[转载]cisco 路由器访问权限的设置

原文地址:cisco 路由器访问权限的设置 作者:本风
cisco 路由器访问权限的设置

  理解Privilege级别的含义

  默认情况下Cisco IOS命令行模式下支持两种级别的接入命令user EXEC(级别1)模式和privileged EXEC(级别15)

  在这0到15这16个级别中,每个级别下所能操作的命令是不一样的,数字约高,级别越高,所能操作的命令也越多

  可以自己定义级别,及这些级别下所能操作的命令

  Privilege命令的操作

  配置步骤

  1. configure terminal

  在全局配置模式下配置,默认情况是privileged 15

  2. privilege mode [all] {level level | reset } command-string

  Mode定义在此级别下允许操作的模式 (要授权的命令所属的CLI命令模式)

    不同的设备,可授权的命令模式数量可能会发生变化,在全局配置模式下,可以使用privilege ?列出当前所有可授权的CLI命令模式

  Level表示当前所要定义的级别 (指定命令或子命令的运行权限级别,级别的范围0-15)

  [all]代表command-string命令下的子命令都可以使用,而不用一个一个指定 (将指定命令的所有子命令的权限,变为相同的权限级别

    reset 将命令的执行权限恢复为默认级别

  Command-string表示你在所定义模式下允许操作的命令 (要授权的命令字符串)

    将要授权的命令及其子命令(all)运行在级别 XX下,并且此命令只能在Mode模式下运行.

    使用该命令的no选项可以将一条命令行权限恢复为默认值

    no privilege mode [all] [level level] command-string

 参考 http://wenku.baidu.com/view/a4a5971dc5da50e2524d7ff2.html

  3. enable password level level [encryption-type] password-string

  配置密码的时候应用此级别,代表使用此密码登陆自动进入所设定的级别中

  4. do copy running-config startup-config

  将配置保存

  5. 测试命令

  Disable 6

  表示将当前高级别(默认为15)降低到级别6用于测试命令是否生效

  Enable 15

  表示将当前低级别6恢复到高级别15

  show privilege

  察看当前的privilege级别

  

    Privilege应用举例

  Router(config)# privilege exec level 6 configure terminal

  定义级别6能够在exec模式下使用命令configure terminal

  Router(config)# privilege configure all level 6 rtr

  定义级别6能够在configure模式下使用命令rtr命令以及rtr下的所有子命令

  路由器本地验证数据库结合privilege创建

  username cisco privilege 5 password cisco

  表示用户名为cisco的用户使用password cisco登陆后,操作级别被限定在5

  线路模式下的设置

  Line vty 0 4

  Password cisco 设置线路密码,所有人用此密码登陆

  Privilege level 14 所有用此密码登陆的用户的级别被限定在14,注意当在使用login local时不会进入级别14.即当使用login local时,他是根据路由器本地验证数据库中的用户级别来登录的.

  Login

  Line vty 0 4

  No login 登陆时不需要密码验证,直接登陆

  Line vty 0 4

  Login local 使用路由器本地验证数据库验证用户

  

    结合实际的综合应用

  有位网络管理人员希望用户以

  用户名为 enhan

  密码为 enhan

  通过telnet的方式远程登陆到本地路由器,但是只赋予他某些特殊权限,如可以配置一些路由协议,但是不能进入到接口等其他模式

  配置如下:

  username enhan privilege 3 password 0 enhan

  privilege configure all level 3 router

  privilege exec level 3 configure terminal

  line vty 0

  password cisco

  login local

 

在思科路由器中定义用户权限级别有两种方式
第一种是直接定义不同级别的enable密码用户都用默认的级别level 1,然后用户在登陆时用相应级别的enable密码即可进入相应的特权级;enable命令
第二种是在定义用户时直接设定此用户的特权级,此时用这组用户名和密码登陆即可直接进入到此级别下。username命令
要用哪种方式,就得根据具体的应用需求和使用环境来定,也可以一起使用

级别1和15不用定义,这是系统默认就有的

配置如下:
//为了方便理解和记忆,我定义了相同的用户名和密码,实际使用时要设置不同的密码!

//定义不同特权级别的密码
enable secret level 5 lv5(密码)
enable secret level 7 lv7
enable secret level 10 lv10
enable secret cisco //缺省是15级,没有限制。

//为不同用户定义不同的特权级和登陆密码
username test password test //一般用户缺省为level 1.
username ccna privilege 5 password ccna
username ccnp privilege 7 password ccnp
username ccie privilege 10 password ccie
username admin privilege 15 password admin

//为不同特权级分配不同的命令,开始先不配以下命令。
privilege exec level 5 configure
privilege configure level 7 interface
privilege interface level 10 ip address

//使用本地用户登陆
line vty 0 4
login local

测试时打开两个telnet进程,一个进入特权15级用于修改配置,另一个以不同的用户身份进入,测试并验证修改结果。

首先打开第一个telnet进程:
当以用户test身份登陆路由器时,缺省进入级别1,提示符为">",然后用不同级别的enable密码即可进入相应的级别,命令为:enable level比如想进入级别10,就用enable 10,我们以特权15级进入(enable 15);

再打开第二个telnet进程:
当以用户ccna身份登陆路由器时,直接就进入了级别5,提示符为"#",输入"?",列出了缺省级别5下能使用的命令,我们会发现没有"configure"命令,不能进入配置模式,接着在第一个telnet进程里配上"privilege exec level 5 configure",重新以ccna登陆,发现此时可以用"configure"命令进入配置模式了;

当以用户ccnp身份登陆路由器时,直接就进入了级别7,提示符为"#",输入"?",列出了缺省级别7下能使用的命令,可以看到有"configure"命令,因为上面为级别5定义过了,而级别7比5高,所以也可以用,我们进入配置
模式,再输入"?",可以看到配置模式下能用的命令,没有"interface"命令,再在第一个telnet进程里配上"privilege configure level 7 interface",此时可以进入接口配置了,但不能用ip address命令;

同样在第一个telnet进程里配上"privilege interface level 10 ip address",以用户ccie身份登陆路由器时,直接就进入了级别10,提示符为"#",进入配置模式,接着进入某个接口下,此时能用ip address命令为接口配IP地址了;

当以用户admin身份登陆路由器时,直接就进入了级别15,提示符为"#",此为最高特权级没有限制。

你可能感兴趣的:(转载)