privilege权限级别的命令介绍及实例分析

privilege权限级别的命令介绍及实例分析

本篇的内容很早就想讲的，一方面是我觉得这个分析的有点细节了，另一方面是我有点忙，一直拖着拖着就留到今天了，借这个博客，给自己一个警告：当天事当天毕，负重前行的永远不止你一个。
本篇讲解一下有关privilege的命令介绍，以及各种级别的功能，方便我们以后对不同的用户赋予不同的权限。即保证对数据的安全性，也能保证操作的方便和合理性。

不同级别的命令

R1#enable 0 //进入0级别，仅有五条命令

R1#enable 1 //进入1级别，有40多条命令

R1#enable 2 //进入2级别，有40多条命令，但是和1级别的命令一致，也就是说2级别本身是没有命令的，但是高级别拥有低级别的全部命令，所以2-14这级别都有其1级别的命令。

privilege的调度

privilege的命令可以把某个级别的命令扣出来，放到对应的级别里面去，比如说2级别的命令没有configure terminal,可以将15级别的扣出来给2级别，下面看一下实例。

2级别没有configure terminal 命令，通过配置privilege。
R1>enable 15 //回到15级别
R1#configure terminal //进入特权模式
R1(config)#privilege exec //exec表示在什么位置所使用的命令exec就是代表#或者>。
R1(config)#privilege exec level 2 conf t//把conf t这条命令放到level 2
R1#enable 2 //进入级别2

此时就有conf t 命令了。

又比如我将level 15的ping命令调度给level 2，那么level1就不能够ping了，尽管他本来就有ping的。而级别大于2的依旧能够有ping命令。
实验：
R1#enable 1

R1(config)#privilege exec level 2 ping //把ping这条命令放到level 2。
R1#enable 1

privilege的等级切换

在没有enable 密码的情况下，默认高级别切换到低级别是无需密码的，而低级别切换到高级别就需要密码，若无密码则无法切换，提示报错。

假设2级别的想切换到3级别的，则需回到15级别为3级别配置一个密码。
R1(config)#enable secret level 3 csdn //为级别3设置enable密码为csdn

配置完成，来查看一下级别2切换到级别3。

成功切换。

Role-Base CLI View 介绍

view 相当于一个容器。把一些命令放到这个容器里面去。再把这个view关联到一个用户上面去。那么这个用
户就只能够使用这个view里面的命令。配置前，注意先开启AAA服务，不然会报错。
R1(config)#aaa new-model //开启AAA，如果不开启会报错
我们先进入view来查看其级别。进入enable view 之前主要需设置enable密码，不然认证会错误。
R1(config)#enable password cisco //设置enable密码

可以发现，这个级别是root级别，理论上是比15级别的权限还要高一些，而多出来的功能就是创建和管理view。
接着，我们来创建一个view，并且为其设置密码，授权命令。
R1#enable view
(输入密码)
R1#conf t
R1(config)#parser view csdn //建立一个名字为csdn的view
R1(config-view)#secret csdn//定义这个view的密码为csdn
R1(config-view)#commands exec include ping //授权ping的基本命令
R1(config-view)#commands exec include all ping //授权ping的所有命令
配置完成，来查看效果。

可以看到，上面我们为其授权的是ping的全部命令，所以这里所有ping的命令都可以配置，若是单单只授予ping的基本命令，则如下图所示

关联到本地用户登录

配置对应的权限，那么我们就需要相对于的用户密码来关联，使得对不同的用户授予不同的权限配置，下面我们就讲如何将两者关联。关联需将AAA关闭，不然无法关联到本地的用户即密码，详情可以参考本博主的AAA线下保护篇。
AAA线下保护
R1(config)#no aaa new-model //关闭aaa.
R1(config)#username cisco password cisco //创建设置用户名和密码。
R1(config)#username cisco view csdn //把View 的名字为csdn的view关联到用户cisco上
R1(config)#line console 0 //进入console口
R1(config-line)#login local //使用本地用户名和密码认证
配置完成，查看其效果。
退出特权模式再登入


可以看到，再次进入特权模式，我们就需要用户和密码，如上述命令所配置的用户和密码，输入完成，直接进入了view这个容器下的特权模式，查看其面命令效果，会发现如我们之前配置的csdn这个view所配置的权限一致。
注意：当我们在配置的时候直接输入下面这条命令，而没有去创建对应的用户和密码的时候，此时的密码为空：
R1(config)#username cisco view csdn

实例配置

配置IP地址
需求：需要给ccie用户一个六级的密码cisco，赋予其configure termina命令，除了本身命令，其它命令不执行。
配置命令：
username ccie privilege 6 password cisco
line vty 0 4
login local
enable secret level 6 cisco
privilege exec level 6 configure termina

配置完成，让R2telnetR1



本来级别6的是不具备conf t 命令的，通过配置赋予其权限。

需求2：
创建特权视图A，允许在EXEC模式下执行configure terminal ，在接口模式下只能配置fa0/1。其它配置一律否定
配置命令：
aaa new-model //开启aaa服务
enable password cisco //设置15级别的特权模式登录密码
enable view //进入view
conf t // 进入特权模式
parser view A //建立一个名字为A的view
secret A //设置密码为A
commands interface include shutdown
commands interface include ip address
commands interface include ip
commands interface include no shutdown
commands interface include no ip address
commands interface include no ip
commands interface include no
commands configure include interface
commands exec include configure terminal
commands exec include configure
commands exec include show
commands configure include interface FastEthernet0/1

把view关联到本地用户上。
no aaa new-model //关闭aaa.
username cjc password cjc //创建设置用户名和密码。
username cisco view A/把View 的名字为yehangyu的view关联到用户cisco上
line vty 0 4 //进入远程连接口
login local //使用本地用户名和密码认证

配置完成，查看，如需求，只能够int 接口。

最后

今天讲的内容有点鸡肋，感觉用处不大，作为一个知识的积累吧，感兴趣的同学可以尝试配置一下，说不定会有所收获