Como trocar senha de todas as ONUs: passo a passo para provedores

Como trocar senha de todas as ONUs: os três caminhos

A senha nova chega à ONU por três caminhos: o ACS, por TR-069; a OLT, pelo canal OMCI; ou um script que entra em cada ONU pela rede de gerência. Numa base com vários fabricantes, é comum usar os três.

A escolha não é de gosto, é do que cada modelo aceita. Por isso o trabalho começa pela lista de modelos, e não pelo comando. A troca em massa de senhas de ONU segue essa mesma ordem: inventário, regra de senha, lote de teste e só depois a base.

A coluna do meio é a que mais pesa no longo prazo. O assinante aperta o botão de reset, a ONU volta para a senha de fábrica e, sem uma regra que reaplique a troca, a base vai se abrindo de novo aos poucos.

Qual senha da ONU entra na troca

A troca mira a senha de administração do painel da ONU e, quando existe, o login de usuário limitado. A senha do Wi-Fi fica com o cliente.

Se a dúvida é sobre o que a regulação pede, o guia sobre se a Anatel exige trocar senha da ONU separa a parte regulatória da parte técnica.

Antes da troca, o inventário e a regra de senha

Antes de mandar qualquer senha, liste as ONUs por modelo, firmware e forma de gerência, e meça quantas respondem de fora. Depois defina a regra: senha única por ONU, guardada num cofre que o suporte consiga consultar.

1. Exporte a lista: tire da OLT e do sistema de gestão o serial, o modelo, a versão de firmware e a porta PON de cada ONU.
2. Marque a gerência: anote quais ONUs aparecem no ACS, quais aceitam OMCI e quais só respondem por IP.
3. Meça a exposição: varra os seus próprios blocos de IP a partir de fora e conte as ONUs com painel aberto.
4. Escolha o cofre: defina onde as senhas ficam e como o atendente vê a senha da ONU do cliente na tela.
5. Monte os lotes: agrupe por modelo e por OLT, começando pelos modelos que aparecem na varredura.

# Rode de um IP fora da sua rede e só contra blocos que são seus
# Portas: 23 Telnet, 80 e 443 painel web, 7547 TR-069 (connection request)
nmap -Pn -p 23,80,443,7547 --open -oG onus-expostas.txt 203.0.113.0/24

# Quantos IPs responderam em cada porta
grep -o "[0-9]*/open" onus-expostas.txt | sort | uniq -c

Painel web ou Telnet respondendo pelo IP público pedem duas ações, e não uma: trocar a senha e fechar a gerência pelo lado da internet. A porta 7547 aberta para qualquer origem é sinal de que o connection request do TR-069 também precisa de filtro.

Como gerar uma senha única por ONU?

Gere as senhas com um gerador criptográfico, amarradas ao serial de cada ONU, e leve o resultado direto para o cofre. O arquivo intermediário existe só durante a importação.

import csv, secrets, string

ALFABETO = string.ascii_letters + string.digits

def nova_senha(tamanho=16):
    return "".join(secrets.choice(ALFABETO) for _ in range(tamanho))

# inventario.csv: serial,modelo,olt,porta
with open("inventario.csv") as entrada, \
     open("senhas-lote1.csv", "w", newline="") as saida:
    escritor = csv.writer(saida)
    escritor.writerow(["serial", "modelo", "senha"])
    for onu in csv.DictReader(entrada):
        escritor.writerow([onu["serial"], onu["modelo"], nova_senha()])

# Importe senhas-lote1.csv no cofre e apague a cópia local

Alguns modelos limitam o tamanho ou recusam símbolos na senha de administração. Confira o limite de cada modelo no lote de teste antes de gerar as senhas da base [CONFIRMAR por modelo de ONU].

Passo a passo da troca pelo ACS

No ACS, a troca é uma regra que busca a senha da ONU no cofre e a grava no parâmetro de administração. A regra vale primeiro para um grupo marcado e depois para a base inteira.

O exemplo usa o GenieACS, servidor aberto comum em provedores. A regra lê o serial, pede a senha a um script externo que consulta o cofre e grava a senha nova no usuário de administração do modelo de dados TR-181.

// Provision "senha-admin"
const serial = declare("DeviceID.SerialNumber", {value: 1}).value[0];

// Script externo (pasta ext) que consulta o cofre pelo serial
const senha = ext("cofre", "senhaAdmin", serial);

// Usuário de administração da interface web
declare("Device.Users.User.1.Username", {value: 1}, {value: "admin"});
declare("Device.Users.User.1.Password", null, {value: senha});

1. Marque o lote: coloque uma etiqueta, como lote1, nas ONUs do grupo de teste.
2. Crie o preset: ligue a provision ao filtro da etiqueta e aos eventos de boot e de bootstrap.
3. Force o contato: dispare o connection request nas ONUs do lote para não esperar a apresentação periódica.
4. Confira cada ONU: veja a tarefa concluída no ACS e teste o login com a senha nova e com a de fábrica.
5. Amplie: mova a etiqueta para o lote seguinte só depois de um dia sem chamados ligados à troca.

Por que o evento de bootstrap entra no preset

Quando o assinante reseta a ONU, ela volta à configuração de fábrica e se apresenta ao ACS como equipamento novo. Com o bootstrap no preset, a senha única volta a ser gravada nesse primeiro contato.

O servidor que recebe essas apresentações é tema da implantação de servidor ACS, e a organização das regras por plano aparece no guia de gerência de CPEs via TR-069.

Pela OLT ou por script, quando o ACS não alcança

ONUs que não falam com o ACS recebem a senha pela OLT, quando o modelo aceita a configuração via OMCI, ou por um script que entra em cada uma pela rede de gerência. Nos dois casos, a conferência é feita ONU por ONU.

Pela OLT, a senha costuma ir num perfil de gerência da ONU aplicado a todas as ONUs de um modelo. O comando muda por fabricante e por versão de firmware, e ONU de outra marca pode aceitar o perfil e manter a senha antiga sem avisar [CONFIRMAR no manual da OLT].

O script é o último recurso. Ele lê a lista de IPs e senhas, entra em cada ONU pelo painel ou pelo Telnet da rede de gerência, grava a senha nova, testa o login e escreve o resultado numa linha de saída.

• Rede de gerência: o script roda de dentro dela, nunca pela internet do assinante.
• Uma ONU por vez: paralelismo baixo evita derrubar o painel de modelos com pouca memória.
• Saída por ONU: serial, IP, resultado e mensagem de erro, para o relatório final.
• Sem senha no código: o script busca as senhas no cofre, e o arquivo de saída não guarda nenhuma.

Exemplo: base com três fabricantes de ONU

Uma base regional típica mistura ONUs de duas ou três marcas, compradas em épocas diferentes. A troca se divide pelo que cada grupo aceita.

1. Modelos recentes no ACS: troca pela provision, com etiqueta por lote, em duas ou três noites.
2. Modelo da marca da OLT, sem ACS: troca pelo perfil da OLT, porta PON por porta PON.
3. Lote antigo só com Telnet: troca por script na rede de gerência, com conferência de cada login.
4. ONUs que recusaram tudo: entram na lista de substituição na próxima visita ao cliente.

No fim, o relatório junta os três caminhos numa lista só, com o mesmo formato. É essa lista que responde, depois, quem pergunta se a troca foi feita.

Como conferir se a troca funcionou?

A troca funcionou quando a senha de fábrica é recusada, a senha nova abre o painel e a ONU segue navegando e falando com o ACS. Status de tarefa concluída sozinho não prova nada.

A Táquion Tech confere a troca pelo login, e não pelo status do ACS, porque há firmware que responde sucesso e não grava a senha. Esse detalhe só aparece testando.

Quem escolher para o lote de teste

Use ONUs de funcionários e de assinantes que respondem rápido ao suporte, com pelo menos uma de cada modelo e versão de firmware. Se algo der errado, quem perceber primeiro vai avisar.

Deixe o lote rodando um dia inteiro antes de ampliar. Falha de reinício ou de perda do ACS às vezes aparece só no contato periódico seguinte.

Erros comuns na troca em massa de senhas

Os erros mais caros são mexer na credencial do ACS junto com a senha de administração e liberar a base inteira sem lote de teste. Os dois podem deixar milhares de ONUs fora do alcance do suporte.

Senhas trocadas não resolvem uma invasão que já aconteceu. Se houver DNS alterado ou tráfego estranho saindo das ONUs, siga primeiro o guia de provedor invadido e só depois volte à troca em massa.

ONU que reinicia ou some do ACS depois da troca

Alguns modelos reiniciam ao gravar a senha, e outros perdem a configuração do ACS se o parâmetro errado for alterado. O lote de teste existe para pegar esses dois casos antes da base.

Se uma ONU sumiu do ACS, confira o sinal e o PPPoE na OLT, restaure o endereço do ACS pelo canal da OLT quando o modelo permite e retire o modelo da troca até a regra ser corrigida.

O acesso dos técnicos à OLT e ao ACS também precisa de usuário próprio, para saber quem mudou o quê. A implantação de TACACS e o hardening de OLT cuidam dessa parte.

Perguntas frequentes

Thiago Manoel

Responsável técnico da Táquion Tech · Registro profissional [PREENCHER]

Mais de 15 anos em operações de rede, com gestão de infraestruturas de TI, administração de data centers e condução de equipes em migrações de TI e telecomunicações, com foco em alta disponibilidade e segurança.

A Táquion Tech é uma empresa de engenharia de redes de Balneário Camboriú (SC) que projeta, opera e dá suporte a redes de provedores de internet e de empresas.

Conheça a equipe da Táquion Tech