige Fehler

• config.text löschen statt umbenennen. Die Konfiguration ist weg, und nur ein Backup hilft.
• Vergessen, die Datei zurückzubenennen. Beim nächsten Neustart startet der Switch ohne Konfiguration.
• copy startup-config running-config vor dem Zurückbenennen. Die Startkonfiguration existiert zu diesem Zeitpunkt nicht unter ihrem normalen Namen.
• Nach dem Ändern der Passwörter nicht speichern. Beim nächsten Neustart sind die alten Passwörter zurück.
• Heruntergefahrene SVIs nach dem Zusammenführen. Der Management-Zugriff über das Netzwerk schlägt fehl, obwohl die Konfiguration korrekt aussieht.

Verwandte Artikel

• Catalyst 3560 IOS-Upgrade: Zwei Methoden und Verifizierung
• Wenn ein Catalyst 3560 nicht startet: Wiederherstellung über den Boot Loader
• Cisco Nexus NX-OS Software-Upgrade-Leitfaden
• Next-Gen Console Server Architektur

Das ist kein Grund, den Switch zu tauschen. Der Boot Loader des Catalyst 3560 hat alles, was Sie brauchen, um IOS wieder zum Laufen zu bringen, selbst wenn das Image im Flash fehlt. Dieser Leitfaden behandelt:

• Wie Sie die Boot-Loader-Umgebung lesen und warum der Switch dort stehen geblieben ist
• Wie Sie ein Image starten, das schon im Flash liegt
• Wie Sie ein neues Image per Xmodem über die Konsole übertragen, wenn der Flash leer ist
• Wie Sie die Lösung dauerhaft machen

Lab-Hinweis: Ich teste diese Szenarien auf meinem eigenen Catalyst 3560 mit 8 PoE-Ports. Konsolenausgaben und Übertragungszeiten aus diesem Lab werden ergänzt.

Warum der Switch im Boot Loader stehen bleibt

Der Boot Loader startet IOS von dem Image, das in der Variable BOOT steht. Schlägt das fehl, oder ist keine BOOT-Variable gesetzt und der Boot Loader findet selbst kein startfähiges Image, bleibt der Switch am Prompt switch: stehen. Typische Ursachen:

• Das Upgrade ist schiefgegangen: ein Tippfehler in boot system, oder das alte Image wurde gelöscht, bevor das neue bereitstand.
• Die Image-Datei ist beschädigt, zum Beispiel nach einem abgebrochenen Kopiervorgang.
• Die Variable MANUAL_BOOT steht auf yes, der Switch wartet also immer am Prompt.
• Das Flash-Dateisystem ist beschädigt.

Ein weiteres Symptom ist eine Boot-Schleife: Der Switch beginnt IOS zu laden, stürzt ab und startet immer wieder neu. Um die Schleife zu unterbrechen, halten Sie beim Einschalten die Mode-Taste gedrückt. Das Vorgehen steht im Leitfaden zur Passwort-Wiederherstellung.

Schritt 1: Bestandsaufnahme

Flash initialisieren und den Inhalt anzeigen:

switch: flash_init
switch: dir flash:

Dann die Umgebungsvariablen des Boot Loaders anzeigen:

switch: set

Die wichtigsten Variablen:

Mit help sehen Sie, welche Befehle Ihre Boot-Loader-Version unterstützt.

Schritt 2: Ein Image aus dem Flash starten

Zeigt dir flash: ein gültiges IOS-Image, können Sie es direkt starten. Images, die mit archive download-sw installiert wurden, liegen in einem Unterverzeichnis. Prüfen Sie also den vollständigen Pfad:

switch: dir flash:c3560-ipservicesk9-mz.<version>
switch: boot flash:c3560-ipservicesk9-mz.<version>/c3560-ipservicesk9-mz.<version>.bin

War MANUAL_BOOT das Problem, korrigieren Sie es:

switch: set MANUAL_BOOT no

Sobald IOS läuft, setzen Sie die Boot-Variable dauerhaft:

Switch# configure terminal
Switch(config)# boot system flash:<pfad>/<image>.bin
Switch(config)# end
Switch# copy running-config startup-config
Switch# show boot

Schritt 3: Flash ist leer: Image per Xmodem übertragen

Gibt es kein brauchbares Image im Flash, müssen Sie eines übertragen. Beim klassischen Catalyst 3560 hat der Boot Loader keinen Netzwerk-Stack und der Switch keinen USB-Speicheranschluss. Der Weg führt also über die Konsole. Das Protokoll ist Xmodem, das jedes ernsthafte Terminalprogramm unterstützt.

Image vorbereiten

Verwenden Sie die .bin-Datei, nicht die .tar-Datei. Xmodem überträgt eine einzelne Datei, und der Boot Loader kann keine Archive entpacken. Prüfen Sie die MD5-Prüfsumme vorher auf Ihrem PC, denn die Übertragung dauert lange und Sie wollen sie nicht wiederholen.

Konsolengeschwindigkeit erhöhen

Bei 9600 Baud dauert die Übertragung eines IOS-Images dieser Größe mehrere Stunden. Erhöhen Sie zuerst die Geschwindigkeit:

switch: set BAUD 115200

Die Konsolenausgabe wird sofort unlesbar. Stellen Sie Ihr Terminalprogramm auf 115200 Baud um und drücken Sie Enter, bis der Prompt switch: wieder erscheint.

Übertragung starten

switch: copy xmodem: flash:c3560-ipservicesk9-mz.<version>.bin

Der Switch wartet auf die Datei. Starten Sie in Ihrem Terminalprogramm einen Xmodem-Versand:

• SecureCRT: Transfer > Send Xmodem
• Tera Term: File > Transfer > XMODEM > Send
• minicom / screen: sx aus dem Paket lrzsz

Bei 115200 Baud rechnen Sie je nach Image-Größe und Terminalprogramm mit einer halben bis einer Stunde. Berühren Sie die Konsolensitzung während der Übertragung nicht.

Neues Image starten

switch: dir flash:
switch: boot flash:c3560-ipservicesk9-mz.<version>.bin

Schritt 4: Aufräumen

Sobald IOS läuft:

1. Image prüfen: verify /md5 flash:<image>.bin
2. boot system auf das neue Image setzen und speichern, wie in Schritt 2.
3. Konsolengeschwindigkeit zurücksetzen. Bleibt BAUD im Boot Loader auf 115200, behält auch die Konsole diese Geschwindigkeit. Wer sich später mit den üblichen 9600 Baud verbindet, sieht nur Zeichensalat. Setzen Sie den Wert im Boot Loader zurück (set BAUD 9600) oder stellen Sie sicher, dass die Konsolengeschwindigkeit in IOS dem entspricht, was Ihr Team erwartet.
4. Einmal neu starten, um zu bestätigen, dass der Switch ohne Hilfe startet.

Was ist mit TFTP und USB?

Auf neueren Catalyst-Plattformen kann der Boot Loader mehr. Manche Modelle haben einen USB-Speicheranschluss (usbflash0:) oder können ein Image über den Management-Port aus dem Netzwerk starten. Das ist viel schneller als Xmodem. Beim klassischen 3560 gibt es diese Optionen nicht, Xmodem ist bei leerem Flash also der einzige Weg. Mit help am Prompt switch: sehen Sie, was Ihre Plattform unterstützt.

Dieselbe Idee, also von TFTP oder USB starten, wenn das Gerät nicht hochkommt, behandelt der Nexus NX-OS Upgrade-Leitfaden für Rechenzentrums-Switches.

Vorbeugung

• Bewahren Sie das aktuelle und das vorherige Image auf einem erreichbaren TFTP-Server auf.
• Prüfen Sie die MD5-Prüfsumme vor jedem Neustart nach einem Upgrade.
• Prüfen Sie show boot vor jedem geplanten Neustart.
• Halten Sie bei jedem Upgrade einen Konsolenzugang bereit. Ein Konsolenserver macht das auch aus der Ferne möglich: Next-Gen Console Server Architektur.

Verwandte Artikel

• Cisco Catalyst 3560 Passwort-Wiederherstellung: Zwei Methoden
• Catalyst 3560 IOS-Upgrade: Zwei Methoden und Verifizierung
• Cisco Nexus NX-OS Software-Upgrade-Leitfaden