PasswordRecovery docx

KHÔI PHỤC PASSWORD CHO ASA (ADAPTIVE SECURITY APPLIANCE) 5500 SERIES Phần này mô tả cách thức khôi phục lại password mà bạn quên hoặc khôi phục lại password từ một tình huống bị khóa (lockout) do những cài đặt AAA trước đó. Phần này sẽ gồm 2 mục nhỏ: • Thực hiện khôi phục password cho ASA 5500 series. • Cấm (disable) khôi phục password. 1. Thực hiện khôi phục password cho ASA 5500 series. Để khôi phục lại password đã bị mất, chúng ta thực hiện những bước sau: Bước 1: Kết nối với ASA thông qua port console. Bước 2: Tắt nguồn (power off) ASA, và sao đó mở nguồn (power on) lại. Bước 3: Trong quá trình khởi động, nhấn phím Escape để đi vào mode ROMMON. Bước 4: Để cấu hình ASA bỏ qua startup configuration khi khởi động lại, ta phải thay đổi thanh ghi của ASA bằng câu lệnh sau: rommon #1> confreg ASA sẽ hiển thị giá trị cấu hình thanh ghi hiện tại, và hỏi xem bạn có muốn thay đổi giá trị này không: Current Configuration Register: 0x00000011 Configuration Summary: boot TFTP image, boot default image from Flash on netboot failure Do you wish to change this configuration? y/n [n]: Bước 5: Ghi lại thị giá trị cấu hình thanh ghi hiện tại để sau này bạn có thể khôi phục lại. Bước 6: Tại dấu nhắc (prompt), nhấn Y để thay đổi giá trị thanh ghi. ASA sẽ hỏi bạn về giá trị thanh ghi mới. Bước 7: Chấp nhận các giá trị mặc định (default) cho tất cả các cài đặt, ngoại trừ trường hợp “disable system configuration?”, tại dấu nhắc này chọn Y. Bước 8: Khời động lại ASA bằng câu lệnh sau: rommon #2> boot ASA sẽ load cấu hình mặc định (default) thay vì load startup configuration. Bước 9: Vào mode privileged EXEC bằng câu lệnh sau: hostname> enable Bước 10: Khi bị hỏi password, nhấn Enter dể vào mode privileged EXEC. Theo cấu hình mặc định ban đầu của ASA thì password để vào mode privileged EXEC là password trắng (blank). Bước 11: Load lại startup configuration bằng câu lệnh sau: hostname# copy startup-config running-config Bước 12: Vào mode global configuration bằng câu lệnh sau: hostname# configure terminal Bước 13: Thay đổi password trong cấu hình bằng các câu lệnh sau, nếu cần thiết: hostname(config)# password password hostname(config)# enable password password hostname(config)# username name password password Bước 14: Thay đổi cấu hình thanh ghi để load startup configuration trong lần reload tới bằng câu lệnh sau: hostname(config)# config-register value Với value là giá trị mà bạn đã ghi lại ở bước 5. 0x1 là giá trị cấu hình thanh ghi mặc định. Đây là bảng giá trị có thể cấu hình được của thanh ghi. Configuration Register Values Prefix Hexadecimal Character Numbers 4, 3, 2, 1, and 0 0x 0 0 0 1 0 2 02 1 Disables the 10 second ROMMON countdown during startup. Normally, you can press Escape during the countdown to enter ROMMON. 2 If you set the security appliance to boot from a TFTP server, and the boot fails, then this value boots directly into ROMMON. 1 Boots from the TFTP server image as specified in the ROMMON Boot Parameters (which is the same as the boot system tftp command, if present). This value takes precedence over a value set for character 1. 1 Boots the image specified by the first boot system local_flash command. If that image does not load, the security appliance tries to boot each image specified by subsequent boot system commands until it boots successfully. 3, 5, 7, 9 Boots the image specified by a particular boot system local_flash command. Value 3 boots the image specified in the first boot system command, value 5 boots the second image, and so on. If the image does not boot successfully, the security appliance does not attempt to fall back to other boot system command images (this is the difference between using value 1 and value 3). However, the security appliance has a failsafe feature that in the event of a boot failure attempts to boot from any image found in the root directory of internal Flash memory. If you do not want the failsafe feature to take effect, store your images in a different directory than root. 4 3 Ignores the startup configuration and loads the default configuration. 2, 4, 6, 8 From ROMMON, if you enter the boot command without any arguments, then the security appliance boots the image specified by a particular boot system local_flash command. Value 3 boots the image specified in the first boot system command, value 5 boots the second image, and so on. This value does not automatically boot an image. 5 Performs both actions above. 1 Reserved for future use. 2 If character numbers 0 and 1 are not set to automatically boot an image, then the security appliance boots directly into ROMMON. 3 If you disable password recovery using the service password-recovery command, then you cannot set the configuration register to ignore the startup configuration. Bước 15: Lưu lại password mới vào startup configuration bằng câu lệnh sau: hostname(config)# copy running-config startup-config 2. Cấm khôi phục password Bạn cũng có thể muốn cấm (không cho phép) khôi phục password để bảo đảm rằng những user không có thẩm quyền không thể sử dụng cơ chế khôi phục password để gây hại cho ASA. Để cấm khôi phục password, chúng ta sử dụng câu lệnh sau: hostname(config)# no service password-recovery Trên ASA 5500 series, câu lệnh no service password-recovery sẽ ngăn không cho user vào mode ROMMON để thay đổi cấu hình. Khi user vào mode ROMMON, ASA sẽ yêu cầu user xóa tất cả các file hệ thống trong Flash. User sẽ không thể vào mode ROMMON nếu không thực hiện việc xóa file này. Nếu user chọn không xóa file hệ thống trong Flash, ASA sẽ reload lại. Bởi vì khôi phục password dựa trên việc sử dụng ROMMON và vẫn duy trì cấu hình hiện tại, nên việc xóa này sẽ ngăn cản bạn khôi phục password. Tuy nhiên, không cho phép khôi phục pasaword cũng ngăn cản những user không có thẩm quyền xem cấu hình hay chèn vào một password khác. Nếu trong trường hợp unauthorized user xóa tất cá các file hệ thống trong Flash thì để khôi phục lại hệ thống chúng ta phải load một IOS image mới và sử dụng file cấu hình backup (nếu có).