[转载]cisco 路由器访问权限的设置
理解Privilege级别的含义
默认情况下Cisco IOS命令行模式下支持两种级别的接入命令user EXEC(级别1)模式和privileged EXEC(级别15)
在这0到15这16个级别中，每个级别下所能操作的命令是不一样的，数字约高，级别越高，所能操作的命令也越多
可以自己定义级别，及这些级别下所能操作的命令
Privilege命令的操作
配置步骤
1. configure terminal
在全局配置模式下配置，默认情况是privileged 15
2. privilege mode [all] {level level | reset } command-string
Mode定义在此级别下允许操作的模式 (要授权的命令所属的CLI命令模式)
不同的设备,可授权的命令模式数量可能会发生变化,在全局配置模式下,可以使用privilege ?列出当前所有可授权的CLI命令模式
Level表示当前所要定义的级别 (指定命令或子命令的运行权限级别,级别的范围0-15)
[all]代表command-string命令下的子命令都可以使用，而不用一个一个指定 (将指定命令的所有子命令的权限,变为相同的权限级别
reset 将命令的执行权限恢复为默认级别
Command-string表示你在所定义模式下允许操作的命令 (要授权的命令字符串)
将要授权的命令及其子命令(all)运行在级别 XX下,并且此命令只能在Mode模式下运行.
使用该命令的no选项可以将一条命令行权限恢复为默认值
no privilege mode [all] [level level] command-string
参考 http://wenku.baidu.com/view/a4a5971dc5da50e2524d7ff2.html
3. enable password level level [encryption-type] password-string
配置密码的时候应用此级别，代表使用此密码登陆自动进入所设定的级别中
4. do copy running-config startup-config
将配置保存
5. 测试命令
Disable 6
表示将当前高级别(默认为15)降低到级别6，用于测试命令是否生效
Enable 15
表示将当前低级别6恢复到高级别15
show privilege
察看当前的privilege级别
Privilege应用举例
Router(config)# privilege exec level 6 configure terminal
定义级别6能够在exec模式下使用命令configure terminal
Router(config)# privilege configure all level 6 rtr
定义级别6能够在configure模式下使用命令rtr命令以及rtr下的所有子命令
路由器本地验证数据库结合privilege创建
username cisco privilege 5 password cisco
表示用户名为cisco的用户使用password cisco登陆后，操作级别被限定在5
线路模式下的设置
Line vty 0 4
Password cisco 设置线路密码，所有人用此密码登陆
Privilege level 14 所有用此密码登陆的用户的级别被限定在14,注意当在使用login local时不会进入级别14.即当使用login local时,他是根据路由器本地验证数据库中的用户级别来登录的.
Login
Line vty 0 4
No login 登陆时不需要密码验证，直接登陆
Line vty 0 4
Login local 使用路由器本地验证数据库验证用户
结合实际的综合应用
有位网络管理人员希望用户以
用户名为 enhan
密码为 enhan
通过telnet的方式远程登陆到本地路由器，但是只赋予他某些特殊权限，如可以配置一些路由协议，但是不能进入到接口等其他模式
配置如下：
username enhan privilege 3 password 0 enhan
privilege configure all level 3 router
privilege exec level 3 configure terminal
line vty 0
password cisco
login local
在思科路由器中定义用户权限级别有两种方式：
第一种是直接定义不同级别的enable密码，用户都用默认的级别level 1，然后用户在登陆时用相应级别的enable密码即可进入相应的特权级；enable命令
第二种是在定义用户时直接设定此用户的特权级，此时用这组用户名和密码登陆即可直接进入到此级别下。username命令
要用哪种方式，就得根据具体的应用需求和使用环境来定，也可以一起使用。
级别1和15不用定义，这是系统默认就有的。
配置如下：
//为了方便理解和记忆，我定义了相同的用户名和密码，实际使用时要设置不同的密码!
//定义不同特权级别的密码
enable secret level 5 lv5(密码)
enable secret level 7 lv7
enable secret level 10 lv10
enable secret cisco //缺省是15级，没有限制。
//为不同用户定义不同的特权级和登陆密码
username test password test //一般用户缺省为level 1.
username ccna privilege 5 password ccna
username ccnp privilege 7 password ccnp
username ccie privilege 10 password ccie
username admin privilege 15 password admin
//为不同特权级分配不同的命令，开始先不配以下命令。
privilege exec level 5 configure
privilege configure level 7 interface
privilege interface level 10 ip address
//使用本地用户登陆
line vty 0 4
login local
测试时打开两个telnet进程，一个进入特权15级用于修改配置，另一个以不同的用户身份进入，测试并验证修改结果。
首先打开第一个telnet进程：
当以用户test身份登陆路由器时，缺省进入级别1，提示符为">"，然后用不同级别的enable密码即可进入相应的级别，命令为：enable level比如想进入级别10，就用enable 10，我们以特权15级进入(enable 15)；
再打开第二个telnet进程：
当以用户ccna身份登陆路由器时，直接就进入了级别5，提示符为"#"，输入"?"，列出了缺省级别5下能使用的命令，我们会发现没有"configure"命令，不能进入配置模式，接着在第一个telnet进程里配上"privilege exec level 5 configure"，重新以ccna登陆，发现此时可以用"configure"命令进入配置模式了；
当以用户ccnp身份登陆路由器时，直接就进入了级别7，提示符为"#"，输入"?"，列出了缺省级别7下能使用的命令，可以看到有"configure"命令，因为上面为级别5定义过了，而级别7比5高，所以也可以用，我们进入配置
模式，再输入"?"，可以看到配置模式下能用的命令，没有"interface"命令，再在第一个telnet进程里配上"privilege configure level 7 interface"，此时可以进入接口配置了，但不能用ip address命令；
同样在第一个telnet进程里配上"privilege interface level 10 ip address"，以用户ccie身份登陆路由器时，直接就进入了级别10，提示符为"#"，进入配置模式，接着进入某个接口下，此时能用ip address命令为接口配IP地址了；
当以用户admin身份登陆路由器时，直接就进入了级别15，提示符为"#"，此为最高特权级没有限制。