O Paulo Roque nos enviou um procedimento muito bacana para acesso à console de um Switch HP baseado no Comware com o IRF configurado quando não se tem a senha do equipamento, mas a community SNMP ainda é conhecida (o procedimento também funciona em Switches não configurados com o IRF).
Para executar esse procedimento precisaremos de:
- um servidor para coleta e configuração do Switch via SNMP
- um servidor para transferência de arquivos que utilize o serviço FTP.
- máquina para acesso via console.
Para facilitar o exemplo, o nosso cenário incluirá todos os serviços instalados em uma só máquina, conforme desenho abaixo.
A máquina 192.168.1.40 está com o serviço SNMP e FTP instalados , além do cabo console diretamente conectado do notebook ao Switch.
- Teste a conectividade com o Switch via SNMP
# snmpwalk -v 2c -c pri123 192.168.1.1 .1.3.6.1.2.1.1 SNMPv2-MIB::sysDescr.0 = STRING: H3C Comware software. H3C S12508 Product Version S12500-CMW520-R1728P01. Copyright (c) 2004-2012 Hangzhou H3C Tech. Co., Ltd. All rights reserved. SNMPv2-MIB::sysObjectID.0 = OID: SNMPv2-SMI::enterprises.25506.1.391 DISMAN-EVENT-MIB::sysUpTimeInstance = Timeticks: (1672958598) 193 days, 15:06:25.98 SNMPv2-MIB::sysContact.0 = STRING: NOC-teste @ +55 11 aaaa bbbb SNMPv2-MIB::sysName.0 = STRING: Switch-teste SNMPv2-MIB::sysLocation.0 = STRING: Hangzhou, China SNMPv2-MIB::sysServices.0 = INTEGER: 78
- Faça o download da configuração do Switch para o servidor FTP
#snmpset -v 2vc -c pri123 192.168.1.1 \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.2.2 i 3 \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.3.2 i 1 \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.4.2 s aa.cfg \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.5.2 a 192.168.1.40 \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.6.2 s ftpuser \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.7.2 s 123senha \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.9.2 i 4 O Sistema irá returnar a seguinte informação: iso.3.6.1.4.1.25506.2.4.1.2.4.1.2.2 = INTEGER: 3 iso.3.6.1.4.1.25506.2.4.1.2.4.1.3.2 = INTEGER: 1 iso.3.6.1.4.1.25506.2.4.1.2.4.1.4.2 = STRING: "aa.cfg" iso.3.6.1.4.1.25506.2.4.1.2.4.1.5.2 = IpAddress: 192.168.1.40 iso.3.6.1.4.1.25506.2.4.1.2.4.1.6.2 = STRING: "ftpuser" iso.3.6.1.4.1.25506.2.4.1.2.4.1.7.2 = STRING: "123senha" iso.3.6.1.4.1.25506.2.4.1.2.4.1.9.2 = INTEGER: 4
- Ao efetuar o download do arquivo, caso o Switch não esteja configurado com a autenticação por TACACS/RADIUS, abra o arquivo de configuração e veja se a senha foi configurada como não-cifrada. Nesse caso, se for possível detectar a senha, descarte todos os processos abaixo e faça a autenticação no Switch com a senha escrita no arquivo de configuração.
Se o procedimento acima não resolver para efetuar a autenticação ao Switch, continue com os passos abaixo para alterar a configuração corrente do Switch via SNMP e assim desabilitar o processo de autenticação da console do equipamento
- Crie um arquivo chamado “passreset.cfg” e insira a seguinte configuração:
user-interface aux 0 1 authentication-mode none
obs: o nome do arquivo é apenas sugestivo
- Salve o arquivo no servidor FTP
- Utilize o servidor FTP para transferência do arquivo para o Switch e via snmpset envie os atributos abaixo via SNMP para o Switch (o equipamento irá solicitar o download da configuração ao servidor ftp pela instruções utilizadas via SNMP).
# snmpset -v 2c -c pri123 192.168.1.1 \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.2.3 i 4 \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.3.3 i 1 \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.4.3 s passreset.cfg \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.5.3 a 192.168.1.40 \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.6.3 s ftpuser \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.7.3 s 123senha \ 1.3.6.1.4.1.25506.2.4.1.2.4.1.9.3 i 4 O Sistema irá retornar as seguintes informações: iso.3.6.1.4.1.25506.2.4.1.2.4.1.2.3 = INTEGER: 4 iso.3.6.1.4.1.25506.2.4.1.2.4.1.3.3 = INTEGER: 1 iso.3.6.1.4.1.25506.2.4.1.2.4.1.4.3 = STRING: "passreset.cfg" iso.3.6.1.4.1.25506.2.4.1.2.4.1.5.3 = IpAddress: 192.168.1.40 iso.3.6.1.4.1.25506.2.4.1.2.4.1.6.3 = STRING: "ftpuser" iso.3.6.1.4.1.25506.2.4.1.2.4.1.7.3 = STRING: "123senha" iso.3.6.1.4.1.25506.2.4.1.2.4.1.9.3 = INTEGER: 4
O comando snmpset permitirá que o Switch faça o download do arquivo passreset.cfg do FTP e assim aplicar as configurações na configuração corrente (memória RAM [current-configuration]) sem alterar as outras configurações do equipamento.
Nesse caso, será removida a autenticação da console, permitindo o acesso como adminsitrador ao Switch.
Para uma descrição completa das “MIBs” do fabricante (em inglês) acesse: http://www.h3c.com/portal/Products___Solutions/Technology/System_Management/Configuration_Example/200912/656452_57_0.htm#_Toc247357229
Abração e até o próximo artigo! 😉
Excelente dica!! Já havia feito um procedimento semelhante com switch D-Link, mas não encontrava mais o artigo. Parabéns!!!