Khi bạn tiếp nhận một thiết bị Cisco Firepower 1000, 2100 hoặc 4100 series trong tình trạng mất mật khẩu admin, lỗi cấu hình nghiêm trọng hoặc cần tái triển khai từ đầu, việc reset factory không đơn thuần là nhấn một nút cứng. tôi khẳng định quy trình này đòi hỏi sự hiểu biết về kiến trúc dual-OS (FXOS và Firepower Threat Defense - FTD) của dòng thiết bị này. Sai sót trong quá trình này có thể dẫn đến việc thiết bị rơi vào trạng thái "brick" hoặc mất khả năng boot vào image hệ điều hành.
Hiểu rõ kiến trúc nền tảng trước khi thực hiện
Khác với các dòng ASA truyền thống, dòng Firepower 1000/2100/4100 chạy trên nền tảng FXOS (Firepower eXtensible Operating System) làm lớp trung gian, quản lý phần cứng và tài nguyên cho ứng dụng FTD (Firepower Threat Defense). Do đó, "Reset Factory" ở đây có hai tầng nghĩa:
1. Reset cấu hình FTD: Xóa sạch cấu hình logic của firewall, đưa về trạng thái xuất xưởng nhưng giữ nguyên version.
2. Re-imaging (Cài lại hoàn toàn): Xóa sạch cả FXOS và FTD, cần dùng đến các file image.iso/.bin để cài đặt lại từ đầu qua cổng Console.
Các công cụ cần chuẩn bị
- Cáp Console: Sử dụng cáp RJ-45 to DB9 hoặc USB-to-Console của Cisco.
- Phần mềm Terminal: PuTTY, TeraTerm hoặc SecureCRT (Baud rate chuẩn: 9600).
- USB Boot (nếu cần re-image): Format định dạng FAT32, chứa file image phù hợp với model thiết bị.
- Tài khoản Cisco CCO: Để tải đúng file image "Threat Defense" và "FXOS" tương ứng với mã phần cứng (ví dụ: FPR1010, FPR2130, FPR4120).
Quy trình Reset Factory cấu hình FTD (Khuyên dùng khi còn quyền truy cập CLI)
Nếu bạn vẫn còn quyền truy cập vào CLI của FTD, hãy sử dụng lệnh xoá cấu hình an toàn thay vì can thiệp vật lý.
1. Đăng nhập vào thiết bị qua SSH hoặc Console.
2. Truy cập vào chế độ cấu hình: configure terminal.
3. Sử dụng lệnh xóa cấu hình:
Lưu ý: Lệnh này sẽ xóa toàn bộ chính sách (policy), đối tượng (object) và cấu hình mạng. Thiết bị sẽ khởi động lại với cấu hình mặc định (địa chỉ IP quản lý mặc định thường là 192.168.45.45).
Quy trình Reset Factory chuyên sâu qua chế độ ROMMON (Khi mất mật khẩu)
Đây là tình huống thực tế phổ biến nhất tại VietITPro. Khi mất mật khẩu admin, chúng ta phải can thiệp vào bootloader (ROMMON).
Bước 1: Ngắt quãng quá trình khởi động
- Cắm cáp Console, mở phần mềm terminal.
- Tắt nguồn và bật lại thiết bị.
- Khi màn hình hiển thị thông tin BIOS/Boot, nhấn liên tục tổ hợp phím
Ctrl + Break(hoặcCtrl + Ctùy model) để ngắt quá trình boot vào hệ điều hành chính.
Bước 2: Truy cập ROMMON và reset password
Tại prompt rommon>, bạn thực hiện lệnh thay đổi biến môi trường để bỏ qua việc xác thực:
Sau khi thiết bị khởi động lên, nó sẽ bỏ qua file cấu hình startup-config. Bạn có thể đăng nhập mà không cần mật khẩu.
Bước 3: Khôi phục cấu hình và đặt lại mật khẩu
- Sau khi vào được hệ thống, copy cấu hình cũ ra:
copy startup-config running-config. - Đặt lại mật khẩu mới:
- Trả lại giá trị
confregvề mặc định (thường là0x2102) để máy boot bình thường vào lần sau.
Xử lý sự cố nghiêm trọng: Re-imaging thiết bị (Cài đặt sạch)
Khi hệ thống bị lỗi file hệ thống (corrupted), việc reset cấu hình không còn tác dụng. Bạn buộc phải thực hiện re-image.
Bảng đối chiếu các cổng kết nối và vai trò trong quá trình Reset
Các bước cài đặt lại (Re-imaging)
1. Chuẩn bị file: Tải file ftd-x.x.x.iso từ trang hỗ trợ Cisco.
2. Truy cập FXOS CLI: Thông qua cổng Console.
3. Cấu hình địa chỉ IP: Thiết lập IP cho cổng Management để có thể upload file image qua giao thức SCP hoặc FTP.
4. Sử dụng bộ cài đặt: Dùng lệnh firmware install trỏ đến file image đã upload lên thiết bị.
5. Chờ đợi: Quá trình này có thể kéo dài từ 30 đến 60 phút. Tuyệt đối không được mất nguồn trong quá trình này vì sẽ dẫn đến lỗi BIOS.
kinh nghiệm thực tế từ VietITPro.vn
Trong quá trình bảo trì hàng trăm thiết bị Cisco Firepower, chúng tôi rút ra các lưu ý quan trọng để tránh làm hỏng phần cứng:
1. Độ ổn định của nguồn điện: Các thiết bị dòng FPR 4100 tiêu thụ điện năng lớn và nhạy cảm với sụt áp. Khi thực hiện reset factory hoặc update firmware, hãy đảm bảo thiết bị được cắm qua UPS.
2. Kiểm tra Flash: Nhiều trường hợp lỗi không thể reset factory là do chip nhớ Flash trên mainboard bị bad sector. Nếu bạn chạy lệnh format hoặc erase mà báo lỗi I/O Error, khả năng cao là phần cứng đã hỏng, cần can thiệp kỹ thuật thay chip nhớ.
3. Đừng bỏ qua FXOS: Đối với dòng 2100/4100, đừng bao giờ cố gắng update FTD mà bỏ qua FXOS. Sự không tương thích giữa phiên bản FXOS và FTD là nguyên nhân hàng đầu gây ra lỗi treo máy (hang) khi boot.
Giải đáp các câu hỏi thường gặp (FAQ)
1. Tại sao tôi đã chạy lệnh erase configuration nhưng thiết bị vẫn giữ nguyên IP cũ?
Lệnh erase configuration trên FTD chỉ xóa cấu hình logic. Nếu bạn muốn xóa hoàn toàn IP quản lý của FXOS, bạn phải truy cập vào scope fabric-interconnect (trên dòng 4100) hoặc scope system (trên dòng 2100) để reset cấu hình mạng của lớp quản lý FXOS.
2. Có cách nào reset factory từ xa qua GUI không?
Có, trong giao diện FMC (Firepower Management Center), bạn có thể chọn thiết bị, sau đó vào mục Device Management. Tuy nhiên, tôi khuyên dùng Console trực tiếp vì nếu cấu hình mạng bị lỗi trong quá trình reset, bạn sẽ mất kết nối hoàn toàn và không thể cứu vãn từ xa.
3. Thiết bị báo "No bootable image" sau khi reset, phải làm sao?
Đây là dấu hiệu của việc phân vùng boot bị xóa. Bạn bắt buộc phải vào ROMMON, thiết lập IP cho cổng Management, và sử dụng lệnh tftp để tải image từ máy chủ TFTP bên ngoài vào.
4. Dòng Firepower 1000 có cần cắm USB boot không?
Dòng 1000 hỗ trợ cài qua USB rất tốt. Bạn chỉ cần format USB FAT32, chép file.iso vào, cắm vào cổng USB trên mặt trước và boot từ menu BIOS. Đây là cách nhanh nhất để khôi phục một thiết bị bị "lỗi hệ thống nghiêm trọng".
Lời khuyên cuối: Mọi thao tác can thiệp vào tầng bootloader (ROMMON) đều tiềm ẩn rủi ro. Nếu bạn không tự tin về việc quản lý file image hoặc cấu hình console, hãy liên hệ với các đơn vị chuyên sâu như VietITPro để được hỗ trợ, tránh việc phải can thiệp phần cứng (nạp ROM) do lỗi thao tác phần mềm.
