Контракта на поддержку Cisco нет уже больше трёх лет, а Catalyst 9000 и ISR 4000 по-прежнему стоят в ядре и на филиалах. Ниже — рабочая шпаргалка, которую мы сами используем при обновлении IOS XE без доступа к TAC и порталу загрузок: что проверить до работ, как убедиться, что образ не подменён, как обновиться в install mode с возможностью отката и что сделать, если обновиться нельзя.

1. Инвентаризация до любых работ

Сначала фиксируем, что стоит сейчас: версию, режим загрузки, свободное место и лицензии.

show version | include Version|System image|Mode
show install summary
show boot
dir flash: | include free
show license summary
show license status

На Catalyst 9000 в выводе show version есть столбец Mode: INSTALL или BUNDLE. В install mode устройство грузится из packages.conf, в bundle mode — напрямую из .bin. Для обновления и отката удобнее install mode, ниже покажем переход.

По лицензиям: начиная с IOS XE 17.3.2 работает Smart Licensing Using Policy. Устройство без связи с Cisco функции не отключает, просто копит неотправленные отчёты. Чтобы оно не стучалось наружу, транспорт можно выключить:

license smart transport off

Исключение — функции экспортного контроля, например HSECK9 для шифрования свыше 250 Мбит/с на маршрутизаторах: без кода авторизации их не включить, и это стоит выяснить до замены железа или переустановки.

2. Проверка образа: только по SHA512

Образы без контракта приходят из разных источников, поэтому единственная гарантия — хеш. Cisco публикует SHA512 для каждого файла; сверяем его на рабочей станции и на самом устройстве после копирования.

# Linux / macOS
sha512sum cat9k_iosxe.17.09.05.SPA.bin

# Windows PowerShell
Get-FileHash .\cat9k_iosxe.17.09.05.SPA.bin -Algorithm SHA512

# на коммутаторе
verify /sha512 flash:cat9k_iosxe.17.09.05.SPA.bin

Хеш не совпал — образ не ставим, даже если «он у всех работает». Версия в примерах условная: выбирайте рекомендованный релиз для своей платформы и читайте release notes на обязательные промежуточные версии и требования к ROMMON.

3. Обновление в install mode

Перед работами — копия конфигурации и текущего образа, консольный доступ и окно. Сам процесс на Catalyst 9000:

copy running-config startup-config
install add file flash:cat9k_iosxe.17.09.05.SPA.bin
install activate auto-abort-timer 120
! после перезагрузки проверяем, что всё поднялось
show version
show install summary
install commit

Пока не выполнен install commit, работает таймер автоотката: если за 120 минут не подтвердить обновление (например, потеряли доступ к устройству), коммутатор сам вернётся на прежнюю версию. Вернуться вручную до коммита можно командой install abort. Когда всё проверено и закоммичено, освобождаем место:

install remove inactive

Если устройство в bundle mode, переход в install mode делается тем же install add file … activate commit, после чего проверяем загрузку из packages.conf:

no boot system
boot system flash:packages.conf
no boot manual
write memory

Для стеков install add/activate распространяется на все члены стека, но перед работами стоит убедиться через show switch, что версии и режимы у всех членов совпадают.

4. Если обновиться нельзя

Самый показательный пример — CVE-2023-20198 в веб-интерфейсе IOS XE с оценкой CVSS 10.0. Осенью 2023 года через неё были скомпрометированы десятки тысяч устройств. Если обновление невозможно, закрываем веб-интерфейс:

show running-config | include ip http
conf t
 no ip http server
 no ip http secure-server
end
write memory

Если веб-интерфейс всё же нужен, ограничиваем доступ списком: ip http access-class с ACL на сеть управления. Тот же принцип для SSH и SNMP: управление только из выделенного сегмента, без доступа из пользовательских VLAN и тем более из интернета.

5. Конец жизненного цикла и запас

Для каждой модели Cisco публикует бюллетень End-of-Life: последний день продаж, последний выпуск исправлений ПО и уязвимостей, конец поддержки. Catalyst 2960-X, 3650/3850 и ISR 4000 уже сняты с продаж или подходят к концу поддержки. Даты из бюллетеня — это срок, до которого ещё будут выходить исправления безопасности, их стоит держать в реестре оборудования.

Без RMA единственный способ быстро восстановиться — свой подменный фонд: блоки питания, вентиляторы, SFP-модули и хотя бы одно запасное устройство на типовую модель с уже залитой эталонной версией ПО.

Итог

Чек-лист коротко: реестр моделей, версий и лицензий; образы только с проверкой SHA512; обновление в install mode с auto-abort-timer; закрытый веб-интерфейс и управление из выделенного сегмента; ЗИП на критичные узлы. С этим Catalyst и ISR спокойно доживают свой срок, а новые сегменты можно строить уже на другом оборудовании — по стандартным протоколам (OSPF, BGP, LACP, 802.1Q) они прекрасно уживаются.

Если у вас есть свои приёмы обновления без контракта или грабли с конкретными платформами — делитесь в комментариях, дополню статью.