Bu, switch’i değiştirmek için bir sebep değil. Catalyst 3560’ın boot loader’ında, flash’taki imaj tamamen silinmiş olsa bile IOS’u yeniden çalıştırmak için gereken her şey var. Bu rehberde şunlar anlatılıyor:

• Boot loader ortamını nasıl okuyacağınız ve switch’in neden orada durduğu
• Flash’ta zaten olan bir imajla nasıl açılış yapacağınız
• Flash boşsa Xmodem ile konsol üzerinden yeni imajı nasıl aktaracağınız
• Çözümü nasıl kalıcı hale getireceğiniz

Lab notu: Bu senaryoları kendi 8 portlu PoE Catalyst 3560 switch’imde test ediyorum. Lab’dan alınan konsol çıktıları ve aktarım süreleri bu rehbere eklenecek.

Switch Neden Boot Loader’da Kalıyor?

Boot loader, IOS’u BOOT değişkeninde yazan imajdan başlatır. Bu başarısız olursa ya da BOOT değişkeni tanımlı değilse ve boot loader kendisi açılabilir bir imaj bulamazsa, switch switch: prompt’unda kalır. Tipik sebepler:

• Güncelleme ters gitmiştir: boot system‘de bir yazım hatası vardır ya da yenisi hazır olmadan eski imaj silinmiştir.
• İmaj dosyası bozuktur, örneğin yarıda kesilmiş bir kopyalama yüzünden.
• MANUAL_BOOT değişkeni yes olarak ayarlıdır, switch her seferinde prompt’ta bekler.
• Flash dosya sistemi bozulmuştur.

Bir diğer belirti boot döngüsü: switch IOS’u yüklemeye başlar, çöker ve tekrar tekrar yeniden başlar. Döngüyü kırmak için açılışı Mode butonuyla kesin. Adımlar şifre kurtarma rehberinde anlatılıyor.

Adım 1: Durumu İnceleyin

Flash’ı başlatın ve içeriğe bakın:

switch: flash_init
switch: dir flash:

Ardından boot loader ortam değişkenlerini görüntüleyin:

switch: set

En önemli değişkenler:

Boot loader sürümünüzün hangi komutları desteklediğini help ile görebilirsiniz.

Adım 2: Flash’taki Bir İmajla Açın

dir flash: geçerli bir IOS imajı gösteriyorsa doğrudan onunla açabilirsiniz. archive download-sw ile kurulan imajlar bir alt dizinde durur, bu yüzden tam yolu kontrol edin:

switch: dir flash:c3560-ipservicesk9-mz.<surum>
switch: boot flash:c3560-ipservicesk9-mz.<surum>/c3560-ipservicesk9-mz.<surum>.bin

Sorun MANUAL_BOOT ise düzeltin:

switch: set MANUAL_BOOT no

IOS çalışınca boot değişkenini kalıcı olarak ayarlayın:

Switch# configure terminal
Switch(config)# boot system flash:<yol>/<imaj>.bin
Switch(config)# end
Switch# copy running-config startup-config
Switch# show boot

Adım 3: Flash Boş: Xmodem ile İmaj Aktarın

Flash’ta kullanılabilir bir imaj yoksa bir tane getirmeniz gerekir. Klasik Catalyst 3560’ta boot loader’ın network yığını yok, switch’in de USB depolama portu yok. Yani tek yol konsol. Kullanılan protokol Xmodem ve ciddi her terminal programı bunu destekler.

İmajı Hazırlayın

.tar değil .bin dosyasını kullanın. Xmodem tek bir dosya aktarır ve boot loader arşiv açamaz. Aktarım uzun sürdüğü ve tekrarlamak istemeyeceğiniz için MD5 checksum’ı önceden bilgisayarınızda kontrol edin.

Konsol Hızını Artırın

9600 baud’da bu boyutta bir IOS imajını aktarmak birkaç saat sürer. Önce hızı artırın:

switch: set BAUD 115200

Konsol çıktısı hemen okunmaz hale gelir. Terminal programınızı 115200 baud’a çevirin ve switch: prompt’u geri gelene kadar Enter’a basın.

Aktarımı Başlatın

switch: copy xmodem: flash:c3560-ipservicesk9-mz.<surum>.bin

Switch dosyayı bekler. Terminal programınızda bir Xmodem gönderimi başlatın:

• SecureCRT: Transfer > Send Xmodem
• Tera Term: File > Transfer > XMODEM > Send
• minicom / screen: lrzsz paketindeki sx

115200 baud’da imaj boyutuna ve terminal programına bağlı olarak yarım saat ile bir saat arası bir süre bekleyin. Aktarım sırasında konsol oturumuna dokunmayın.

Yeni İmajla Açın

switch: dir flash:
switch: boot flash:c3560-ipservicesk9-mz.<surum>.bin

Adım 4: Toparlayın

IOS çalışınca:

1. İmajı doğrulayın: verify /md5 flash:<imaj>.bin
2. Adım 2’deki gibi boot system‘i yeni imaja ayarlayın ve kaydedin.
3. Konsol hızını geri alın. Boot loader’daki BAUD 115200’de kalırsa konsol da bu hızda kalır. Daha sonra varsayılan 9600 baud ile bağlanan herkes sadece anlamsız karakterler görür. Değeri boot loader’da geri alın (set BAUD 9600) ya da IOS’taki konsol hızının ekibinizin beklediği değer olduğundan emin olun.
4. Switch’in yardımsız açıldığını görmek için bir kez reload edin.

Peki TFTP ve USB?

Yeni Catalyst platformlarında boot loader daha fazlasını yapabiliyor. Bazı modellerde USB depolama portu (usbflash0:) var ya da management portundan ağ üzerinden imajla açılabiliyorlar. Bu, Xmodem’den çok daha hızlı. Klasik 3560’ta bu seçenekler yok, yani flash boşsa tek yol Xmodem. Platformunuzun neleri desteklediğini switch: prompt’unda help yazarak görebilirsiniz.

Cihaz açılmadığında TFTP ya da USB’den açılış fikri, data center switch’leri için Nexus NX-OS güncelleme rehberinde anlatılıyor.

Önlem

• Mevcut ve bir önceki imajı erişebildiğiniz bir TFTP sunucusunda tutun.
• Her güncellemeden sonraki reload’dan önce MD5 checksum’ı doğrulayın.
• Planlı her reload’dan önce show boot‘u kontrol edin.
• Her güncellemede konsol erişimini hazır tutun. Konsol sunucusu bunu uzaktan da mümkün kılar: Yeni Nesil Konsol Sunucu Mimarisi.

İlgili Yazılar

• Cisco Catalyst 3560 Şifre Kurtarma: İki Yöntem
• Catalyst 3560 IOS Güncelleme: İki Yöntem ve Doğrulama
• Cisco Nexus NX-OS Yazılım Güncelleme Rehberi

Bu rehber sahada karşılaşılan iki durumu anlatıyor:

• Yöntem 1: Konfigürasyonu koruyarak. Switch startup konfigürasyonunu yüklemeden açılır, şifreleri değiştirirsiniz ve eski konfigürasyonu geri yüklersiniz.
• Yöntem 2: Şifre kurtarma kapatılmışsa. Birisi no service password-recovery komutunu girmiş. Switch’i yine geri alabilirsiniz ama yalnızca fabrika ayarlarına döndürerek.

Lab notu: Bu adımları kendi 8 portlu PoE Catalyst 3560 switch’imde uyguluyorum. Lab’dan alınan konsol çıktıları bu rehbere eklenecek.

Gerekenler

• Switch’e fiziksel erişim. Uzaktan şifre kurtarma bilinçli olarak mümkün değil.
• Bir konsol kablosu (RJ-45 rollover ya da USB-seri) ve SecureCRT, PuTTY veya screen gibi bir terminal programı.
• Terminal ayarları: 9600 baud, 8 data bit, parity yok, 1 stop bit, flow control yok.
• Bir bakım penceresi. Switch iki kez yeniden başlar ve bu sırada trafik iletmez.

Uzaktan konsol erişimi için profesyonel çözüm bir konsol sunucusu. Bkz. Yeni Nesil Konsol Sunucu Mimarisi.

Kurtarma Nasıl Çalışıyor?

Catalyst 3560, startup konfigürasyonunu flash’ta config.text adlı bir dosyada tutar. Normal açılışta IOS bu dosyayı yükler. Şifre kurtarmada açılış IOS başlamadan önce kesilir ve boot loader‘a düşersiniz. Bu, switch: prompt’u olan küçük bir ortamdır.

Boot loader’da flash dosya sistemine erişebilirsiniz. config.text yeniden adlandırılırsa IOS konfigürasyonsuz, yani şifresiz açılır. Ardından giriş yapar, konfigürasyonu elle geri yükler ve yeni şifreleri tanımlarsınız.

Yöntem 1: Şifreyi Kurtar, Konfigürasyonu Koru

Adım 1: Açılışı Kesin

1. Konsol kablosunu bağlayın ve terminal oturumunu açın.
2. Güç kablosunu çıkarın.
3. Ön paneldeki Mode butonuna basılı tutun.
4. Butonu bırakmadan gücü yeniden bağlayın.
5. Yaklaşık 15 saniye sonra, konsolda sistemin flash dosya sistemi başlatılmadan önce kesildiği mesajı görününce butonu bırakın.

Artık switch: prompt’unu görmelisiniz. Switch normal açılırsa gücü kesip butona biraz daha uzun basarak tekrar deneyin.

Adım 2: Flash’ı Başlatın

Flash dosya sistemi henüz bağlanmadı. Başlatın:

switch: flash_init

Bazı eski boot loader sürümlerinde ayrıca yardımcı dosyaları yüklemek gerekir:

switch: load_helper

Ardından flash içeriğini listeleyin:

switch: dir flash:

IOS imajını (ya da imajı içeren bir dizini), config.text, vlan.dat ve varsa private-config.text dosyalarını görmelisiniz.

Adım 3: Konfigürasyon Dosyasının Adını Değiştirin

switch: rename flash:config.text flash:config.text.old

config.text dosyasını silmeyin. Adını değiştirmek IOS’un onu yüklememesi için yeterli, içeriğine de birazdan ihtiyacınız olacak.

Adım 4: IOS’u Konfigürasyonsuz Açın

switch: boot

Switch boş konfigürasyonla açılır. Initial configuration dialog’a girmek isteyip istemediğinizi sorduğunda no deyin.

Adım 5: Eski Konfigürasyonu Geri Yükleyin

Switch> enable
Switch# rename flash:config.text.old flash:config.text
Switch# copy flash:config.text system:running-config

Switch artık hostname, VLAN’lar, interface’ler ve eski şifreler dahil orijinal konfigürasyonla çalışıyor. Privileged moda konfigürasyon yüklenmeden önce girdiğiniz için hâlâ bu moddasınız.

Adım 6: Yeni Şifreleri Tanımlayın

Switch# configure terminal
Switch(config)# enable secret <yeni-enable-secret>
Switch(config)# username admin privilege 15 secret <yeni-sifre>
Switch(config)# line con 0
Switch(config-line)# login local
Switch(config-line)# line vty 0 15
Switch(config-line)# login local
Switch(config-line)# end

Bunu daha önceki kimlik doğrulama yapısına göre uyarlayın. Switch TACACS+ ya da RADIUS kullanıyorsa yerel yedek hesabın çalıştığını kontrol edin.

Adım 7: Interface’leri Kontrol Edin ve Kaydedin

Bir konfigürasyonu running-config’e kopyalamak onu birleştirir, her interface’in durumunu birebir geri getirmez. Özellikle VLAN interface’lerinin (SVI) administratively down olup olmadığına bakın:

Switch# show ip interface brief

Açık olması gereken interface’leri no shutdown ile açın. Sonra kaydedin:

Switch# copy running-config startup-config

Her şeyin yeniden başlatmadan sonra da çalıştığından emin olmak için bir kez reload edip yeni bilgilerle giriş yapın.

Yöntem 2: Şifre Kurtarma Kapatılmışsa

Switch’te no service password-recovery tanımlıysa Mode butonu farklı davranır. Boot loader’dan flash dosya sistemine erişemezsiniz. Bunun yerine switch şifre kurtarmanın kapalı olduğunu söyler ve sistemi varsayılan konfigürasyona döndürmek isteyip istemediğinizi sorar.

• yes derseniz switch konfigürasyon dosyasını ve VLAN veritabanını siler, fabrika ayarlarıyla açılır. IOS imajı flash’ta kalır.
• no derseniz switch mevcut konfigürasyonla normal açılır ve yine şifre ekranına dönersiniz.

Bu özelliğin bilinçli bir bedeli var. Fiziksel erişimi olan bir saldırgan konfigürasyonu okuyamaz, ama siz de onu kaybedersiniz.

Sıfırlamadan önce konfigürasyonun başka bir kaynakta güncel bir yedeği olduğundan emin olun: bir konfigürasyon yönetim aracı, bir TFTP sunucusu ya da arşivlenmiş bir show running-config çıktısı. Sıfırlamadan sonra:

1. Şifresiz giriş yapın ve yeni bilgileri tanımlayın.
2. Konfigürasyonu yedekten geri yükleyin.
3. Yedekte yoksa VLAN’ları yeniden oluşturun. VLAN veritabanı (vlan.dat) da silinir.
4. no service password-recovery‘nin tekrar açılıp açılmayacağına karar verin. Herkese açık ya da kilitsiz yerlerdeki switch’ler için mantıklı, yeter ki konfigürasyon başka bir yerde yedekli olsun.

Yeni Boot Loader’lar: Startup Konfigürasyonunu Yok Saymak

Yeni Catalyst modelleri ve boot loader sürümleri config.text‘i yeniden adlandırmaktan daha temiz bir yol sunuyor: IOS’a bir açılış için startup konfigürasyonunu yok saymasını söyleyen bir boot loader değişkeni. Switch’inizin bunu destekleyip desteklemediği model ve boot loader sürümüne bağlı. switch: prompt’unda set yazarak boot loader’ınızın tanıdığı değişkenleri görebilirsiniz.

3560’ın boot loader’ının burada ne sunduğunu lab çıktıları gelince ekleyeceğim.

Sık Yapılan Hatalar

• config.text‘i yeniden adlandırmak yerine silmek. Konfigürasyon gider, tek çare yedek.
• Dosyanın adını geri değiştirmeyi unutmak. Bir sonraki reload’da switch konfigürasyonsuz açılır.
• Adı geri değiştirmeden copy startup-config running-config kullanmak. O anda startup konfigürasyonu normal adıyla mevcut değil.
• Şifreleri değiştirdikten sonra kaydetmemek. Bir sonraki reload’da eski şifreler geri gelir.
• Birleştirmeden sonra kapalı kalan SVI’lar. Konfigürasyon doğru görünse de ağ üzerinden yönetim erişimi çalışmaz.

İlgili Yazılar

• Catalyst 3560 IOS Güncelleme: İki Yöntem ve Doğrulama
• Catalyst 3560 Açılmıyorsa: Boot Loader ile Kurtarma
• Cisco Nexus NX-OS Yazılım Güncelleme Rehberi
• Yeni Nesil Konsol Sunucu Mimarisi