[转载]cisco 路由器访问权限的设置

zj2092

cisco 路由器访问权限的设置　　理解Privilege级别的含义
　　默认情况下Cisco IOS命令行模式下支持两种级别的接入命令user EXEC(级别1)模式和privileged EXEC(级别15)
　　在这0到15这16个级别中，每个级别下所能操作的命令是不一样的，数字约高，级别越高，所能操作的命令也越多
　　可以自己定义级别，及这些级别下所能操作的命令
　　Privilege命令的操作
　　配置步骤
　　1. configure terminal
　　在全局配置模式下配置，默认情况是privileged 15
　　2. privilege mode [all] {level level | reset } command-string
　　Mode定义在此级别下允许操作的模式 (要授权的命令所属的CLI命令模式)
　　   不同的设备,可授权的命令模式数量可能会发生变化,在全局配置模式下,可以使用privilege ?列出当前所有可授权的CLI命令模式
　　Level表示当前所要定义的级别 (指定命令或子命令的运行权限级别,级别的范围0-15)
　　[all]代表command-string命令下的子命令都可以使用，而不用一个一个指定 (将指定命令的所有子命令的权限,变为相同的权限级别
　　   reset 将命令的执行权限恢复为默认级别
　　Command-string表示你在所定义模式下允许操作的命令 (要授权的命令字符串)
　　   将要授权的命令及其子命令(all)运行在级别 XX下,并且此命令只能在Mode模式下运行.
　　 使用该命令的no选项可以将一条命令行权限恢复为默认值
　　  no privilege mode [all] [level level] command-string
　　参考 http://wenku.baidu.com/view/a4a5971dc5da50e2524d7ff2.html
　　3. enable password level level [encryption-type] password-string
　　配置密码的时候应用此级别，代表使用此密码登陆自动进入所设定的级别中
　　4. do copy running-config startup-config
　　将配置保存
　　5. 测试命令
　　Disable 6
　　表示将当前高级别(默认为15)降低到级别6，用于测试命令是否生效
　　Enable 15
　　表示将当前低级别6恢复到高级别15
　　show privilege
　　察看当前的privilege级别
　　   Privilege应用举例
　　Router(config)# privilege exec level 6 configure terminal
　　定义级别6能够在exec模式下使用命令configure terminal
　　Router(config)# privilege configure all level 6 rtr
　　定义级别6能够在configure模式下使用命令rtr命令以及rtr下的所有子命令
　　路由器本地验证数据库结合privilege创建
　　username cisco privilege 5 password cisco
　　表示用户名为cisco的用户使用password cisco登陆后，操作级别被限定在5
　　线路模式下的设置
　　Line vty 0 4
　　Password cisco 设置线路密码，所有人用此密码登陆
　　Privilege level 14 所有用此密码登陆的用户的级别被限定在14,注意当在使用login local时不会进入级别14.即当使用login local时,他是根据路由器本地验证数据库中的用户级别来登录的.
　　Login
　　Line vty 0 4
　　No login 登陆时不需要密码验证，直接登陆
　　Line vty 0 4
　　Login local 使用路由器本地验证数据库验证用户
　　   结合实际的综合应用
　　有位网络管理人员希望用户以
　　用户名为 enhan
　　密码为 enhan
　　通过telnet的方式远程登陆到本地路由器，但是只赋予他某些特殊权限，如可以配置一些路由协议，但是不能进入到接口等其他模式
　　配置如下：
　　username enhan privilege 3 password 0 enhan
　　privilege configure all level 3 router
　　privilege exec level 3 configure terminal
　　line vty 0
　　password cisco
　　login local
　　
　　在思科路由器中定义用户权限级别有两种方式：
　　第一种是直接定义不同级别的enable密码，用户都用默认的级别level 1，然后用户在登陆时用相应级别的enable密码即可进入相应的特权级；enable命令
　　第二种是在定义用户时直接设定此用户的特权级，此时用这组用户名和密码登陆即可直接进入到此级别下。username命令
　　要用哪种方式，就得根据具体的应用需求和使用环境来定，也可以一起使用。
　　级别1和15不用定义，这是系统默认就有的。
　　配置如下：
　　//为了方便理解和记忆，我定义了相同的用户名和密码，实际使用时要设置不同的密码!
　　//定义不同特权级别的密码
　　enable secret level 5 lv5(密码)
　　enable secret level 7 lv7
　　enable secret level 10 lv10
　　enable secret cisco //缺省是15级，没有限制。
　　//为不同用户定义不同的特权级和登陆密码
　　username test password test //一般用户缺省为level 1.
　　username ccna privilege 5 password ccna
　　username ccnp privilege 7 password ccnp
　　username ccie privilege 10 password ccie
　　username admin privilege 15 password admin
　　//为不同特权级分配不同的命令，开始先不配以下命令。
　　privilege exec level 5 configure
　　privilege configure level 7 interface
　　privilege interface level 10 ip address
　　//使用本地用户登陆
　　line vty 0 4
　　login local
　　测试时打开两个telnet进程，一个进入特权15级用于修改配置，另一个以不同的用户身份进入，测试并验证修改结果。
　　首先打开第一个telnet进程：
　　当以用户test身份登陆路由器时，缺省进入级别1，提示符为">"，然后用不同级别的enable密码即可进入相应的级别，命令为：enable level比如想进入级别10，就用enable 10，我们以特权15级进入(enable 15)；
　　再打开第二个telnet进程：
　　当以用户ccna身份登陆路由器时，直接就进入了级别5，提示符为"#"，输入"?"，列出了缺省级别5下能使用的命令，我们会发现没有"configure"命令，不能进入配置模式，接着在第一个telnet进程里配上"privilege exec level 5 configure"，重新以ccna登陆，发现此时可以用"configure"命令进入配置模式了；
　　当以用户ccnp身份登陆路由器时，直接就进入了级别7，提示符为"#"，输入"?"，列出了缺省级别7下能使用的命令，可以看到有"configure"命令，因为上面为级别5定义过了，而级别7比5高，所以也可以用，我们进入配置
　　模式，再输入"?"，可以看到配置模式下能用的命令，没有"interface"命令，再在第一个telnet进程里配上"privilege configure level 7 interface"，此时可以进入接口配置了，但不能用ip address命令；
　　同样在第一个telnet进程里配上"privilege interface level 10 ip address"，以用户ccie身份登陆路由器时，直接就进入了级别10，提示符为"#"，进入配置模式，接着进入某个接口下，此时能用ip address命令为接口配IP地址了；
　　当以用户admin身份登陆路由器时，直接就进入了级别15，提示符为"#"，此为最高特权级没有限制。