Muitos não sabem, mas é possível trabalhar com até 16 níveis de privilégio diferentes no Cisco IOS. A vantagem disso é que você pode controlar o acesso a um elemento de rede por um usuário (ou grupo de usuários), definindo exatamente quais comandos este está autorizado à utilizar.

Pelo menos dois níveis são bem conhecidos. São eles:

1. Modo usuário: privilege level 1
2. Modo privilegiado: privilege level 15

Quando um usuário acessa um router (ou um switch), ele automaticamente é colocado no primeiro nível (level 1). Ao se digitar “enable”, acessa-se o nível 15 (level 15).

Alguns comandos úteis:

Show privilege: Apresenta o atual nível de privilégio em que você se encontra. Exemplo:

router# show privilege
Current privilege level is 3

Enable: Este comando normalmente E utilizado para acessar o modo privilegiado (level 15), mas ele também pode ser usado para acessar qualquer outro nível. Exemplo:

router# show privilege
Current privilege level is 3
router# enable 1
router> show privilege
Current privilege level is 1
router>

Username: Este comando adiciona usuários,mas também pode informar qual o nível de acesso que este usuário terá após efetuar o login. Exemplo:

router(config)# username ccna password ccna privilege 3

Enable secret: Em modo default, este comando configura uma senha para ser utilizada com o nível 15 de acesso. Entretanto, este comando pode também ser usado para a criação de senhas para outros níveis. Exemplo:

router(config)# enable secret level 5 senha5

Privilege: Este comando é usado para se definir quais comandos estarão disponíveis apenas a alguns níveis. Exemplo:

router(config)# privilege exec level 3 show startup-config

Existem vários modos nos quais o comando privilege pode ser aplicado. “EXEC” é apenas 1 deles:

router(config)# privilege ?
[…]
  configure Global configuration mode
[…]
  exec Exec mode
[…]

O mesmo comando pode ser usado para alterar o nível de privilégio default de uma determinada linha (como a console, por exemplo). Exemplo:

router(config)# line con 0
router(config-line)# privilege level 3

Para finalizar este artigo, suponhamos que você deseje autorizar o uso estendido dos comandos “ping“e “traceroute“, assim como a configuração de endereços IP em interfaces e a ativação (no shut) e desativação (shut) de interfaces para um determinado usuário. Como se configuraria isso utilizando privilégios no IOS?

Eis a solução:

router(config)# enable secret level 3 ccna
router(config)# privilege exec level 3 ping
router(config)# privilege exec level 3 traceroute
router(config)# privilege exec level 3 configure terminal
router(config)# privilege configure level 3 interface
router(config)# privilege configure level 3 ip
router(config)# privilege configure level 3 address
router(config)# privilege configure level 3 no
router(config)# privilege configure level 3 shutdown

Quando o usuário digitar:

router> enable 3

Ele deverá digitar a senha “ccna” e terá acesso apenas aos comandos definidos (assim como outros, pré-definidos).

Se quiser desautorizar algum comando pré-autorizado à um determinado nível, basta definí-lo em outro nível, mais alto. Por exemplo, se quisermos proibir o uso do comando “show” no nível 3, basta fazer o seguinte:

router(config)# privilege exec level 15 sh

Automaticamente, usuários do nível 3 não tem mais acesso ao comando em questão.

Espero que tenham gostado deste post!

Abs!

Marco Filippetti

fonte: http://www.cisco.com/en/US/docs/ios/12_2/security/configuration/guide/scfpass.html

• 10 dicas “quentes” relacionadas ao Cisco IOS
• Ativando SSH em Roteadores Cisco
• Cisco IOS IP SLA tool
• IP subnet-zero no exame CCNA
• Segurança Básica do seu Router em 10 Passos
• Auto-Segurança em roteadores Cisco
• Configuração de VLANs e VTP SEM usar o VLAN Database mode, no Dynamips
• Gerenciamento de Rede Fora de Banda (OOB - Out-Of-Band)
• Implementando Pequenas Redes com Cisco
• Questão CCNA - Access-List

Este post foi postado Saturday, 3 de May de 2008 às 7:04 pm e está em Curiosidades, Artigos. Você pode verificar qualquer resposta a este post através do feed RSS 2.0. Você pode ir até o final e deixar uma resposta. Pings não são permitidos.