Il arrive fréquemment, lors de la récupération d’un équipement en stock ou à la suite d’un départ au sein d’une équipe, de se retrouver devant un routeur Cisco dont les identifiants d’administration sont inconnus. Heureusement, la plupart des plateformes Cisco IOS intègrent un mécanisme physique de récupération d’accès. Ce mémo détaille la méthode standard permettant de réinitialiser le mot de passe enable sans écraser la configuration en place.
Principe du password recovery sous Cisco IOS
Le comportement de démarrage d’un routeur Cisco est dicté par une variable matérielle : le configuration register (registre de configuration). Par défaut, sa valeur est 0x2102, ce qui ordonne à l’équipement de charger l’image système IOS depuis la mémoire Flash, puis d’appliquer le fichier startup-config stocké dans la NVRAM.
L’astuce consiste à modifier temporairement cette valeur en 0x2142 depuis le micro-programme de secours (ROMMON). Le sixième bit de ce registre ordonne alors au système d’ignorer complètement le contenu de la NVRAM lors de l’initialisation. Le routeur démarre donc avec une configuration vide, vous laissant la main en mode privilégié sans demander d’authentification.
Étape 1 : Interrompre le démarrage et basculer en ROMMON
Pour intervenir, un accès console direct par câble série (RJ45-DB9 ou USB-série) est obligatoire :
- Connectez votre terminal série (PuTTY, Minicom ou Tera Term) avec les paramètres usuels : 9600 bauds, 8 bits de données, aucune parité, 1 bit d’arrêt, aucun contrôle de flux.
- Mettez le routeur sous tension (ou redémarrez-le électriquement).
- Dans les 60 premières secondes du boot, envoyez un signal d’interruption (la commande Break). Selon vos outils : la combinaison Ctrl + Pause sur PuTTY, ou Ctrl + ] puis la commande send break.
Le routeur interrompt son chargement et affiche l’invite suivante : rommon 1>.
Étape 2 : Modifier le registre et redémarrer
Une fois dans l’environnement ROMMON, forcez le contournement de la NVRAM :
rommon 1> confreg 0x2142
rommon 2> reset
L’équipement redémarre immédiatement. À l’invite vous demandant d’entrer dans l’assistant de configuration initiale (Would you like to enter the initial configuration dialog? [yes/no]), répondez no ou appuyez sur Ctrl + C.
Étape 3 : Restaurer la configuration et changer les accès
Vous voici face à l’invite Router>. Passez en mode privilégié, qui ne réclame aucun mot de passe puisque la configuration par défaut est active :
Router> enable
Router#
Attention critique : Ne faites surtout pas un write memory ou un copy running-config startup-config à cet instant, sous peine d’écraser définitivement votre ancienne configuration par une configuration vierge.
Vous devez charger l’ancienne configuration en mémoire vive pour la modifier :
Router# copy startup-config running-config
Le nom d’hôte de votre équipement réapparaît. Toutes les interfaces passent généralement à l’état administratif shutdown par sécurité. Vous pouvez maintenant définir de nouveaux identifiants :
Router(config)# enable secret MonNouveauMotDePasseFort
Router(config)# username admin privilege 15 secret AutreMotDePasse
Pensez également à réactiver vos interfaces réseau nécessaires via la commande no shutdown.
Étape 4 : Rétablir le registre et sauvegarder
Cette étape est cruciale : si vous oubliez de remettre le registre à sa valeur normale, le routeur ignorera de nouveau votre configuration à chaque redémarrage électrique.
Router(config)# config-register 0x2102
Router(config)# end
Router# copy running-config startup-config
Vérifiez que la valeur future du registre est bien prise en compte en tapant show version. La dernière ligne doit indiquer : Configuration register is 0x2142 (will be 0x2102 at next reload). Un redémarrage propre permet de s’assurer que tout refonctionne normalement.
Une fois l’accès rétabli, assurez-vous de sécuriser les accès distants via SSH. N’hésitez pas à consulter nos guides pour déboguer Telnet et SSH sur Cisco ou pour mettre en place une liste d’accès limitant ces flux d’administration.
