Access the CLI via PuTTY using a Console Connection on 300 and 500 Series Managed Switches
The documentation set for this product strives to use bias-free language. For the purposes of this documentation set, bias-free is defined as language that does not imply discrimination based on age, disability, gender, racial identity, ethnic identity, sexual orientation, socioeconomic status, and intersectionality. Exceptions may be present in the documentation due to language that is hardcoded in the user interfaces of the product software, language used based on RFP documentation, or language that is used by a referenced third-party product. Learn more about how Cisco is using Inclusive Language.
Objective
Switches can be accessed and configured through the Command Line Interface (CLI). Accessing the CLI allows commands to be entered in a terminal based window. For a user who has had more experience with terminal commands, this may be an easier alternative to navigating the web configuration utility. Certain tasks such as recovering an administrator password can only be performed through the CLI. In order to access the CLI you must use an SSH client. PuTTY is a standard SSH client and can be found here. This document assumes you are connecting to the switch using PuTTY.
The objective of this document is to show you how to access the Command Line Interface (CLI) of a switch and a Secure Shell (SSH) client.
Note: Cisco 200 Series Small Business Managed Switches do not support the CLI.
Applicable Devices | Software Version
- Sx300 Series | 1.2.7.76 (Download latest)
- Sx350 Series | 1.2.7.76 (Download latest)
- SG350X Series | 1.2.7.76 (Download latest)
- Sx500 Series | 1.2.7.76 (Download latest)
- Sx550X Series | 1.2.7.76 (Download latest)
Accessing the CLI via PuTTY with a Console Connection
Step 1. Connect the switch to the computer using a standard 9-pin serial cable.
The Cisco DB9 to RJ45 Console Cable also supports console connections, but only if the switch has an RJ45 Console port. An RJ45 Console port resembles an Ethernet port and is labeled CONSOLE on the back of the switch.
Newer laptops don’t have Serial ports on them, so in this case you have to use a USB to Serial adapter. When plugging that into a computer it assigns a COM port number to it that is not COM1. If this is the case for you, you need to know where to look to find the correct COM port number when setting up the connection with PuTTY. Right-click on the Windows logo/Start menu and click on Device Manager to open it.
In the Device Manager, you would look to see what COM port is given to the USB adapter. In this case you would need to use COM4 for the Serial line to make the connection.
Step 2. Open the PuTTY application. The PuTTY Configuration window opens:
Step 3. Under the Connection Type field, click the Serial radio button.
Step 4. In the Category navigation field, choose Serial.
The Options controlling local serial lines page opens:
Step 5. In the Serial line to connect to field, enter the COM port that your device is connected to. The default COM port is COM1.
Step 6. In the Speed (baud) field, enter the digital transmission speed that is compatible with the switch. For 300 and 500 Series Managed Switches, the speed must be set to 115200.
Step 7. In the Data bits field, enter the number of data bits used for each character. The recommended value is 8.
Step 8. In the Stop bits field, enter the number of bits to be sent at the end of every character. The stop bit informs the machine that it has reached the end of a byte. The recommended value is 1.
Step 9. In the Parity drop-down menu, select the method of detecting errors in transmission. The recommended method for detecting errors in transmission is None.
Step 10. In the Flow Control drop-down menu, select the method of preventing data overflow. The recommended method for preventing data overflow is None.
Step 11. (Optional) In order to save the connection settings for future use, go to the Category navigation pane and choose Session. If you do not wish to save the connection settings, skip to Step 14.
Step 12. Under the Saves Sessions field, enter a name for the settings to be saved as.
Step 13. Click Save.
Step 14. Click Open.
The COM1 – PuTTY console window opens.
Step 15. Hit Enter on the keyboard to activate the Command Line Interface (CLI). The log in prompt is displayed:
Подключение к оборудованию Cisco
Read the article CONNECTING TO CISCO DEVICES in 
English
Для того, чтобы приступить к настройке оборудования Cisco, в первую очередь необходимо подключиться к консоли управления устройством. Рассмотрим случай, когда есть возможность осуществлять настройку с рабочей станции администратора в непосредственной близости от оборудования, а также имеется консольный или rollover кабель.
1) Настройка с помощью консольного кабеля
Настройка оборудования Cisco осуществляется с помощью консольного кабеля голубого цвета, который присутствует в комплекте с каждым устройством. Следует соединить COM порт рабочей станции администратора c консольным интерфейсом на устройстве Cisco (на нем будет написано CONSOLE или CON).
На современных персональных компьютерах и ноутбуках COM порт часто отсутствует. В этом случае можно приобрести переходник USB – COM (RS 232).
Для настройки я советую использовать простую и бесплатную программу Putty (Скачать с официального сайта)
После скачивания просто запустите ее и переставьте точку с «SSH» на «Serial» (как на картинке ниже), после чего нажмите кнопку «Open».
Важно!
Если вы используете переходник USB-COM, то номер порта может отличаться от 1. Проверить это можно в «диспетчере устройств» Windows в разделе Порты (COM и LPT). Если номер порта будет отличаться (Например COM7), то поменяйте значение COM1 на COM7 или иное.
Если вы подключили консольный кабель и питание устройства включено, то после нажатия кнопки «Open» должна открыться консоль управления. Если окно пустое, нажмите клавишу «Enter». Устройство должно выдать приветственную надпись, запрос логина и пароля или сразу же открыть консоль управления.
Router>
2) Настройка с помощью Rollover кабеля через другой маршрутизатор
В некоторых случаях получить доступ на оборудование можно, используя другой маршрутизатор Cisco, к которому уже есть доступ и специальный rollover кабель. Для понимания буду называть новым тот маршрутизатор, к которому нужно получить доступ, а старым тот, к которому уже организовано подключение (например удаленно через Telnet или SSH).
Rollover кабель не поставляется вместе с оборудованием Cisco, но его просто сделать своими руками из обычного патч корда, обрезав любой из наконечников и «переобжав» его клещами в той же последовательности проводов, но с перевернутым коннектором RJ 45.
Чтобы было понятно, что значит «с перевернутым коннектором», прилагаю схему:
Важно!
Последовательность проводов должна быть зеркальной.
Для подключения к консоли нового маршрутизатора необходимо соединить этим проводом AUX порт (черного цвета) старого маршрутизатора, к которому есть доступ, с CONSOLE портом (голубого цвета) нового маршрутизатора.
На старом маршрутизаторе, к которому есть доступ, из привилегированного режима (Знак # после имени устройства. Подробнее о режимах конфигурирования читайте в этой статье) необходимо добавить строки
R-DELTACONFIG# conf t
line aux 0
modem InOut
no exec
transport input all
stopbits 1
flowcontrol hardware
exit
После этого ввести команду
telnet х.х.х.х 2001
Где х.х.х.х – адрес любого собственного интерфейса старого маршрутизатора
Например, у маршрутизатора есть интерфейс с адресом 192.168.1.1. Тогда доступ к консоли соседнего маршрутизатора можно получить, введя команду
telnet 192.168.1.1 2001
Далее могут быть запрошены пароли
- к старому маршрутизатору, с которого осуществляется вход (пароль к самому себе, если установлен)
- к новому маршрутизатору, к которому осуществляется доступ (опять же, если есть)
После ввода пароля вы попадете в консоль управления новым маршрутизатором и можете приступать к его настройке.
3) Удаленный доступ
Удобнее всего настраивать оборудование все-таки удаленно, сидя в кресле за своим рабочим местом. О том, как это сделать быстро и безопасно читайте в статье «Доступ по протоколу SSH на Cisco«.
Сети для самых маленьких. Часть первая (которая после нулевой). Подключение к оборудованию cisco
Тематику cisco на хабре нельзя назвать популярной, зачастую интересные статьи остаются почти незамеченными. Но нас приятно удивил ажиотаж вокруг нашей предыдущей публикации. Больше тысячи человек добавили её в избранное, и это определённо говорит о том, что продолжение необходимо.
Кроме того, много людей, имеющих опыт реального планирования и строительства сетей, делали очень правильные замечания по резервированию. Дело в том, что предложенная в прошлый раз схема сети — это макет, лаборатория, на который мы будем отрабатывать и понимать технологии, поэтому такими вещами мы не озадачивались. В реальной же жизни, особенно, если вы оператор связи/провайдер, необходимы различные схемы резервирования: VRRP, STP, Link Aggregation, протоколы динамической маршрутизации.
Все замечания мы постараемся учесть и в конце цикла, вероятно, рассмотрим то, как сеть должна строиться, чтобы через полгода после запуска инженеру не было мучительно больно.
Сегодня же мы обратимся к части немного скучной, но важной для начинающих: как подключиться, поставить или сбросить пароль, войти по telnet. Также рассмотрим существующие программы — эмуляторы ciscо и интерфейс оборудования.
Как и обещали, в этот раз всё по-взрослому: с видео.
Среда
Начнём с того, в какой среде будем работать.
В данный момент есть два известных пакета программ, позволяющих моделировать сеть, построенную на оборудовании Cisco:
а) Цисковский же продукт Packet Tracer, который по идее свободно не распространяется. Это эмулятор и имеет лишь некоторые функции Cisco IOS. Вообще говоря, он сильно ограничен и многие вещи в нём реализованы лишь отчасти. Никаких тонких настроек. С другой стороны к настоящему моменту версия 5.3.2 поддерживает создание GRE-туннелей, протоколов динамической маршрутизации (и в их числе даже BGP!). Притом он очень прост в освоении и имеет в своём арсенале сервера (FTP, TFTP, DHCP, DNS, HTTP, NTP, RADIUS, SMTP, POP3), рабочие станции и свичи. Сейчас уже есть под Linux, хотя в былые времени он прекрасно запускался и из-под Wine.
б) Распространяемый по лицензии GNU GPL симулятор GNS3. В этом пакете необходимо загружать настоящие образы Cisco IOS. С одной стороны это плюс – вы работаете с настоящим интерфейсом cisco и ограничены лишь своей фантазией, существующими стандартами и производительностью рабочей станции, с другой, во-первых, эти IOS ещё нужно суметь достать, во-вторых, это более сложный продукт для понимания, и в-третьих, в нём есть только маршрутизаторы и «типа» коммутаторы.
Я считаю, что для знакомства с принципами лучше начать всё же с Packet Tracer’a, а потом переходить на тяжёлую артиллерию по мере надобности. Все мы не дети малые, где взять то, что нам нужно, рассказывать не будем.
Способы подключения
- Telnet/ssh
- Терминальное подключение с рабочей станции через консольный кабель
- Web-интерфейс (Cisco SDM).
Последний вариант даже не упоминайте в приличном обществе. Даже если вы адепт мыши и браузера, очень не советую.
На своём примере при работе с другим оборудованием я сталкивался с тем, что настроенное через веб не работает. Хоть ты тресни, но не работает. А у того же длинка вообще был баг в одной версии прошивки для свичей: если изменить настройки VLAN в веб-интерфейсе из под линукс, то свич становится недоступным для управления. Это официально признанная проблема).Телнет – стандартная, всем известная утилита, как и ssh. Для доступа к cisco по этим протоколам нужно настроить пароли доступа, об этом позже. Возможность использования ssh зависит от лицензии IOS.
Управление по консоли
Ну вот принесли вы маршрутизатор, распечатали, питание на него дали. Он томно зашумел кулерами, подмигивает вам светодиодами своих портов. А чего дальше-то делать?
Воспользуемся один из древнейших и нестареющих способов управления практически любым умным устройством: консоль. Для этого вам нужен компьютер, само устройство и подходящий кабель.
Тут каждый вендор на что горазд. Какие только разъёмы они не используют: RJ-45, DB-9 папа, DB-9 мама, DB-9 с нестандартной распиновкой, DB-25.
У циски используется разъём RJ-45 на стороне устройства и DB-9 мама (для подключения к COM-порту) на стороне ПК.
Консольный порт выглядит так:
Всегда выделен голубым цветом. С недавних пор стало возможным управление по USB.
А это консольный кабель cisco:
Раньше он поставлялся в каждой коробке, теперь зачастую стоит отдельных денег. В принципе подходит аналогичный кабель от HP.
Проблема в том, что современные ПК зачастую не имеют COM-порта. На выручку приходят частоиспользуемые конвертеры USB-to-COM:
Либо редкоиспользуемые для этих целей конвертеры RS232-Ethernet
После того, как вы воткнули кабель, определили номер COM-порта, для подключения можно использовать Hyperterminal или Putty в Виндоус и Minicom в Линукс.
Управление через консоль доступно сразу, а вот для телнета нужно установить пароль. Как это сделать?
Обратимся к PT.
Начнём с создания маршрутизатора: выбираем его на панели внизу и переносим на рабочее пространство. Даём какое-нибудь название
Что бы вы делали, если бы это был самый взаправдашний железный маршрутизатор? Взяли бы консольный кабель и подключились им в него и в компьютер. То же самое сделаем и тут:
Кликом по компьютеру вызываем окно настройки, в котором нас интересует вкладка Desktop. Далее выбираем Terminal, где нам даётся выбор параметров
Впрочем, все параметры по умолчанию нас устраивают, и менять их особо смысла нет.
Если в энергонезависимой памяти устройства отсутствует конфигурационный файл (startup-config), а так оно и будет при первом включении нового железа, нас встретит Initial Configuration Dialog prompt:
Вкратце, это такой визард, позволяющий шаг за шагом настроить основные параметры устройства (hostname, пароли, интерфейсы). Но это неинтересно, поэтому отвечаем no и видим приглашение
Это стандартное совершенно для любой линейки cisco приглашение, которое характеризует пользовательский режим, в котором можно просматривать некоторую статистику и проводить самые простые операции вроде пинга. Ввод знака вопроса покажет список доступных команд:
Грубо говоря, это режим для сетевого оператора, инженера первой линии техподдержки, чтобы он ничего там не повредил, не напортачил и лишнего не узнал.
Гораздо большие возможности предоставляет режим с говорящим названием привилегированный. Попасть в него можно, введя команду >enable. Теперь приглашение выглядит так:
Здесь список операций гораздо обширнее, например, можно выполнить одну из наиболее часто используемых команд, демонстрирующую текущие настройки устройства ака “конфиг” #show running-config. В привилегированном режиме вы можете просмотреть всю информацию об устройстве.
Прежде, чем приступать к настройке, упомянем несколько полезностей при работе с cisco CLI, которые могут сильно упростить жизнь:
— Все команды в консоли можно сокращать. Главное, чтобы сокращение однозначно указывало на команду. Например, show running-config сокращается до sh run. Почему не до s r? Потому, что s (в пользовательском режиме) может означать как команду show, так и команду ssh, и мы получим сообщение об ошибке % Ambiguous command: «s r» (неоднозначная команда).
— Используйте клавишу Tab и знак вопроса. По нажатию Tab сокращенная команда дописывается до полной, а знак вопроса, следующий за командой, выводит список дальнейших возможностей и небольшую справку по ним (попробуйте сами в PT).
— Используйте горячие клавиши в консоли:
Ctrl+A — Передвинуть курсор на начало строки
Ctrl+E — Передвинуть курсор на конец строки
Курсорные Up, Down — Перемещение по истории команд
Ctrl+W — Стереть предыдущее слово
Ctrl+U — Стереть всю линию
Ctrl+C — Выход из режима конфигурирования
Ctrl+Z — Применить текущую команду и выйти из режима конфигурирования
Ctrl+Shift+6 — Остановка длительных процессов (так называемый escape sequence)
— Используйте фильтрацию вывода команды. Бывает, что команда выводит много информации, в которой нужно долго копаться, чтобы найти определённое слово, например.
Облегчаем работу с помощью фильтрации: после команды ставим |, пишем вид фильтрации и, собственно, искомое слово(или его часть). Виды фильтрации (ака модификаторы вывода):
begin — вывод всех строк, начиная с той, где нашлось слово,
section — вывод секций конфигурационного файла, в которых встречается слово,
include — вывод строк, где встречается слово,
exclude — вывод строк, где НЕ встречается слово.
Но вернемся к режимам. Третий главный режим, наряду с пользовательским и привилегированным: режим глобальной конфигурации. Как понятно из названия, он позволяет нам вносить изменения в настройки устройства. Активируется командой #configure terminal из привилегированного режима и демонстрирует такое приглашение:
В режиме глобальной конфигурации не выполняются довольно нужные порой команды других режимов (тот же show running-config, ping, etc.). Но есть такая полезная штука, как do. Благодаря ей мы можем, не выходя из режима конфигурирования, выполнять эти самые команды, просто добавляя перед ними do. Примерно так:
Настройка доступа по Telnet
Из этого-то режима мы и настроим интерфейс для подключения компьютера через telnet:
Команда для перехода в режим конфигурации интерфейса FastEthernet 0/0:
По умолчанию все интерфейсы отключены (состояние administratively down). Включаем интерфейс:
shutdown — означает “выключить интерфейс”. Соответственно, если вы хотите отменить действие команды, то используйте слово no перед ней. Это правило общее для CLI и применимо к большинству команд.
Подключаемся. Для этого надо использовать кроссоверный кабель. (Хотя в реальной жизни это зачастую уже необязательно – все карточки умеют понимать приём/передачу, однако встречаются ещё маршрутизаторы, порты которых не поднимаются при использовании неправильного типа кабеля — так что будьте внимательны)
Настраиваем IP-адрес компьютера через Desktop.
И пробуем подключиться, выбрав Command Prompt в панели Desktop:
Как и ожидалось, циска не пускает без пароля. В реальной жизни обычно выдаёт фразу “Password required, but none set”
Пароли
Подключение по telnet или ssh называется виртуальным терминалом (vt) и настраивается следующим образом:
0 4 — это 5 пользовательских виртуальных терминалов=telnet сессий.
Этого уже достаточно, чтобы попасть в пользовательский режим, но недостаточно для привилегированного:
Настроим пароль для enable-режима:
Чем отличается secret от password? Примерно тем же, чем ssh от telnet. При настройке secret пароль хранится в зашифрованном виде в конфигурационном файле, а password – в открытом. Поэтому рекомендуется использование secret.
Если вы всё-таки задаёте пароль командой password, то следует применить так же service password-encryption, тогда ваш пароль в конфигурационном файле будет зашифрован:
Немного об этом можно почитать здесь. Ну или чуть более по-русски, тут.
Хотим обратить ваше внимание:
сейчас принятно настраивать доступы не через виртуальные терминалы, а командами #username и #aaa new-model. В версии PT 5.3.2 они уже есть и вполне работают.
Для этого нужно выполнить:
Первая команда служит для активации новой модели
Privilege Level
Ещё один важный момент, которому в статьях уделяют мало внимания: privelege level.
Как понятно из латинского звучания — это уровень прав пользователя. Всего существует 16 уровней: 0-15.
privilege level 0 — это команды disable, enable, exit, help и logout, которые работают во всех режимах
privilege level 1 — Это команды пользовательского режима, то есть как только вы попадаете на циску и увидите приглашение Router> вы имеете уровень 1.
privilege level 15 — Это команды привилегированного режима, вроде, как root в Unix’ах
Пример1
После входа на маршрутизатор при такой настройке вы сразу увидите Router# со всеми вытекающими правами.
Все уровни со 2 по 14 настраиваются вручную. То есть, например, вы можете дать добро пользователю с privelege level 2 на выполнение команды show running-config
Пример2
Настроить права для конкретного пользователя поможет уже упомянутая прежде команда username
В первой строке назначаем уровень прав пользователю, во второй команду, разрешенную для этого уровня, в третьей задаём пароль для входа в привилегированный режим с этим уровнем.
После этого из пользовательского режима вы можете выполнить команду enable 2 и введя пароль l2poorpass попасть в привилегированный режим, в котором будут доступны все команды уровня 1 + команды уровня 2.
Для чего это может быть нужно? В российских реалиях практически ни для чего, потому что обычно на устройство нужно заходить инженерам сразу с полными правами. Ну разве что 15-й уровень ставят, чтобы двойную аутентификацию не проходить. А все другие уровни опять же для того, чтобы персонал младшего состава (техподдержка, например) мог зайти и промониторить какие-то параметры или настроить некритичную функцию.
Нельзя не упомянуть о том, что telnet — протокол незащищённый и передаёт пароль и данные в открытом виде. С помощью любого анализатора пакетов можно вычислить пароль.
Поэтому крайне рекомендуем использовать ssh — любые устройства cisco с не самой урезанной прошивкой способны выступать ssh-сервером.
Следующий набор команд позволит вам включить ssh и отключить доступ по telnet:
Имя хоста должно отличаться от Router, обязательно должно быть задано имя домена. Третьей строкой генерируется ключ и далее разрешается только ssh. Длина ключа должна быть более 768 бит, если вы желаете использовать ssh версии 2, а вы желаете этого. Всё.
Ещё одно финальное внимание новичкам: не забывайте о команде write memory — это сохранение текущей конфигурации. Впрочем, достаточно два раза обжечься, забыв сохранить, чтобы навсегда заработать иммунитет к этому — кто кодил по ночам или писал курсовую, тот поймёт.
Используя PT, мы будем настраивать оборудование не через терминал или телнет, а непосредственно через CLI устройства, которое вызывается кликом по иконке роутера — так удобнее:
Ну и на сладенькое: сброс пароля
Так, а что же делать, если на стол легла вам бушная циска с неизвестным паролем или вы очень невовремя забыли его? Вообще-то это многократно описано и легко гуглится, но повторить это необходимо.
Практически на любом сетевом устройстве есть возможность сбросить пароль, имея физический доступ. Если сделать это невозможно или это отдельная платная услуга, то скорее всего в ваших руках находится какая-то русская поделка (не в обиду, конечно, нашим производителям, но дважды я такие строки читал в документации:))
Итак, cisco:
1) Подключаетесь к устройству консольным кабелем,
2) Отправляете его в ребут (хоть по питанию, хоть командой #reload)
3) Когда на экране побежит такая строчка ########. ###, означающая загрузку образа (40-60 секунд после включения), необходимо отправить сигнал Break. Как это сделать в разных программах читать тут. Вы попадаете в режим ROMMON.
4) В этом режиме введите команду: confreg 0x2142, она заставит устройство игнорировать startup-config при загрузке.
5) Введите reset для перезагрузки
6) После загрузки running-config будет девственно чистым, а startup-config содержит по-прежнему последнюю сохранённую конфигурацию. Сейчас самое время поменять пароль или слить конфиг.
7) Самое важное: верните обратно регистры:
Если вы этого не сделаете, то вся ваша конфигурация будет актуальна до первого ребута) И хорошо, если это устройство стоит рядом, и вы вспомните, что накосячили. Мне не повезло)
В следующей статье мы обратимся к вланам и локальной сети. Обязательно к прочтению:
OSI.
VLAN
Незарегистрированные читатели Хабрахабра могут задать свои вопросы в ЖЖ.
Хочу поблагодарить пользователя thegluck за помощь в написании этой статьи.
Как подключиться к циске через putty
Читать эту статью на английском языке / Read this post in English.
49 коммент.:
спасибо за статью
спасибо клевая статья!
Мда.. что можно сказать. Текст не вычитан, местами бредовый. А главное для кого.
Например для меня! А вы,видимо,все знаете.
Спасибо тем, кому понравилось. Лично мне бы такая статья сильно пригодилась в мой первый день работы.
Большое спасибо!Чайнику как мне,статья очень полезна .
Спасибо Вам за то что читаете. Рад что Вам пригодилась статья.
Спасибо, мужик! Надо впервые для меня настраивать cisco, уже есть какая-то инфа Очень благодарен!
Спасибо!
Так же могу посоветовать почитать следующие книги:
Если времени совсем мало: Лукас Майкл В. Маршрутизаторы CISCO для отчаявшихся администраторов
Если времени вагон, то пожалуй лучший вариант:
1. Уэнделл Одом Официальное руководство Cisco по подготовке к сертификационным экзаменам CCENT/CCNA ICND1 640-822
2. Уэнделл Одом Официальное руководство Cisco по подготовке к сертификационным экзаменам CCNA ICND2 640-816
Спасибо за вводную статью, столкнулся с проблемой: на новом месте работы в серверной стойке лежит не зацепленная ОНА, а провода вроди бы нет, нашел какой то, напрягают 2 момента, обычно цыско провода синие и красивые, а тут на самопал похож, тоесть один конец то обжат по нормальному (серийный), а вот с комом напряг-сам шнур тож вроди фирма (черный, скрученный как от телефонной трубки) из другого конца провода просто торчат все 8 жил, 5 из которых идут на ком ж, кор, кр, с, з, а остальные после перетяжки тросиком просто отсечены под корень. Напрягает как то, что провод неизвестного происхождения, так и количество обжатых проводков, и схема обжимки не вяжется с приведенной в статье.
Добрый день. Возможно тот кабель, который вы описываете, предназначен для подключения к UPS. Лучше не стоит его использовать для подключения к устройствам Cisco Systems.