Bu, switch’i değiştirmek için bir sebep değil. Catalyst 3560’ın boot loader’ında, flash’taki imaj tamamen silinmiş olsa bile IOS’u yeniden çalıştırmak için gereken her şey var. Bu rehberde şunlar anlatılıyor:

• Boot loader ortamını nasıl okuyacağınız ve switch’in neden orada durduğu
• Flash’ta zaten olan bir imajla nasıl açılış yapacağınız
• Flash boşsa Xmodem ile konsol üzerinden yeni imajı nasıl aktaracağınız
• Çözümü nasıl kalıcı hale getireceğiniz

Lab notu: Bu senaryoları kendi 8 portlu PoE Catalyst 3560 switch’imde test ediyorum. Lab’dan alınan konsol çıktıları ve aktarım süreleri bu rehbere eklenecek.

Switch Neden Boot Loader’da Kalıyor?

Boot loader, IOS’u BOOT değişkeninde yazan imajdan başlatır. Bu başarısız olursa ya da BOOT değişkeni tanımlı değilse ve boot loader kendisi açılabilir bir imaj bulamazsa, switch switch: prompt’unda kalır. Tipik sebepler:

• Güncelleme ters gitmiştir: boot system‘de bir yazım hatası vardır ya da yenisi hazır olmadan eski imaj silinmiştir.
• İmaj dosyası bozuktur, örneğin yarıda kesilmiş bir kopyalama yüzünden.
• MANUAL_BOOT değişkeni yes olarak ayarlıdır, switch her seferinde prompt’ta bekler.
• Flash dosya sistemi bozulmuştur.

Bir diğer belirti boot döngüsü: switch IOS’u yüklemeye başlar, çöker ve tekrar tekrar yeniden başlar. Döngüyü kırmak için açılışı Mode butonuyla kesin. Adımlar şifre kurtarma rehberinde anlatılıyor.

Adım 1: Durumu İnceleyin

Flash’ı başlatın ve içeriğe bakın:

switch: flash_init
switch: dir flash:

Ardından boot loader ortam değişkenlerini görüntüleyin:

switch: set

En önemli değişkenler:

Boot loader sürümünüzün hangi komutları desteklediğini help ile görebilirsiniz.

Adım 2: Flash’taki Bir İmajla Açın

dir flash: geçerli bir IOS imajı gösteriyorsa doğrudan onunla açabilirsiniz. archive download-sw ile kurulan imajlar bir alt dizinde durur, bu yüzden tam yolu kontrol edin:

switch: dir flash:c3560-ipservicesk9-mz.<surum>
switch: boot flash:c3560-ipservicesk9-mz.<surum>/c3560-ipservicesk9-mz.<surum>.bin

Sorun MANUAL_BOOT ise düzeltin:

switch: set MANUAL_BOOT no

IOS çalışınca boot değişkenini kalıcı olarak ayarlayın:

Switch# configure terminal
Switch(config)# boot system flash:<yol>/<imaj>.bin
Switch(config)# end
Switch# copy running-config startup-config
Switch# show boot

Adım 3: Flash Boş: Xmodem ile İmaj Aktarın

Flash’ta kullanılabilir bir imaj yoksa bir tane getirmeniz gerekir. Klasik Catalyst 3560’ta boot loader’ın network yığını yok, switch’in de USB depolama portu yok. Yani tek yol konsol. Kullanılan protokol Xmodem ve ciddi her terminal programı bunu destekler.

İmajı Hazırlayın

.tar değil .bin dosyasını kullanın. Xmodem tek bir dosya aktarır ve boot loader arşiv açamaz. Aktarım uzun sürdüğü ve tekrarlamak istemeyeceğiniz için MD5 checksum’ı önceden bilgisayarınızda kontrol edin.

Konsol Hızını Artırın

9600 baud’da bu boyutta bir IOS imajını aktarmak birkaç saat sürer. Önce hızı artırın:

switch: set BAUD 115200

Konsol çıktısı hemen okunmaz hale gelir. Terminal programınızı 115200 baud’a çevirin ve switch: prompt’u geri gelene kadar Enter’a basın.

Aktarımı Başlatın

switch: copy xmodem: flash:c3560-ipservicesk9-mz.<surum>.bin

Switch dosyayı bekler. Terminal programınızda bir Xmodem gönderimi başlatın:

• SecureCRT: Transfer > Send Xmodem
• Tera Term: File > Transfer > XMODEM > Send
• minicom / screen: lrzsz paketindeki sx

115200 baud’da imaj boyutuna ve terminal programına bağlı olarak yarım saat ile bir saat arası bir süre bekleyin. Aktarım sırasında konsol oturumuna dokunmayın.

Yeni İmajla Açın

switch: dir flash:
switch: boot flash:c3560-ipservicesk9-mz.<surum>.bin

Adım 4: Toparlayın

IOS çalışınca:

1. İmajı doğrulayın: verify /md5 flash:<imaj>.bin
2. Adım 2’deki gibi boot system‘i yeni imaja ayarlayın ve kaydedin.
3. Konsol hızını geri alın. Boot loader’daki BAUD 115200’de kalırsa konsol da bu hızda kalır. Daha sonra varsayılan 9600 baud ile bağlanan herkes sadece anlamsız karakterler görür. Değeri boot loader’da geri alın (set BAUD 9600) ya da IOS’taki konsol hızının ekibinizin beklediği değer olduğundan emin olun.
4. Switch’in yardımsız açıldığını görmek için bir kez reload edin.

Peki TFTP ve USB?

Yeni Catalyst platformlarında boot loader daha fazlasını yapabiliyor. Bazı modellerde USB depolama portu (usbflash0:) var ya da management portundan ağ üzerinden imajla açılabiliyorlar. Bu, Xmodem’den çok daha hızlı. Klasik 3560’ta bu seçenekler yok, yani flash boşsa tek yol Xmodem. Platformunuzun neleri desteklediğini switch: prompt’unda help yazarak görebilirsiniz.

Cihaz açılmadığında TFTP ya da USB’den açılış fikri, data center switch’leri için Nexus NX-OS güncelleme rehberinde anlatılıyor.

Önlem

• Mevcut ve bir önceki imajı erişebildiğiniz bir TFTP sunucusunda tutun.
• Her güncellemeden sonraki reload’dan önce MD5 checksum’ı doğrulayın.
• Planlı her reload’dan önce show boot‘u kontrol edin.
• Her güncellemede konsol erişimini hazır tutun. Konsol sunucusu bunu uzaktan da mümkün kılar: Yeni Nesil Konsol Sunucu Mimarisi.

İlgili Yazılar

• Cisco Catalyst 3560 Şifre Kurtarma: İki Yöntem
• Catalyst 3560 IOS Güncelleme: İki Yöntem ve Doğrulama
• Cisco Nexus NX-OS Yazılım Güncelleme Rehberi

İki yol var:

• Yöntem A: .tar dosyasıyla archive download-sw. Switch imajı ve web device manager dosyalarını kendisi açar, boot değişkenini de kendisi ayarlar.
• Yöntem B: .bin dosyasıyla manuel güncelleme. İmajı kopyalar, doğrular, boot system‘i ayarlar ve reload edersiniz.

Lab notu: Kendi 8 portlu PoE Catalyst 3560 switch’imi iki yöntemle de güncelliyorum. Lab’dan alınan konsol çıktıları ve süreler bu rehbere eklenecek.

1. Başlamadan Önce

Konfigürasyonu Yedekleyin

Switch# copy running-config startup-config
Switch# copy startup-config tftp:

Yedeği switch’in dışında tutun: laptopunuzda, bir TFTP ya da SCP sunucusunda veya konfigürasyon yönetim aracınızda.

Modeli, Sürümü ve Feature Set’i Belirleyin

Switch# show version
Switch# show inventory

Üç şeyi not edin:

• Tam model, örneğin WS-C3560-8PC-S. İmaj platformla uyumlu olmalı.
• Mevcut IOS sürümü.
• Feature set, örneğin IP Base (ipbasek9) ya da IP Services (ipservicesk9). Bilinçli olarak değiştirmiyorsanız yeni imaj için aynı feature set’i seçin.

Boot Ayarlarını ve Flash Alanını Kontrol Edin

Switch# show boot
Switch# dir flash:

show boot, switch’in bir sonraki reload’da hangi imajı yükleyeceğini gösterir. dir flash: dosyaları ve en altta boş alanı gösterir. 8 portlu 3560 gibi kompakt switch’lerde flash az. Çoğu zaman iki imajı aynı anda tutacak yer olmaz.

İmajı İndirin

İmajı Cisco Software Download’dan indirin. Bunun için servis sözleşmesi gerekiyor. İki dosya tipi göreceksiniz:

İndirme sayfasındaki MD5 checksum değerini not edin. Switch üzerinde bununla karşılaştıracaksınız.

Klasik Catalyst 3560 end of life oldu. İndirme sayfasındaki en yeni sürüm bu platform için son sürüm.

2. Yöntem A: archive download-sw

Cisco’nun bu switch ailesi için önerdiği yöntem bu. Tek komut .tar dosyasını aktarır, flash’ta yeni bir dizine açar, boot değişkenini günceller ve isterseniz reload eder.

Switch# archive download-sw /overwrite /reload tftp://192.0.2.10/c3560-ipservicesk9-tar.<surum>.tar

En kullanışlı seçenekler:

İki imaja yer varsa /overwrite yerine /leave-old-sw kullanın. Rollback o zaman sadece boot değişkenini değiştirmekten ibaret olur.

/reload kullanmadıysanız reload’dan önce sonucu kontrol edin:

Switch# show boot
Switch# dir flash:
Switch# reload

3. Yöntem B: .bin Dosyasıyla Manuel Güncelleme

Manuel yöntem her adımda tam kontrol sağlar. Elinizde yalnızca .bin dosyası varsa ya da boot değişkenine dokunmadan önce imajı doğrulamak istiyorsanız işe yarar.

İmajı Kopyalayın

Switch# copy tftp://192.0.2.10/c3560-ipservicesk9-mz.<surum>.bin flash:

Yer yetmiyorsa önce eski imajı silmeniz gerekir. Bu, switch üzerindeki rollback seçeneğinizi ortadan kaldırır. Eski imajın TFTP sunucunuzda olduğundan ve konsol bağlantısının hazır olduğundan emin olun.

TFTP küçük dosyalar için iş görür ama yavaştır ve uzak mesafelerde güvenilir değildir. IOS sürümünüz destekliyorsa SCP ya da FTP daha hızlı.

Checksum’ı Doğrulayın

Switch# verify /md5 flash:c3560-ipservicesk9-mz.<surum>.bin

Sonucu Cisco indirme sayfasındaki MD5 değeriyle karşılaştırın. Farklıysa dosyayı silip yeniden kopyalayın. Doğrulamadan geçmeyen bir imajla asla açılış yapmayın.

Boot Değişkenini Ayarlayın ve Reload Edin

Switch# configure terminal
Switch(config)# boot system flash:c3560-ipservicesk9-mz.<surum>.bin
Switch(config)# end
Switch# copy running-config startup-config
Switch# show boot
Switch# reload

Reload’dan önce show boot‘u kontrol edin. BOOT path-list doğru dosya adı ve yolla yeni imajı göstermeli.

4. Güncellemeden Sonra

Switch# show version
Switch# show interfaces status
Switch# show power inline
Switch# show logging

• show version: Yeni IOS sürümü çalışıyor.
• show interfaces status: Beklenen tüm portlar açık.
• show power inline: PoE cihazları yeniden besleniyor.
• show logging: Açılışta hata yok.

Yeni sürümün sorunsuz çalıştığından emin olduğunuzda, rollback için tutmak istemiyorsanız eski imajı silerek yer açın.

5. Rollback

• Eski imaj hâlâ flash’ta: Boot değişkenini boot system flash:<eski-imaj> ile geri alın, kaydedin ve reload edin.
• Eski imaj silindi: TFTP sunucusundan geri kopyalayın, MD5’i doğrulayın ve boot değişkenini ayarlayın.
• Switch IOS’u hiç açamıyor: switch: prompt’unda kalır. Bu durum Catalyst 3560 Açılmıyorsa: Boot Loader ile Kurtarma yazısında anlatılıyor.

Sık Yapılan Hatalar

• Yanlış platform ya da feature set. Başka bir modelin imajı açılmaz.
• Yeni imaj doğrulanmadan eskisini silmek. Kopya bozuksa açılacak hiçbir şey kalmaz.
• boot system‘de yazım hatası. Switch imajı bulamaz ve boot loader’da kalır.
• Reload sırasında konsol bağlantısı olmaması. Bir şey ters giderse bunu yalnızca konsoldan görebilirsiniz.

İlgili Yazılar

• Cisco Catalyst 3560 Şifre Kurtarma: İki Yöntem
• Catalyst 3560 Açılmıyorsa: Boot Loader ile Kurtarma
• Cisco Nexus NX-OS Yazılım Güncelleme Rehberi
• Network Mühendisleri için SecureCRT ve SuperPuTTY

Bu rehber sahada karşılaşılan iki durumu anlatıyor:

• Yöntem 1: Konfigürasyonu koruyarak. Switch startup konfigürasyonunu yüklemeden açılır, şifreleri değiştirirsiniz ve eski konfigürasyonu geri yüklersiniz.
• Yöntem 2: Şifre kurtarma kapatılmışsa. Birisi no service password-recovery komutunu girmiş. Switch’i yine geri alabilirsiniz ama yalnızca fabrika ayarlarına döndürerek.

Lab notu: Bu adımları kendi 8 portlu PoE Catalyst 3560 switch’imde uyguluyorum. Lab’dan alınan konsol çıktıları bu rehbere eklenecek.

Gerekenler

• Switch’e fiziksel erişim. Uzaktan şifre kurtarma bilinçli olarak mümkün değil.
• Bir konsol kablosu (RJ-45 rollover ya da USB-seri) ve SecureCRT, PuTTY veya screen gibi bir terminal programı.
• Terminal ayarları: 9600 baud, 8 data bit, parity yok, 1 stop bit, flow control yok.
• Bir bakım penceresi. Switch iki kez yeniden başlar ve bu sırada trafik iletmez.

Uzaktan konsol erişimi için profesyonel çözüm bir konsol sunucusu. Bkz. Yeni Nesil Konsol Sunucu Mimarisi.

Kurtarma Nasıl Çalışıyor?

Catalyst 3560, startup konfigürasyonunu flash’ta config.text adlı bir dosyada tutar. Normal açılışta IOS bu dosyayı yükler. Şifre kurtarmada açılış IOS başlamadan önce kesilir ve boot loader‘a düşersiniz. Bu, switch: prompt’u olan küçük bir ortamdır.

Boot loader’da flash dosya sistemine erişebilirsiniz. config.text yeniden adlandırılırsa IOS konfigürasyonsuz, yani şifresiz açılır. Ardından giriş yapar, konfigürasyonu elle geri yükler ve yeni şifreleri tanımlarsınız.

Yöntem 1: Şifreyi Kurtar, Konfigürasyonu Koru

Adım 1: Açılışı Kesin

1. Konsol kablosunu bağlayın ve terminal oturumunu açın.
2. Güç kablosunu çıkarın.
3. Ön paneldeki Mode butonuna basılı tutun.
4. Butonu bırakmadan gücü yeniden bağlayın.
5. Yaklaşık 15 saniye sonra, konsolda sistemin flash dosya sistemi başlatılmadan önce kesildiği mesajı görününce butonu bırakın.

Artık switch: prompt’unu görmelisiniz. Switch normal açılırsa gücü kesip butona biraz daha uzun basarak tekrar deneyin.

Adım 2: Flash’ı Başlatın

Flash dosya sistemi henüz bağlanmadı. Başlatın:

switch: flash_init

Bazı eski boot loader sürümlerinde ayrıca yardımcı dosyaları yüklemek gerekir:

switch: load_helper

Ardından flash içeriğini listeleyin:

switch: dir flash:

IOS imajını (ya da imajı içeren bir dizini), config.text, vlan.dat ve varsa private-config.text dosyalarını görmelisiniz.

Adım 3: Konfigürasyon Dosyasının Adını Değiştirin

switch: rename flash:config.text flash:config.text.old

config.text dosyasını silmeyin. Adını değiştirmek IOS’un onu yüklememesi için yeterli, içeriğine de birazdan ihtiyacınız olacak.

Adım 4: IOS’u Konfigürasyonsuz Açın

switch: boot

Switch boş konfigürasyonla açılır. Initial configuration dialog’a girmek isteyip istemediğinizi sorduğunda no deyin.

Adım 5: Eski Konfigürasyonu Geri Yükleyin

Switch> enable
Switch# rename flash:config.text.old flash:config.text
Switch# copy flash:config.text system:running-config

Switch artık hostname, VLAN’lar, interface’ler ve eski şifreler dahil orijinal konfigürasyonla çalışıyor. Privileged moda konfigürasyon yüklenmeden önce girdiğiniz için hâlâ bu moddasınız.

Adım 6: Yeni Şifreleri Tanımlayın

Switch# configure terminal
Switch(config)# enable secret <yeni-enable-secret>
Switch(config)# username admin privilege 15 secret <yeni-sifre>
Switch(config)# line con 0
Switch(config-line)# login local
Switch(config-line)# line vty 0 15
Switch(config-line)# login local
Switch(config-line)# end

Bunu daha önceki kimlik doğrulama yapısına göre uyarlayın. Switch TACACS+ ya da RADIUS kullanıyorsa yerel yedek hesabın çalıştığını kontrol edin.

Adım 7: Interface’leri Kontrol Edin ve Kaydedin

Bir konfigürasyonu running-config’e kopyalamak onu birleştirir, her interface’in durumunu birebir geri getirmez. Özellikle VLAN interface’lerinin (SVI) administratively down olup olmadığına bakın:

Switch# show ip interface brief

Açık olması gereken interface’leri no shutdown ile açın. Sonra kaydedin:

Switch# copy running-config startup-config

Her şeyin yeniden başlatmadan sonra da çalıştığından emin olmak için bir kez reload edip yeni bilgilerle giriş yapın.

Yöntem 2: Şifre Kurtarma Kapatılmışsa

Switch’te no service password-recovery tanımlıysa Mode butonu farklı davranır. Boot loader’dan flash dosya sistemine erişemezsiniz. Bunun yerine switch şifre kurtarmanın kapalı olduğunu söyler ve sistemi varsayılan konfigürasyona döndürmek isteyip istemediğinizi sorar.

• yes derseniz switch konfigürasyon dosyasını ve VLAN veritabanını siler, fabrika ayarlarıyla açılır. IOS imajı flash’ta kalır.
• no derseniz switch mevcut konfigürasyonla normal açılır ve yine şifre ekranına dönersiniz.

Bu özelliğin bilinçli bir bedeli var. Fiziksel erişimi olan bir saldırgan konfigürasyonu okuyamaz, ama siz de onu kaybedersiniz.

Sıfırlamadan önce konfigürasyonun başka bir kaynakta güncel bir yedeği olduğundan emin olun: bir konfigürasyon yönetim aracı, bir TFTP sunucusu ya da arşivlenmiş bir show running-config çıktısı. Sıfırlamadan sonra:

1. Şifresiz giriş yapın ve yeni bilgileri tanımlayın.
2. Konfigürasyonu yedekten geri yükleyin.
3. Yedekte yoksa VLAN’ları yeniden oluşturun. VLAN veritabanı (vlan.dat) da silinir.
4. no service password-recovery‘nin tekrar açılıp açılmayacağına karar verin. Herkese açık ya da kilitsiz yerlerdeki switch’ler için mantıklı, yeter ki konfigürasyon başka bir yerde yedekli olsun.

Yeni Boot Loader’lar: Startup Konfigürasyonunu Yok Saymak

Yeni Catalyst modelleri ve boot loader sürümleri config.text‘i yeniden adlandırmaktan daha temiz bir yol sunuyor: IOS’a bir açılış için startup konfigürasyonunu yok saymasını söyleyen bir boot loader değişkeni. Switch’inizin bunu destekleyip desteklemediği model ve boot loader sürümüne bağlı. switch: prompt’unda set yazarak boot loader’ınızın tanıdığı değişkenleri görebilirsiniz.

3560’ın boot loader’ının burada ne sunduğunu lab çıktıları gelince ekleyeceğim.

Sık Yapılan Hatalar

• config.text‘i yeniden adlandırmak yerine silmek. Konfigürasyon gider, tek çare yedek.
• Dosyanın adını geri değiştirmeyi unutmak. Bir sonraki reload’da switch konfigürasyonsuz açılır.
• Adı geri değiştirmeden copy startup-config running-config kullanmak. O anda startup konfigürasyonu normal adıyla mevcut değil.
• Şifreleri değiştirdikten sonra kaydetmemek. Bir sonraki reload’da eski şifreler geri gelir.
• Birleştirmeden sonra kapalı kalan SVI’lar. Konfigürasyon doğru görünse de ağ üzerinden yönetim erişimi çalışmaz.

İlgili Yazılar

• Catalyst 3560 IOS Güncelleme: İki Yöntem ve Doğrulama
• Catalyst 3560 Açılmıyorsa: Boot Loader ile Kurtarma
• Cisco Nexus NX-OS Yazılım Güncelleme Rehberi
• Yeni Nesil Konsol Sunucu Mimarisi