Nível diferente de comandos de configuração para usuários diferentes

Question

Gostaria de permitir que a equipe júnior faça algumas alterações na configuração em nossos roteadores Cisco. Eu não gosto muito de ter que divulgar a senha de ativação, mas se eu puder pelo menos mantê-los em alguns comandos de configuração, eu me sentiria melhor.

Eles só precisam ser capazes de ajustar uma declaração NAT / PAT na configuração. então eles precisam ser capazes de fazer o seguinte, por exemplo:

no ip nat inside source static tcp 192.168.1.**1** 9100 1.1.1.1 9101

ip nat inside source static tcp 192.168.1.**2** 9100 1.1.1.1 9101

Existe uma maneira de limitá-los apenas a esses tipos de comandos? Os roteadores são Cisco 1941 executando o IOS ver 15.0

    

Answer 1

Você precisa alterar o nível de privilégio dos comandos do padrão 15 (habilitar) para um nível inferior e, em seguida, fornecer a cada nome de usuário um nível de privilégio suficiente para executar esses comandos.

Algo como isso deve fazer o trabalho:

privilege configure level 6 ip nat
privilege configure level 6 ip
privilege exec level 6 configure terminal
privilege exec level 6 configure
username junior privilege 6 password 0 juniorpass

    

Answer 2

Dependendo do tamanho do seu grupo, a Cisco produz um produto para fazer exatamente isso chamado Cisco Secure Sistema de Controle de Acesso . Em essência, os administradores entrariam nos roteadores usando suas próprias contas pessoais e, toda vez que executassem um comando, o roteador perguntaria ao ACS se essa pessoa tinha permissão para executar esse comando. Permitindo assim que você seja extremamente granular no que os administradores podem fazer, além de dar a você a capacidade, no caso de uma situação infeliz, de desligar seu acesso a qualquer momento. Ele pode ser usado pelo RADIUS, para autenticação centralizada contra fontes como o Active Directory.