روتر شبکه سیسکو مدل Cisco 2901-SEC/K9 ریفر

🔹 شناسه رسمی این محصول CISCO2901-SEC/K9 است؛ آن را با مدل پایه CISCO2901/K9، مدل HSEC یا باندل Voice Security اشتباه نگیرید.
🔹 طبق راهنمای سفارش رسمی ISR G2، باندل CISCO2901-SEC/K9 شامل Universal K9 Image و مجوز Security Package بوده است.
🔹 اطلاعیه پایان عمر Cisco 2900 نیز این شناسه را «Cisco 2901 Security Bundle همراه SEC License PAK» معرفی می‌کند.
🔹 تفاوت اصلی این SKU با CISCO2901/K9 پایه، مجوز Security است؛ پردازنده، تعداد رابط‌های داخلی و بیشتر اجزای اصلی شاسی تغییر نمی‌کنند.
🔹 وجود عبارت SEC روی عنوان فروشگاه یا حتی برچسب شاسی، فعال‌بودن مجوز Security را در دستگاه ریفر تضمین نمی‌کند؛ وضعیت واقعی باید از داخل IOS بررسی شود.
🔹 دستورهای show license،‏ show license feature و show version را اجرا کنید و مطمئن شوید بسته Security در وضعیت فعال و دائمی قرار دارد.
🔹 مجوزهای Permanent،‏ Evaluation و Right-to-Use وضعیت یکسانی ندارند؛ فعال‌بودن قابلیت آزمایشی ممکن است پس از پایان دوره یا Reload تغییر کند.
🔹 وجود کاغذ PAK به‌تنهایی کافی نیست؛ PAK ممکن است قبلاً استفاده شده باشد و مجوز فعال معمولاً به شناسه سخت‌افزاری دستگاه مرتبط است.
🔹 اگر مادربرد دستگاه تعویض شده باشد، تطابق مجوز،‏ UDI، شماره‌سریال و PID را با دقت بیشتری کنترل کنید.
🔹 پیش از خرید، خروجی مجوزها را ذخیره و یک راه‌اندازی مجدد آزمایشی انجام دهید تا ماندگاری وضعیت Security پس از Reload مشخص شود.
🔹 پسوند K9 نشان‌دهنده ارتباط محصول با نرم‌افزار دارای قابلیت رمزنگاری است، اما به‌تنهایی مجوز SEC،‏ HSEC یا تمام قابلیت‌های امنیتی را فعال نمی‌کند.
🔹 باندل SEC با HSEC یکسان نیست؛ قابلیت‌ها و محدودیت‌های مرتبط با ظرفیت بالاتر رمزنگاری را نباید به CISCO2901-SEC/K9 نسبت داد.
🔹 نسخه HSEC+ نیز می‌توانست ماژول سخت‌افزاری VPN متفاوتی داشته باشد؛ وجود چنین ISM یا شتاب‌دهنده‌ای در نسخه SEC پایه را فرض نکنید.
🔹 بسته Security برای قابلیت‌هایی مانند رمزنگاری VPN، کنترل و بازرسی ترافیک و امکانات امنیتی IOS عرضه شده بود؛ دسترسی دقیق به هر قابلیت به نسخه IOS و وضعیت مجوز وابسته است.
🔹 پروتکل‌هایی مانند IPsec،‏ IKE،‏ DMVPN،‏ GETVPN و Zone-Based Firewall ممکن است در پیکربندی مناسب قابل‌استفاده باشند، اما پشتیبانی دقیق نسخه‌ها و الگوریتم‌ها را باید در همان IOS بررسی کرد.
🔹 شتاب‌دهنده رمزنگاری داخلی می‌تواند بخشی از پردازش IPsec را از پردازنده اصلی بردارد، اما توان VPN گیگابیتی یا عملکرد یک فایروال مدرن را تضمین نمی‌کند.
🔹 تعداد Tunnel، اندازه بسته‌ها، نوع رمزگذاری، NAT،‏ ACL و بازرسی ترافیک همگی بر توان واقعی VPN اثر می‌گذارند؛ قبل از بهره‌برداری با ترافیک واقعی آزمایش کنید.
🔹 الگوریتم‌های قدیمی مانند DES،‏ 3DES،‏ MD5 و SHA-1 برای طراحی امنیتی جدید مناسب نیستند؛ فعال‌بودن آن‌ها در IOS به‌معنای امن‌بودنشان نیست.
🔹 ممکن است نسخه IOS دستگاه از مجموعه‌رمزها یا روش‌های احراز هویت موردنیاز تجهیزات جدید پشتیبانی نکند؛ سازگاری دو سمت VPN را پیش از خرید بررسی کنید.
🔹 Cisco 2901-SEC/K9 جایگزین فایروال نسل جدید نیست؛ قابلیت‌هایی مانند تحلیل ابری تهدید، Sandbox،‏ EDR، فیلترینگ مدرن برنامه‌ها و امضاهای به‌روز در سطح محصولات امروزی را ارائه نمی‌کند.
🔹 قابلیت‌های قدیمی IPS یا بازرسی ترافیک بدون Signature و Subscription به‌روز، برای مقابله با تهدیدهای جدید قابل‌اتکا نیستند.
🔹 طبق دیتاشیت رسمی Cisco 2900، Cisco 2901 دو درگاه داخلی Gigabit Ethernet از نوع RJ45 دارد و رابط SFP داخلی ارائه نمی‌کند.
🔹 دو رابط گیگابیتی، پورت‌های مسیریابی مستقل هستند و معادل یک سوئیچ چندپورتی محسوب نمی‌شوند؛ برای اتصال کاربران به سوئیچ جداگانه نیاز دارید.
🔹 وجود پورت گیگابیتی به‌معنای مسیریابی، فایروال یا VPN با سرعت یک گیگابیت نیست؛ معماری پردازشی این دستگاه برای شبکه‌های نسل ISR G2 طراحی شده است.
🔹 فعال‌کردن VPN،‏ Zone-Based Firewall،‏ NAT،‏ ACL،‏ QoS و Logging می‌تواند توان عبوردهی و تعداد Session قابل‌استفاده را کاهش دهد.
🔹 اگر هدف دریافت کامل اینترنت پرسرعت یا برقراری VPN پرترافیک است، روتر یا فایروال جدیدتر انتخاب مناسب‌تری خواهد بود.
🔹 این مدل Wi-Fi داخلی ندارد؛ برای شبکه بی‌سیم باید اکسس‌پوینت جداگانه یا کارت بی‌سیم EHWIC سازگار تهیه شود.
🔹 چهار شکاف EHWIC دستگاه می‌توانند چهار کارت Single-Wide یا حداکثر دو کارت Double-Wide را بپذیرند؛ هر کارت Double-Wide دو شکاف مجاور را اشغال می‌کند.
🔹 شکاف‌های EHWIC از بعضی کارت‌های EHWIC،‏ HWIC،‏ WIC،‏ VIC و VWIC پشتیبانی می‌کنند؛ سازگاری فیزیکی، نرم‌افزاری و مجوزی هر کارت را جداگانه بررسی کنید.
🔹 Cisco 2901 شکاف Service Module ندارد؛ ماژول‌های SM،‏ NM،‏ NME و EVM را نمی‌توان مانند برخی مدل‌های بالاتر سری 2900 روی آن نصب کرد.
🔹 دستگاه یک شکاف داخلی ISM دارد، اما ماژول خدماتی یا VPN الزاماً در باندل SEC پایه نصب نشده است؛ خروجی show inventory را بررسی کنید.
🔹 شکاف ISM جایگزین AIM نسل قبل شده است و ماژول‌های AIM سری 2800 مستقیماً با آن سازگار نیستند.
🔹 بعضی کارت‌های LTE برای خانواده ISR G2 عرضه شده‌اند، اما شاسی پایه مودم، سیم‌کارت یا آنتن داخلی ندارد؛ سازگاری باند فرکانسی، IOS و شبکه اپراتور باید بررسی شود.
🔹 کارت‌های سلولی قدیمی ممکن است با فرکانس‌ها، سیم‌کارت یا شبکه فعلی اپراتورها سازگار نباشند؛ وجود شکاف EHWIC تضمین‌کننده اینترنت 4G قابل‌استفاده نیست.
🔹 این مدل دو شکاف داخلی PVDM3 دارد، اما باندل SEC پایه الزاماً همراه PVDM یا مجوز Unified Communications عرضه نمی‌شود.
🔹 عبارت «دو DSP Slot» به دو محل نصب اشاره دارد و نباید آن را به‌معنای وجود دو ماژول DSP داخل هر دستگاه دانست.
🔹 PVDM2 فقط با آداپتور مناسب در محل PVDM3 نصب می‌شود و نباید PVDM2 و PVDM3 را در یک دستگاه ترکیب کرد.
🔹 برای کاربرد Voice، علاوه‌بر PVDM و کارت صوتی، مجوز UC لازم است؛ SEC License به‌تنهایی قابلیت‌های Voice را فعال نمی‌کند.
🔹 مدل C2901-VSEC/K9 باندل جداگانه Voice Security بوده و معمولاً ترکیب متفاوتی از مجوز UC،‏ SEC و PVDM داشته است؛ آن را با 2901-SEC/K9 اشتباه نگیرید.
🔹 حافظه پایه این پلتفرم ۵۱۲ مگابایت DDR2 ECC DRAM و حداکثر ظرفیت رسمی آن دو گیگابایت است؛ مقدار واقعی دستگاه ریفر را با show version کنترل کنید.
🔹 دو محل CompactFlash خارجی وجود دارد؛ پیکربندی پایه معمولاً شامل کارت ۲۵۶ مگابایتی در شکاف صفر و شکاف دوم خالی بوده است.
🔹 دیتاشیت رسمی حداکثر چهار گیگابایت را برای هریک از دو شکاف CompactFlash ذکر می‌کند، اما باید از حافظه سازگار با ISR G2 استفاده شود.
🔹 سیسکو هشدار داده است که CompactFlash قدیمی و ناسازگار می‌تواند عملکرد دستگاه را به‌شدت کاهش دهد؛ شناسایی‌شدن کارت برای تأیید سازگاری کافی نیست.
🔹 افزایش DRAM یا CompactFlash سرعت پردازنده و توان رمزنگاری را بیشتر نمی‌کند؛ ارتقا فقط برای اجرای IOS و قابلیت‌های نیازمند حافظه بیشتر مفید است.
🔹 دو درگاه USB Type-A از USB 2.0 پشتیبانی می‌کنند و یک USB Console جداگانه نیز در اختیار قرار دارد؛ کاربرد این درگاه‌ها را با یکدیگر اشتباه نگیرید.
🔹 دستگاه علاوه‌بر USB Console، درگاه Console سریال RJ45 و درگاه AUX دارد؛ برای USB Console ممکن است نصب درایور روی رایانه لازم باشد.
🔹 فایل Cisco IOS دارای مجوز است؛ Imageهای ناشناس یا دست‌کاری‌شده نصب نکنید و نسخه، نام فایل، امضای دیجیتال، Hash و سازگاری آن با مجوز SEC را کنترل کنید.
🔹 تعویض IOS Universal با فایل نامناسب ممکن است باعث ازدست‌رفتن دسترسی به بعضی قابلیت‌ها، کمبود حافظه یا ایجاد مشکل در فرایند Boot شود.
🔹 عبارت «ریفر» به‌تنهایی نشان نمی‌دهد دستگاه Cisco Refresh رسمی است؛ کالای بازسازی‌شده فروشنده، تعمیرشده محلی و Cisco Refresh وضعیت‌های متفاوتی دارند.
🔹 طبق اطلاعیه رسمی Cisco Refresh، شماره‌قطعه تجهیزات بازسازی‌شده رسمی سیسکو دارای پسوند -RF است؛ برای اثبات Cisco Refresh باید این شناسه و مدارک معتبر بررسی شوند.
🔹 اگر برچسب فقط CISCO2901-SEC/K9 را نشان می‌دهد و مدرک Refresh وجود ندارد، محصول را ریفر بازار معرفی کنید، نه بازسازی‌شده رسمی سیسکو.
🔹 PID،‏ VID، شماره‌سریال، برچسب‌های بدنه، آثار تعمیر و مدارک زنجیره فروش را پیش از خرید کنترل کنید.
🔹 سری Cisco 2900 در ۹ دسامبر ۲۰۱۷ از فروش خارج شده و پشتیبانی رسمی آن در ۳۱ دسامبر ۲۰۲۲ پایان یافته است.
🔹 پشتیبانی برنامه‌ریزی‌شده از آسیب‌پذیری‌های امنیتی این خانواده در ۸ دسامبر ۲۰۲۰ پایان یافته است؛ داشتن مجوز SEC این محدودیت را تغییر نمی‌دهد.
🔹 استفاده از یک محصول امنیتی بدون وصله‌های جدید می‌تواند ریسک بیشتری از روتر ساده ایجاد کند، زیرا دستگاه مستقیماً در معرض ترافیک نامطمئن قرار می‌گیرد.
🔹 این مدل را برای لبه اینترنت یک شبکه حساس پیشنهاد نمی‌کنیم؛ در آزمایشگاه آن را پشت فایروال به‌روز و در Segment جداگانه قرار دهید.
🔹 برای مدیریت، SSHv2 را فعال و Telnet،‏ HTTP، نسخه‌های قدیمی SNMP و سرویس‌های غیرضروری را غیرفعال کنید؛ دسترسی VTY را نیز با ACL محدود سازید.
🔹 Logها را به Syslog Server جداگانه ارسال کنید و زمان دستگاه را با NTP معتبر هماهنگ سازید؛ بدون زمان دقیق، تحلیل رخدادهای امنیتی دشوار می‌شود.
🔹 حساب‌های محلی، کلیدهای RSA،‏ Pre-Shared Keyها، گواهی‌ها، Tunnelها و تنظیمات مالک قبلی باید پیش از استفاده کاملاً پاک یا تعویض شوند.
🔹 دستورهای show crypto session،‏ show crypto isakmp sa یا فرمان‌های متناسب با نسخه IKE برای بررسی تونل‌های آزمایشی مفید هستند؛ صرف وجود تنظیمات Crypto، برقراری صحیح VPN را ثابت نمی‌کند.
🔹 هنگام تست VPN، پایداری Tunnel، مصرف CPU، تأخیر، افت بسته و سرعت در هر دو جهت را بررسی کنید؛ آزمایش Ping به‌تنهایی کافی نیست.
🔹 با show processes cpu و show processes memory تأثیر رمزنگاری و بازرسی ترافیک را زیر بار بررسی کنید؛ افزایش CPU می‌تواند باعث تأخیر در مسیریابی و مدیریت شود.
🔹 show interfaces برای بررسی CRC،‏ Input Error،‏ Drop،‏ Reset و Duplex مفید است؛ شمارنده‌ها را صفر کرده و سپس انتقال آزمایشی انجام دهید.
🔹 هر دو رابط Gigabit Ethernet را در سرعت یک گیگابیت و Full Duplex آزمایش کنید؛ اتصال ۱۰۰ مگابیتی ممکن است نتیجه کابل نامناسب یا خرابی پورت باشد.
🔹 کارت‌های EHWIC باید جداگانه و زیر بار آزمایش شوند؛ روشن‌شدن LED یا نمایش کارت در Inventory سلامت کامل رابط‌ها را ثابت نمی‌کند.
🔹 Cisco 2901 با منبع تغذیه AC معمولی یا AC دارای قابلیت PoE عرضه شده است و نسخه DC یا پشتیبانی از RPS خارجی برای آن ذکر نشده است.
🔹 پاور PoE به‌تنهایی روی دو پورت داخلی روتر خروجی PoE ایجاد نمی‌کند؛ ماژول EtherSwitch سازگار با PoE نیز لازم است.
🔹 مصرف معمول شاسی بدون ماژول حدود ۴۰ وات است، اما نوع پاور، کارت‌های نصب‌شده و میزان پردازش می‌توانند مصرف را افزایش دهند.
🔹 این دستگاه 1RU است و حدود ۶٫۱ کیلوگرم بدون ماژول و نزدیک ۷٫۳ کیلوگرم در پیکربندی کامل وزن دارد؛ عمق تقریبی ۴۳٫۹ سانتی‌متری آن را برای رک در نظر بگیرید.
🔹 فشار صوتی اعلام‌شده حدود ۴۱ دسی‌بل در حالت معمول و تا ۵۳ دسی‌بل در بیشترین حالت است؛ برای اتاق خواب یا محیط کار ساکت انتخاب مطلوبی نیست.
🔹 صدای ساییدگی فن، تغییر دور غیرعادی، بوی سوختگی، خازن متورم، خوردگی و آثار تعمیر روی برد یا منبع تغذیه را جدی بگیرید.
🔹 پیش از خرید، دستگاه را کاملاً خاموش و روشن کنید و مطمئن شوید بدون خطای حافظه، License Error،‏ Crash یا توقف در ROMMON وارد IOS می‌شود.
🔹 اگر هدف فقط تمرین امنیت و VPN است، آزمایشگاه مجازی معمولاً ارزان‌تر، ساکت‌تر و انعطاف‌پذیرتر است؛ خرید این مدل زمانی منطقی‌تر است که به کارت‌ها و رابط‌های فیزیکی نیاز داشته باشید.
🔹 در شبکه عملیاتی وابسته به این دستگاه، Cisco 2901-SEC/K9 ریفر می‌تواند قطعه یدکی یا راه‌حل موقت باشد؛ هم‌زمان برای مهاجرت به روتر و فایروال جدید، امن و تحت پشتیبانی برنامه‌ریزی کنید.