8000 및 NCS5500 플랫폼에서 새 비밀번호 복구 절차 구성

소개

이 문서에서는 Cisco IOS® XR for Cisco 8000 및 NCS5500 플랫폼의 새로운 비밀번호 복구 프로세스에 대해 설명합니다.

배경 정보

사용자가 루트 비밀번호를 잊어버리거나 XR7 LNT 플랫폼(Cisco 8000, NCS-540L) 또는 eXR 플랫폼(ASR9K 64비트, NCS5K, NCS5500, NCS 540, NCS 560)에서 모든 사용자의 비밀번호가 손실된 경우, 올바른 사용자 이름/비밀번호 조합 없이는 로그인이 불가능하므로 라우터에 액세스할 수 없게 됩니다. 오늘날 이러한 라우터의 비밀번호 복구는 USB 부팅 방법 또는 외부 서버로부터의 iPXE 부팅을 사용하는 라우터 재이미지화를 통해서만 가능합니다. 라우터의 이미지로 다시 설치할 때는 라우터 소프트웨어를 새로 설치하고 디바이스 컨피그레이션을 로드하는 과정이 포함됩니다. 소프트웨어를 새로 설치하는 것은 시간이 많이 걸리는 프로세스입니다.

Cisco 8000 Series 플랫폼의 경우 7.3.16 릴리스를, NCS5500 Series 플랫폼의 경우 7.3.3 릴리스를 시작으로 Cisco는 라우터를 다시 이미징할 필요 없이 새로운 비밀번호 복구 방법을 내놓았습니다. 이러한 비밀번호 복구 방법은 소프트웨어를 다시 설치할 필요가 없으므로 시간이 절약되고 라우터 사후 비밀번호 재설정에 액세스할 수 있습니다. 이 새로운 암호 복구 방법은 암호 복구 프로세스를 시작하기 전에 이전 사용자 정보 및 사용자 런타임 데이터가 삭제되므로 보안 표준을 준수합니다.

문제

지금은 XR7 LNT 플랫폼(Cisco 8000, NCS-540L) 또는 eXR 플랫폼(ASR9K 64비트, NCS5K, NCS5500, NCS 540, NCS 560)에서 비밀번호를 복구할 수 없습니다. 비밀번호를 재설정할 수 있는 유일한 대안은 USB 부팅 방법 또는 외부 서버에서 iPXE 부팅을 사용하여 라우터를 다시 이미징하는 것입니다. 이 프로세스에는 라우터 소프트웨어를 새로 설치하고 디바이스 컨피그레이션을 로드하는 작업이 포함되므로 시간이 많이 소요됩니다. Cisco XR7 및 eXR 플랫폼에서 보다 빠르고 안전한 비밀번호 복구 방법이 필요합니다.

솔루션

Cisco 8000 Series 플랫폼의 경우 7.3.16 릴리스를, NCS5500 Series 플랫폼의 경우 7.3.3 릴리스를 시작으로 Cisco는 라우터를 다시 이미징할 필요 없이 새로운 비밀번호 복구 방법을 내놓았습니다. RP(Route Processor) 부팅 화면의 GRUB(Grand Unified Bootloader) 메뉴에 비밀번호 복구 절차를 위해 명시적으로 생성된 새로운 옵션인 Cisco IOS XR-Recovery가 추가됩니다. 라우터 컨피그레이션에서는 새로운 비밀번호 복구 기능을 활성화하기 위해 새로운 명령 시스템 복구가 생성됩니다. 현재 선택적 기능이며 기본적으로 활성화되어 있지 않습니다.

경고:

• RP bios 부팅 GRUB 화면 메뉴 옵션 Cisco IOS XR-recovery는 라우터 컨피그레이션에서 시스템 복구를 구성했거나 구성하지 않은 명령과 상관없이 볼 수 있습니다. 시스템 복구 명령이 라우터 컨피그레이션에 없고 bios GRUB 화면 메뉴 옵션 Cisco IOS XR-recovery를 선택하여 새 비밀번호 복구 방법을 시도하면 라우터가 비밀번호 복구 프로세스를 중단하고 이전 컨피그레이션으로 부팅할 수 있습니다. 따라서 비밀번호 복구 방법이 작동하려면 라우터에 시스템 복구 명령을 구성해야 합니다.
• 비밀번호 복구 기능은 기본적으로 비활성화되어 있습니다. 
• 비밀번호 복구 기능은 컨피그레이션 CLI(Command Line Interface)를 통해 명시적으로 활성화해야 합니다. RP/0/RP0/CPU0:HOSTNAME(config)#시스템 복구.

• 라우터가 비밀번호 복구 절차를 거치는 경우, 시스템 복구 명령은 모든 라우터 컨피그레이션이 비밀번호 복구 절차의 일부로 삭제되므로 사후 라우터 부팅에서 비활성화될 수 있습니다. 사용자는 디바이스 컨피그레이션을 다시 로드하고 디바이스 컨피그레이션에 속하지 않는 경우 system recovery 명령을 구성해야 합니다.
• 라우터 컨피그레이션의 삭제 외에도 사용자가 만든 모든 파일, show tech 파일, dumper 파일은 비밀번호 복구 중에 정리 절차의 일환으로 disk0과 하드 디스크에서 모두 지워질 수 있습니다.
• 이 기능은 현재 Cisco 8000의 7.3.16 이상, NCS5500의 7.3.3 이상에서 지원되며, 다른 XR7 LNT 및 eXR 플랫폼의 경우 향후 릴리스에서 사용할 수 있습니다.

• 두 RP 카드가 모두 섀시에 설치된 플랫폼에 대해 지정된 절차를 사용합니다. 두 RP 카드를 bios GRUB 메뉴로 가져옵니다. 그런 다음 각 RP 카드에 암호 복구 절차를 하나씩 수행해야 합니다. 이는 이중 RP 플랫폼의 필수 단계이며, 그렇지 않으면 컨피그레이션 및 파일 정리가 불일치하게 될 수 있습니다.

새 비밀번호 복구 단계

전제 조건: 새 비밀번호 복구 기능은 CLI가 디바이스 컨피그레이션의 일부인 경우에만 작동합니다. CLI가 구성되지 않은 경우 구성 CLI가 누락되어 새 비밀번호 복구 메커니즘이 작동하지 않습니다.

비밀번호 복구 기능 활성화:

RP/0/RP0/CPU0:HOSTNAME(config)#system recovery

비밀번호 복구 기능 비활성화:

RP/0/RP0/CPU0:HOSTNAME(config)#no system recovery

비밀번호 복구 절차는 RP 콘솔을 통해서만 수행해야 합니다.

1단계. RP 카드를 bios GRUB 메뉴로 가져옵니다. 두 RP 카드가 모두 섀시에 설치된 플랫폼의 경우 비밀번호 복구 절차를 시작하기 전에 두 RP 카드를 모두 bios GRUB 메뉴로 가져와야 합니다. 이는 필수 단계입니다. 이는 디바이스의 전원을 껐다가 켠 다음 두 RP 콘솔의 ESC 키를 눌러 bios GRUB 메뉴로 들어가거나, 각 RP를 물리적으로 한 명씩 다시 앉힌 다음 RP 콘솔에서 ESC 키를 눌러 BIOS GRUB 메뉴로 들어갈 수 있습니다.

RP0 및 RP1 카드:

RP0 및 RP1 카드:

2단계. RP0 카드 콘솔의 GRUB 메뉴에서 IOS XR-recovery 옵션을 선택하고 Enter 키를 누릅니다.

RP0 카드:

3단계. GRUB 메뉴에서 Cisco IOS XR-recovery 옵션을 선택하고 RP0 카드 콘솔에 Initiating IOS XR System Recovery...(IOS XR 시스템 복구 시작...) 메시지가 표시되면 RP1 카드 콘솔에서 Enter를 누릅니다. RP0 카드가 Enter root-system username 프롬프트에 도달할 때까지 기다리지 마십시오. 그렇지 않으면 RP1 카드가 자동으로 다시 로드되어 bios GRUB 메뉴를 종료할 수 있습니다. RP0 카드는 활성 상태로 부팅할 수 있으며 RP1 카드는 복구 프로세스 후 대기 카드로 부팅할 수 있습니다.

RP0 카드:

RP1 카드:

4단계. RP0 카드에서 새 루트 사용자 및 비밀번호를 생성합니다. 새 루트 사용자 이름 및 비밀번호를 사용하여 디바이스에 로그인을 시도합니다.

RP0 카드:

5단계. 이 시점에서 비밀번호 복구 절차가 완료되었습니다.

이제 라우터가 빈 컨피그레이션과 4단계에서 생성한 루트 사용자 이름/비밀번호로 부팅됩니다. 일반 라우터 컨피그레이션을 계속 진행하거나 백업 파일에서 컨피그레이션을 로드합니다(암호 복구 절차의 일환으로 disk0 또는 하드 디스크에 저장된 모든 컨피그레이션 백업이 손실될 수 있으므로 항상 컨피그레이션을 외부 서버에 저장하십시오). 비밀번호 복구를 확인하고 두 RP에 대해 모든 이전 사용자 데이터 정리가 성공적으로 완료되었는지 확인하기 위해 RP0 및 RP1 모두에 대한 RP0 콘솔 로그에 이 메시지가 표시되는지 확인합니다. 그렇지 않은 경우 RP0 콘솔 로그에 이러한 메시지가 표시될 때까지 사전 요구 사항 단계 및 단계 1~4를 반복합니다. 대기 RP에 대해 이 메시지가 표시되지 않으면 대기 RP에 대해서만 전제 조건 단계 및 1~4단계를 반복해야 합니다.

RP/0/RP0/CPU0:Jul 8 06:13:24.551 CEST: sys_rec[1188]: %SECURITY-SYSTEM_RECOVERY-1-REPORT : System Recovery at 06:10:19 CEST Thu Jul 08 2021 was successful

RP/0/RP1/CPU0:Jul 8 06:15:13.967 CEST: sys_rec[1188]: %SECURITY-SYSTEM_RECOVERY-1-REPORT : System Recovery at 06:11:23 CEST Thu Jul 08 2021 was successful

요약

이 새로운 비밀번호 복구 절차를 사용하여 10분 이내에 Cisco 8000 Series 플랫폼 및 NCS5500 Series 플랫폼에서 분실된 비밀번호를 안전하게 재설정할 수 있습니다.