[转载]cisco 路由器访问权限的设置_亮仔_新浪博客

原文地址：cisco路由器访问权限的设置作者：本风2 cisco 路由器访问权限的设置

理解Privilege级别的含义

默认情况下Cisco IOS命令行模式下支持两种级别的接入命令user EXEC(级别1)模式和privileged EXEC(级别15)

在这0到15这16个级别中，每个级别下所能操作的命令是不一样的，数字约高，级别越高，所能操作的命令也越多

可以自己定义级别，及这些级别下所能操作的命令

Privilege命令的操作

配置步骤

1. configure terminal

在全局配置模式下配置，默认情况是privileged 15

2. privilege mode [all] {level level | reset } command-string

Mode定义在此级别下允许操作的模式 (要授权的命令所属的CLI命令模式)

不同的设备,可授权的命令模式数量可能会发生变化,在全局配置模式下,可以使用privilege ?列出当前所有可授权的CLI命令模式

Level表示当前所要定义的级别 (指定命令或子命令的运行权限级别,级别的范围0-15)

[all]代表command-string命令下的子命令都可以使用，而不用一个一个指定 (将指定命令的所有子命令的权限,变为相同的权限级别

reset 将命令的执行权限恢复为默认级别

Command-string表示你在所定义模式下允许操作的命令 (要授权的命令字符串)

将要授权的命令及其子命令(all)运行在级别 XX下,并且此命令只能在Mode模式下运行.

使用该命令的no选项可以将一条命令行权限恢复为默认值

noprivilege mode [all] [level level]command-string

参考 /view/a4a5971dc5da50e2524d7ff2.html

3. enable password level level [encryption-type] password-string

配置密码的时候应用此级别，代表使用此密码登陆自动进入所设定的级别中

4. do copy running-config startup-config

将配置保存

5. 测试命令

Disable 6

表示将当前高级别(默认为15)降低到级别6，用于测试命令是否生效

Enable 15

表示将当前低级别6恢复到高级别15

show privilege

察看当前的privilege级别

Privilege应用举例

Router(config)# privilege exec level 6 configure terminal

定义级别6能够在exec模式下使用命令configure terminal

Router(config)# privilege configure all level 6 rtr

定义级别6能够在configure模式下使用命令rtr命令以及rtr下的所有子命令

路由器本地验证数据库结合privilege创建

username cisco privilege 5 password cisco

表示用户名为cisco的用户使用password cisco登陆后，操作级别被限定在5

线路模式下的设置

Line vty 0 4

Password cisco 设置线路密码，所有人用此密码登陆

Privilege level 14所有用此密码登陆的用户的级别被限定在14,注意当在使用login local时不会进入级别14.即当使用login local时,他是根据路由器本地验证数据库中的用户级别来登录的.

Login

Line vty 0 4

No login 登陆时不需要密码验证，直接登陆

Line vty 0 4

Login local 使用路由器本地验证数据库验证用户

结合实际的综合应用

有位网络管理人员希望用户以

用户名为 enhan

密码为 enhan

通过telnet的方式远程登陆到本地路由器，但是只赋予他某些特殊权限，如可以配置一些路由协议，但是不能进入到接口等其他模式

配置如下：

username enhan privilege 3 password 0 enhan

privilege configure all level 3 router

privilege exec level 3 configure terminal

line vty 0

password cisco

login local

在思科路由器中定义用户权限级别有两种方式：

第一种是直接定义不同级别的enable密码，用户都用默认的级别level 1，然后用户在登陆时用相应级别的enable密码即可进入相应的特权级；enable命令

第二种是在定义用户时直接设定此用户的特权级，此时用这组用户名和密码登陆即可直接进入到此级别下。username命令

要用哪种方式，就得根据具体的应用需求和使用环境来定，也可以一起使用。

级别1和15不用定义，这是系统默认就有的。

配置如下：

//为了方便理解和记忆，我定义了相同的用户名和密码，实际使用时要设置不同的密码!

//定义不同特权级别的密码

enable secret level 5 lv5(密码)

enable secret level 7 lv7

enable secret level 10 lv10

enable secret cisco //缺省是15级，没有限制。

//为不同用户定义不同的特权级和登陆密码

username test password test //一般用户缺省为level 1.

username ccna privilege 5 password ccna

username ccnp privilege 7 password ccnp

username ccie privilege 10 password ccie

username admin privilege 15 password admin

//为不同特权级分配不同的命令，开始先不配以下命令。

privilege exec level 5 configure

privilege configure level 7 interface

privilege interface level 10 ip address

//使用本地用户登陆

line vty 0 4

login local

测试时打开两个telnet进程，一个进入特权15级用于修改配置，另一个以不同的用户身份进入，测试并验证修改结果。

首先打开第一个telnet进程：

当以用户test身份登陆路由器时，缺省进入级别1，提示符为">"，然后用不同级别的enable密码即可进入相应的级别，命令为：enable level比如想进入级别10，就用enable 10，我们以特权15级进入(enable 15)；

再打开第二个telnet进程：

当以用户ccna身份登陆路由器时，直接就进入了级别5，提示符为"#"，输入"?"，列出了缺省级别5下能使用的命令，我们会发现没有"configure"命令，不能进入配置模式，接着在第一个telnet进程里配上"privilege exec level 5 configure"，重新以ccna登陆，发现此时可以用"configure"命令进入配置模式了；

当以用户ccnp身份登陆路由器时，直接就进入了级别7，提示符为"#"，输入"?"，列出了缺省级别7下能使用的命令，可以看到有"configure"命令，因为上面为级别5定义过了，而级别7比5高，所以也可以用，我们进入配置

模式，再输入"?"，可以看到配置模式下能用的命令，没有"interface"命令，再在第一个telnet进程里配上"privilege configure level 7 interface"，此时可以进入接口配置了，但不能用ip address命令；

同样在第一个telnet进程里配上"privilege interface level 10 ip address"，以用户ccie身份登陆路由器时，直接就进入了级别10，提示符为"#"，进入配置模式，接着进入某个接口下，此时能用ip address命令为接口配IP地址了；

当以用户admin身份登陆路由器时，直接就进入了级别15，提示符为"#"，此为最高特权级没有限制。

如果觉得《[转载]cisco 路由器访问权限的设置_亮仔_新浪博客》对你有帮助，请点赞、收藏，并留下你的观点哦！