Passwortwiederherstellung auf Cisco ASA Security Appliance
In diesem Artikel erkläre ich, wie Sie ein Passwort „zurücksetzen“ auf Ihrer Cisco ASA Security Appliance durchführen. Der am häufigsten verwendete Begriff für dieses Verfahren ist „Passwortwiederherstellung“, der noch aus der Zeit stammt, als Sie Passwörter in Konfigurationsdateien tatsächlich im Klartext anzeigen konnten. Heute sind diese Passwörter verschlüsselt und nicht wirklich wiederherstellbar. Stattdessen greifen Sie über den Konsolenport auf die Appliance zu und setzen das/die Kennwort(e) auf bekannte Werte zurück.
Dieses Verfahren erfordert physischen Zugriff auf das Gerät. Sie starten Ihr Gerät neu, indem Sie es von der Steckdosenleiste trennen und wieder einstecken. Sie unterbrechen dann den Bootvorgang und ändern den Wert des Konfigurationsregisters, um zu verhindern, dass das Gerät seine gespeicherte Konfiguration beim Booten liest. Da das Gerät seine gespeicherte Konfiguration beim Start ignoriert, können Sie ohne Passwort auf seine Konfigurationsmodi zugreifen. Sobald Sie sich im Konfigurationsmodus befinden, laden Sie die gespeicherte Konfiguration aus dem Flash-Speicher, ändern die Passwörter auf einen bekannten Wert, ändern den Wert des Konfigurationsregisters, um das Gerät anzuweisen, seine gespeicherte Konfiguration beim Start zu laden, und laden das Gerät neu.
Achtung: Wie alle Konfigurationsverfahren sollten diese Verfahren in einer Laborumgebung getestet werden, bevor sie in einer Produktionsumgebung verwendet werden, um sicherzustellen, dass sie für Ihre Situation geeignet sind.
Die folgenden Schritte wurden mit einer Cisco ASA 5505-Sicherheits-Appliance entwickelt und sind für eine Cisco PIX-Firewall-Appliance nicht geeignet.
1. Schalten Sie Ihr Sicherheitsgerät aus und wieder ein, indem Sie den Netzstecker aus der Steckdosenleiste ziehen und wieder einstecken.
2. Wenn Sie dazu aufgefordert werden, drücken Sie Esc, um den Startvorgang abzubrechen und in den ROM Monitor-Modus zu wechseln. Sie sollten sofort einen Rommon-Prompt sehen (rommon #0>).
3. Geben Sie an der rommon-Eingabeaufforderung den Befehl conreg ein, um die aktuelle Konfigurationsregistrierungseinstellung anzuzeigen: rommon #0>confreg
4. Das aktuelle Konfigurationsregister sollte den Standardwert 0x01 haben (tatsächlich wird es als 0x00000001 angezeigt). Die Security Appliance fragt Sie, ob Sie Änderungen an der Konfigurationsregistrierung vornehmen möchten. Antworten Sie mit Nein, wenn Sie dazu aufgefordert werden.
5. Sie müssen das Konfigurationsregister auf 0x41 ändern, was die Appliance anweist, ihre gespeicherte (Boot-)Konfiguration beim Start zu ignorieren: rommon #1>confreg 0x41
6. Starten Sie die Appliance mit dem Boot-Befehl neu: rommon #2>boot
7. Beachten Sie, dass die Security Appliance ihre Startkonfiguration während des Startvorgangs ignoriert. Sobald der Bootvorgang abgeschlossen ist, sollten Sie eine generische Eingabeaufforderung für den Benutzermodus sehen: ciscoasa>
8. Geben Sie den Befehl enable ein, um in den privilegierten Modus zu wechseln. Wenn die Appliance Sie nach einem Passwort fragt, drücken Sie einfach (zu diesem Zeitpunkt ist das Passwort leer): ciscoasa>enable Password: ciscoasa#
9. Kopieren Sie die Startkonfigurationsdatei mit dem folgenden Befehl in die laufende Konfiguration: ciscoasa#copy startup-config running-config Name der Zieldatei [running-config]?
10. Die zuvor gespeicherte Konfiguration ist jetzt die aktive Konfiguration, aber da sich die Security Appliance bereits im privilegierten Modus befindet, wird der privilegierte Zugriff nicht deaktiviert. Geben Sie dann im Konfigurationsmodus den folgenden Befehl ein, um das Passwort für den privilegierten Modus auf einen bekannten Wert zu ändern (in diesem Fall verwenden wir das Passwortsystem): asa#conf t asa(config)#enable password system
11. Setzen Sie das Konfigurationsregister noch im Konfigurationsmodus auf den Standardwert 0x01 zurück, um die Security Appliance zu zwingen, ihre Startkonfiguration beim Start zu lesen: asa(config)#config-register 0x01
12. Verwenden Sie die folgenden Befehle, um die Einstellung des Konfigurationsregisters anzuzeigen: asa(config)#exit asa#show version
13. Unten in der Ausgabe des Befehls show version sollten Sie die folgende Anweisung sehen: Das Konfigurationsregister ist 0x41 (wird beim nächsten Neuladen 0x1 sein)
14. Speichern Sie die aktuelle Konfiguration mit dem Befehl copy run start, um die obigen Änderungen dauerhaft zu machen: asa#copy run start Name der Quelldatei [running-config]
15. Laden Sie die Security Appliance neu: asa# reload Die Systemkonfiguration wurde geändert. Zu schützen? [Y]Ist/[N]Oh ja
Kryptographische Prüfsumme: e87f1433 54896e6b 4e21d072 d71a9cbf
2149 Byte kopiert in 1480 s (2149 Byte/s) Neuladen fortsetzen? [confirm]
Wenn Ihr Sicherheitsgerät aufgeladen wird, sollten Sie in der Lage sein, Ihr neues Reset-Passwort zu verwenden, um in den privilegierten Modus zu wechseln.
Copyright (c) 2007 Don R. Crawley
Ähnliche Beiträge zum Thema Passwortwiederherstellung auf Cisco ASA Security Appliance
