Cisco CBS350-8FP-E-2G

Cisco · przełącznik zarządzalny, 10 gniazd, 8 z zasilaniem po skrętce · Cisco CBS350-8FP-E-2G

czym to jest

Przełącznik zarządzalny z rodziny Cisco Business 350 — następcy serii Small Business 300. Prompt logowania wygląda tak samo jak w SG300, ale interfejs WWW, wiersz poleceń i konta fabryczne są inne; ustawień z SG300 nie da się przenieść wprost.

Według karty katalogowej: osiem gniazd 10/100/1000 z PoE+ we wspólnym budżecie 120 W i dwa gniazda combo 1 Gb/s — miedź albo wkładka SFP, do wyboru, nie jednocześnie. Obudowa ma 268 mm szerokości, 185 mm głębokości i 44 mm wysokości, czyli jest węższa niż szafa dziewiętnastocalowa; katowniki do szafy i na ścianę są w zestawie. Zasilacz jest zewnętrzny (oznaczenie „-E” w nazwie), chłodzenie bierne, bez wentylatora. Pobór według karty: ok. 17 W bez odbiorników PoE, ok. 147 W przy pełnym obciążeniu PoE.

Z przodu: przycisk Reset, dioda System, konsola mini-USB i RJ-45, gniazdo USB-A (pliki konfiguracji, obrazy oprogramowania, dziennik). Wiersz poleceń sam podaje typ gniazd: show interfaces status pokazuje gi1–gi8 jako 1G-Copper, a gi9–gi10 jako 1G-Combo-C. Budżet PoE w show power inline: 120 W.

Sprawdzana sztuka: procesor 800 MHz, 512 MB RAM, 256 MB pamięci flash (wydruk rozruchu), temperatura w pracy 43–46°C (show system, show power inline).

oprogramowanie: dwa obrazy

Przełącznik trzyma dwa obrazy oprogramowania — aktywny i zapasowy. show version pokazuje oba z wersją i datą; w sprawdzanej sztuce aktywna była wersja 3.2.1.1 z lutego 2023, a zapasowa wersja 3.1.1.7 z sierpnia 2021. Między obrazami przełącza się także z menu rozruchu (pozycja „Image menu”). Dla rodziny są wydania nowsze niż aktywne w sprawdzanej sztuce.

konsola

Konsola mini-USB: komputer widzi port szeregowy, 115 200 b/s, 8N1, z autodetekcją prędkości — przełącznik prosi o dwukrotne naciśnięcie Enter. Konsola RJ-45 też pracuje na 115 200 b/s, a nie 9600 jak SG300: przy 9600 wracają pojedyncze śmieci i port wygląda na uszkodzony. Gdy wpięte są oba kable, pierwszeństwo ma mini-USB.

odzyskanie hasła bez utraty konfiguracji

Przy nieznanym haśle nie trzeba kasować konfiguracji. Wymaga to konsoli i cyklu zasilania:

• Po komunikatach Loading active image i sprawdzeniu sumy obrazu pada Autoboot in 2 seconds - press RETURN or Esc. to abort and enter prom.
• Jeden Esc w tym momencie otwiera Startup Menu: [1] Image menu, [2] Restore Factory Defaults, [3] Password Recovery Procedure, [4] Back. Esc wysyłany seriami przez cały start menu nie otworzył — ten sam klawisz w menu z niego wychodzi.
• Pozycja [3] odpowiada „Current password will be ignored!”. Potem Enter (powrót do menu) i Esc — przełącznik startuje bez pytania o hasło, z zachowaną konfiguracją, i po enable od razu daje znak zachęty #.

Pozycja [2] przywraca ustawienia fabryczne i kasuje konfigurację bezpowrotnie. Z wiersza poleceń to samo robi delete startup-config i reload — reload zadaje dwa pytania (niezapisane zmiany, restart całego systemu). Start fabryczny trwa ok. 2 minut, bo przełącznik generuje klucze SSH (RSA, DSA) i certyfikat 2048-bitowy.

pierwsze logowanie

Konto fabryczne cisco z hasłem cisco działa tylko raz: przełącznik wymusza zmianę nazwy użytkownika i hasła. Reguły hasła, wypisane przez samo urządzenie:

• co najmniej 8 znaków, z 3 z 4 klas (małe litery, wielkie litery, cyfry, znaki specjalne);
• ten sam znak najwyżej 3 razy z rzędu;
• najwyżej 2 kolejne znaki ciągu („abc”, „123” i odwrotnie) — losowo wygenerowane hasło tego warunku potrafi nie spełnić, warto sprawdzić je przed wysłaniem;
• bez nazwy użytkownika, producenta i produktu, także pisanych wspak;
• spoza listy haseł, które wyciekły.

Po zmianie konto cisco znika. Nowe konto ma uprawnienia 15 — od razu #, bez osobnego enable.

ustawienia fabryczne, które warto wyłączyć

Zaraz po resecie przełącznik:

• łączy się z Cisco: agent PnP kilka sekund po uzyskaniu adresu zgłasza się do devicehelper.cisco.com (%PNPAGENT-I-PNPSRVRDETECT, ponowienie co 24 godziny) i podmienia zestaw certyfikatów CA. Wyłącza go no pnp enable;
• bierze czas z pięciu serwerów w internecie: pool.ntp.org, time-pnp.cisco.com i trzech serwerów timefreq.bldrdoc.gov. W sieci bez dostępu do internetu trzeba je usunąć i wskazać własny serwer (sntp unicast client enable, sntp server … poll, clock source sntp);
• ma włączone Bonjour (no bonjour enable) i panel WWW po HTTP i HTTPS (no ip http server, no ip http secure-server);
• ma wyłączone SSH.

Zmiany zapisuje copy running-config startup-config.

SSH

Samo ip ssh server nie wystarcza. Bez ip ssh password-auth klient loguje się metodą „none”, a o hasło przełącznik pyta dopiero w otwartym kanale — jak SG300. Z tym poleceniem działa zwykłe logowanie hasłem. Serwer przedstawia się jako OpenSSH_7.3p1.RL i — inaczej niż SG300 — przyjmuje współczesnego klienta bez dopuszczania starych algorytmów.

SNMPv3: pułapka z engineID

snmp-server user przechodzi bez błędu, a użytkownik nie powstaje, dopóki przełącznik nie ma lokalnego engineID. Fabrycznie go nie ma („Local SNMP engineID is not configured”). Dopiero ponowna próba mówi wprost: „Non default local engine id value is required before configuring the user table”. Kolejność, która działa:

• snmp-server engineID local default — dwa pytania; drugie uprzedza, że baza SNMPv3 zostanie skasowana;
• snmp-server view WIDOK iso included;
• snmp-server group GRUPA v3 priv read WIDOK;
• snmp-server user UŻYTKOWNIK GRUPA v3 auth sha HASŁO priv HASŁO.

Algorytmu szyfrowania nie da się wybrać — polecenie przyjmuje samo hasło. show snmp users pokazuje SHA1 i AES-128; zapytanie z DES kończy się przekroczeniem czasu. Hasła w show snmp users są wyświetlane w postaci zaszyfrowanej.

co z niego odczytujemy

Po SNMPv3 (authPriv, SHA i AES) odpowiadają standardowe gałęzie:

• stan każdego gniazda, prędkość, ruch na licznikach 64-bitowych i liczniki błędów (IF-MIB, EtherLike-MIB);
• spis podzespołów (ENTITY-MIB) z modelem, numerem seryjnym i wersją oprogramowania;
• PoE: stan, wykrycie odbiornika, klasa i priorytet każdego gniazda oraz liczniki przeciążeń i zwarć; dla całego przełącznika moc dostępna, bieżące zużycie i próg alarmowy;
• sąsiadów po LLDP i CDP;
• most i VLAN-y — tablicę BRIDGE-MIB i statyczne VLAN-y z przynależnością gniazd (Q-BRIDGE);
• adresy IP interfejsów (IP-MIB).

Wersji oprogramowania nie ma w sysDescr, który mówi tylko „CBS350-8FP-E-2G 8-Port Gigabit PoE Managed Switch”. Wersję podaje entPhysicalSoftwareRev z ENTITY-MIB.

na co uważać

• Konsola nie blokuje prób logowania. Po złym haśle odpowiada authentication failed i czeka na Enter — bez opóźnienia i bez blokady. Fizyczny dostęp do konsoli oznacza nieograniczoną liczbę prób, więc konsola wymaga zabezpieczenia fizycznego.
• W tablicy interfejsów jest pseudo-interfejs o indeksie 20000 bez liczników ruchu. Szablon monitoringu, który zakłada liczniki na każdym interfejsie, dostaje na nim pozycje niewspierane.

czego z niego nie odczytamy

W sprawdzonych gałęziach SNMP nie ma:

• temperatury — przełącznik podaje ją w wierszu poleceń (show system), ale gałęzie czujników (ENTITY-SENSOR-MIB i gałąź czujników Cisco IOS) są puste;
• obciążenia procesora i pamięci (HOST-RESOURCES-MIB i gałęzie Cisco IOS są puste);
• poboru mocy na pojedynczym gnieździe — standardowa gałąź PoE podaje go tylko dla całego przełącznika.

Gałęzi Cisco znanych z Catalyst (środowisko, procesor, flash, obraz, konfiguracja, VTP, stos) ten model nie wystawia. Gałęzi własnej rodziny Small Business (9.6.1) spis nie obejmuje — tam mogą być temperatura, procesor i pobór na gnieździe; to niepotwierdzone.

Tył obudowy nie jest narysowany — producent nie pokazuje go na wprost. Z karty wiadomo tylko, że jest tam gniazdo zasilacza zewnętrznego.

pełny spis parametrów odczytanych przez SNMP

Spis pokazuje, CO urządzenie wystawia — razem z parametrami, których sami nie używamy. Wartości nie ma tu żadnych: to katalog możliwości, nie odczyt z czyjejś sieci. Nie jest to też lista zamknięta — wyjaśnienie pod tabelą.

148 parametrów

Źródło spisu: odczyt 1 działającego egzemplarza (stan z 2026-10-18). Spis jest sumą tego, co zaobserwowaliśmy — na większej liczbie egzemplarzy widać więcej parametrów, więc liczby przy różnych modelach nie są porównywalne wprost.