Как сделать пользователя в циско
Обновлено: 08.07.2024
Возникают ситуации, когда требуется разрешить доступ сторонним администраторам или подрядчикам или просто разграничить права между администраторами сетевых железок. У Cisco имеется механизм разграничения прав. Попробую рассказать на коротком примере.
Пример следующий: Внешнему пользователю требуется на некоторых портах коммутатора сменить voice vlan и сохранить данную конфигурацию.
Какие действия потребуются в таком случае от администратора железки?
Для начала создаем пользователя с ограниченными правами, в примере даем имя пользователя user и пароль 123456:
затем задаем пароль password для привилегированного режима 3 уровня (по умолчанию привилегированный режим имеет 15 уровень, на 15 уровне доступны все команды):
После этого нам потребуется определить список команд, который потребуется для осуществления поставленной задачи и разрешить эти команды на 3 уровне привилегий.
Команды которые потребуются в режиме консоли:
- Переход к режиму конфигурации
- Просмотр текущей конфигурации
- Сохранение изменений в конфигурации
Из конфигурационного режима требуется разрешение на команду перехода к настройке интерфейса:
и наконец из режима конфигурации интерфейса потребуются команды на отключение интерфейса и смену voice VLAN:
После этого сохраняем конфигурацию и делаем попытку авторизоваться под пользователем с ограниченными привилегиями:
После входа должны быть доступны только объявленные команды.
Разграничение прав пользователей на коммутаторах Cisco : 1 комментарий
С командой show run не работает, показывает урезанный конфиг, помогло только если добавить show conf, это стартап конфиг, но хоть что-то, лучше чем давать больше прав
Рассмотрим простейший случай, когда требуется подключить 3 отдела фирмы в разные логические сети Vlan, используя один коммутатор уровня доступа Cisco 2960 (Иногда такие коммутаторы называются коммутаторами 2го уровня модели OSI) .
Требуется организовать следующие сети (Vlan):
— отдел продаж (192.168.10.0 255.255.255.0)
— бухгалтерия (192.168.20.0 255.255.255.0)
— администраторы (192.168.100.0 255.255.255.0)
— сеть для управления сетевым оборудованием (192.168.1.0 255.255.255.0)
Видео версия этой статьи на английском языке.
Для справки:
Устройства 2го уровня способны передавать данные только внутри одной сети и осуществляют передачу на основе информации о MAC адресах (например внутри сети 192.168.0.0 /24).
Устройства 3го уровня (например коммутатор Cisco 3560) способны маршрутизировать данные на основе информации об ip адресах и передавать их между различными сетями (например между сетью 192.168.1.0 /24 и сетью 192.168.2.0 /24).
Шаг 0. Очистка конфигурации
(Выполняется только с новым или тестовым оборудованием, так как ведет к полному удалению существующей конфигурации)
После извлечения коммутатора из коробки, подключаемся к нему с помощью консольного кабеля и очищаем текущую конфигурацию, зайдя в привилегированный режим и выполнив команду write erase. (Подробнее о режимах конфигурирования оборудования Cisco можно прочитать в этой статье)
Шаг 1. Имя коммутатора
Присвоим коммутатору имя SW-DELTACONFIG-1. (SW – сокращение названия SWitch) Для этого зайдем в режим конфигурирования и введем следующие команды:
Шаг 2. Интерфейс для удаленного управления
Настраиваем интерфейс для управления коммутатором. По умолчанию это Vlan 1. Для этого присваиваем ip адрес интерфейсу и включаем его командой no shutdown.
Шаг 3. Авторизация пользователей
Создаем учетную запись для удаленного управления и пароль для нее
username admin secret YYYYY
Проверку удаленного доступа можно осуществить , запустив из командной строки рабочей станции команду telnet 192.168.1.11. Должен появиться диалог запроса логина и пароля.
После того, как убедитесь, что устройство доступно по протоколу Telnet рекомендую настроить защищенный доступ по протоколу SSH. Подробные инструкции приведены в этой статье.
Шаг 4. Создание Vlan
Сеть Vlan 1 всегда присутствует на коммутаторе по умолчанию. Она будет использоваться для удаленного управления.
Убеждаемся, что все созданные нами сети присутствуют в списке.
Шаг 5. Привязка портов
Соотносим порты доступа коммутатора (access port) нужным сетям. На коммутаторе из примера 24 порта FastEthernet и 2 порта Gigabit Ethernet. Для подключения пользователей будут использоваться только Fast Ethernet.
Распределим их следующим образом:
Введенными командами мы разделили один физический коммутатор на 4 логических (Vlan 1, Vlan 10, Vlan 20 и Vlan 100).
Важно!
Взаимодействие без использования маршрутизатора будет осуществляться только(!) между портами, принадлежащими одному и тому же Vlan.
Рабочие станции, подключенные в порты, принадлежащие разным Vlan, не смогут взаимодействовать друг с другом даже если будет настроена адресация из одной сети.
Если система не принимает последнюю строчку, то это значит, что режим dot1q – единственно возможный, и он настроен по умолчанию.
После выполнения всех описанных действий для проверки подключите две рабочие станции в порты, принадлежащие одному Vlan, например с номером 100, установите на них ip адреса 192.168.100.1 и 192.168.100.2, после чего запустите ping с одной из них на другую. Успешный ответ означает, что все работает как нужно.
Для справки:
Существуют модели коммутаторов 3го уровня модели OSI (Например Cisco 3560), которые объединяют в себе функции коммутатора 2го уровня (access или уровня доступа) и маршрутизатора (устройства 3го уровня). Устройства 3го уровня используются для передачи данных между различными сетями и руководствуются информацией об ip адресах.
Решение аналогичной задачи организации нескольких Vlan на таком коммутаторе рассмотрено в этой статье)
Важно!
Способы подключения
В Packet Tracer’e управлять оборудованием можно следующими способами:
Интерфейс последних трёх идентичный – отличается лишь способ подключения. Разумеется, GUI – не наш метод.
В реальной же жизни доступны:
- Telnet/ssh
- Терминальное подключение с рабочей станции через консольный кабель
- Web-интерфейс (Cisco SDM).
Последний вариант даже не упоминайте в приличном обществе. Даже если вы адепт мыши и браузера, очень не советую.
На своём примере при работе с другим оборудованием я сталкивался с тем, что настроенное через веб не работает. Хоть ты тресни, но не работает. А у того же длинка вообще был баг в одной версии прошивки для свичей: если изменить настройки VLAN в веб-интерфейсе из под линукс, то свич становится недоступным для управления. Это официально признанная проблема).
Телнет – стандартная, всем известная утилита, как и ssh. Для доступа к cisco по этим протоколам нужно настроить пароли доступа, об этом позже. Возможность использования ssh зависит от лицензии IOS.
Управление по консоли
Ну вот принесли вы маршрутизатор, распечатали, питание на него дали. Он томно зашумел кулерами, подмигивает вам светодиодами своих портов. А чего дальше-то делать?
Воспользуемся один из древнейших и нестареющих способов управления практически любым умным устройством: консоль. Для этого вам нужен компьютер, само устройство и подходящий кабель. Тут каждый вендор на что горазд. Какие только разъёмы они не используют: RJ-45, DB-9 папа, DB-9 мама, DB-9 с нестандартной распиновкой, DB-25.
У циски используется разъём RJ-45 на стороне устройства и DB-9 мама (для подключения к COM-порту) на стороне ПК.
Консольный порт выглядит так: Всегда выделен голубым цветом. С недавних пор стало возможным управление по USB.
А это консольный кабель cisco: Раньше он поставлялся в каждой коробке, теперь зачастую стоит отдельных денег. В принципе подходит аналогичный кабель от HP.
Проблема в том, что современные ПК зачастую не имеют COM-порта. На выручку приходят часто используемые конвертеры USB-to-COM: Либо редко используемые для этих целей конвертеры RS232-Ethernet После того, как вы воткнули кабель, определили номер COM-порта, для подключения можно использовать Hyperterminal или Putty в Виндоус и Minicom в Линукс.
Управление через консоль доступно сразу, а вот для телнета нужно установить пароль. Как это сделать?
Обратимся к PT.
Начнём с создания маршрутизатора: выбираем его на панели внизу и переносим на рабочее пространство. Даём какое-нибудь название Что бы вы делали, если бы это был самый взаправдашний железный маршрутизатор? Взяли бы консольный кабель и подключились им в него и в компьютер. То же самое сделаем и тут: Кликом по компьютеру вызываем окно настройки, в котором нас интересует вкладка Desktop. Далее выбираем Terminal, где нам даётся выбор параметров Впрочем, все параметры по умолчанию нас устраивают, и менять их особо смысла нет.
Если в энергонезависимой памяти устройства отсутствует конфигурационный файл (startup-config), а так оно и будет при первом включении нового железа, нас встретит Initial Configuration Dialog prompt: Вкратце, это такой визард, позволяющий шаг за шагом настроить основные параметры устройства (hostname, пароли, интерфейсы). Но это неинтересно, поэтому отвечаем no и видим приглашение
Это стандартное совершенно для любой линейки cisco приглашение, которое характеризует пользовательский режим, в котором можно просматривать некоторую статистику и проводить самые простые операции вроде пинга. Ввод знака вопроса покажет список доступных команд: Грубо говоря, это режим для сетевого оператора, инженера первой линии техподдержки, чтобы он ничего там не повредил, не напортачил и лишнего не узнал. Гораздо большие возможности предоставляет режим с говорящим названием привилегированный. Попасть в него можно, введя команду >enable. Теперь приглашение выглядит так:
В режиме глобальной конфигурации не выполняются довольно нужные порой команды других режимов (тот же show running-config, ping, etc.). Но есть такая полезная штука, как do. Благодаря ей мы можем, не выходя из режима конфигурирования, выполнять эти самые команды, просто добавляя перед ними do. Примерно так:
Настройка доступа по Telnet
Из этого-то режима мы и настроим интерфейс для подключения компьютера через telnet:
Команда для перехода в режим конфигурации интерфейса FastEthernet 0/0:
Основные команды по настройке и эксплуатации маршрутизаторов Cisco
Маршрутизаторы серии Cisco 1601 служат для подключения небольших офисов, в которых развернута локальная сеть Ethernet, к Internet и к внутренней сети компании, или к корпоративной локальной сети через несколько подключений глобальных сетей, таких как ISDN, асинхронные последовательные и синхронные последовательные.
Cisco 1601 имеет один Ethernet-порт, один встроенный WAN-порт и один слот для необязательного второго WAN-порта.
Слот для интерфейсного модуля позволяет потребителю изменить тип или добавить ещё один порт на машрутизаторе, в случае изменения потребностей или цен на услуги компаний-провайдеров линий связи. Поэтому серия маршрутизаторов Cisco 1600 предлагает более широкую гибкость по сравнению с другими продуктами этого же класса. Последовательный порт на модели 1601 и интерфейсной карте может работать в следующих режимах:
- Асинхронный со скоростями до 115.2 Кб/с по коммутируемой телефонной линии (протоколы PPP, SLIP)
- Синхронный со скоростями до 2.048 Мб/с по выделенной линии (протоколы Frame Relay, SMDS, X.25, HDLC, LAPB, PPP)
Cisco 1601: вид сзади
Маршрутизаторы Cisco 2500
Маршрутизаторы серии Cisco 2509 предназначенны как для использования в небольшом офисе, так и в сетях с удаленными узлами.
Модель оснащена двумя из следующих интерфейсов:
- 1 Ethernet
- 2 Синхронный последовательный
- 8 Асинхронный последовательный
Маршрутизаторы серии Cisco 2500 оснащены Flash-памятью технологии EPROM, которая применяется для хранения программных образов и обеспечивает их легкую модернизацию.
Эти системы могут работать с разнообразными программными комплектами (feature set) операционной системы Cisco IOS, поэтому заказчик может выбрать комплект программ, соответствующий конкретным протоколам, применяемым в его сети. Программные комплекты имеют очень широкий спектр - от простых IP и мостовых соединений до полного набора функциональных возможностей ПО фирмы Cisco, включая APPN и RMON.
Все модели, за исключением комбинированных с концентратором, имеют AUI разъём Ethernet-портов. Синхронные порты имеют универсальный DB-60 разъем, а тип порта определяется подключаемым кабелем (V.35, RS-232, и т.д.). Асинхронные порты на серверах доступа собраны по 8 портов в 68 контактные разъёмы. На корпусе также имеется терминальный порт с разъёмом RJ-45, а также порт AUX, который можно использовать либо для удалённого управления маршрутизатором, либо как асинхронный порт для резервной линии связи.
Cisco 2511: вид сзади
2 . Начало работы с маршрутизатором Cisco
Конфигурирование осуществляется следующими способами:
1. Командный интерфейс:
telnet Router - имя Cisco
имя-Cisco>
с терминала: conf term
NVRAM: conf memory
из сети: conf network
3. ClickStart (конфигурирование Cisco 1003, 1004 и 1005).
Общие сведения о командном языке:
1. help - в любой момент можно ввести "?" - киска в ответ выдаст список команд или операндов.
2. Любое ключевое слово или имя можно сокращать до минимально возможного.
3. Если терминал нормально настроен, то можно редактировать командную строку как в emacs или bash ( как в UNIX ).
4. Почти каждую команду можно предварять словом no, если Вы собираетесь отказаться от команды.
Уровни привилегий: предусмотрено 16 уровней привилегий - от 0 до 15. Если не производить дополнительной настройки, то уровень 0 - это уровень пользователя: доступны только "безопасные" команды. Уровень 15 - это уровень супервизора: доступны все команды. Переходим с уровня на уровень по команде:
enable [номер уровня]
Любую команду можно перевести на уровень, отличный от стандартного; любому пользователю можно назначить определенный уровень, устанавливаемый при входе на киску этого пользователя; таким образом права пользователей можно тонко настраивать (только help-ом при этом тяжело пользоваться).
Режимы командного языка:
1. Режим пользователя
2. Привилегированный режим:
1. верхний уровень
2. режим глобальной конфигурации: 1. собственно верхний уровень конфигурирования
2. конфигурирование интерфейса 1. конфигурирование интерфейса
2. конфигурирование подинтерфейсa (serial в режиме Frame Relay)
3. конфигурирование контроллера (T1)
4. конфигурирование хаба (cisco 2500 - ethernet)
5. конфигурирование списка карт (ATM и FrameRelay)
6. конфигурирование класса карт (Quality of Service over Switched Virtual Circuit - ATM, FrameRelay или dialer)
7. конфигурирование линий
8. конфигурирование маршрутизатора (bgp, egp, igrp, eigrp, is-is, iso-igrp, mobile, OSPF, RIP, static)
9. конфигурирование IPX-маршрутизатора
10. конфигурирование карт маршрутизатора
11. конфигурирование ключевых цепочек с его подрежимами (RIP authentication)
12. конфигурирование генератора отчетов о времени ответа
13. конфигурирование БД LANE (ATM)
14. режим команд APPN с его подрежимами (advance peer-to-peer Networking - второе поколение SNA)
15. режим команд присоединения канала IBM с его подрежимами (Cisco 7000 с CIP)
16. режим команд сервера TN3270
17. конфигурирование списков доступа (для именованых IP ACL) 18.режим шестнадцатеричного ввода (задание публичного ключа для шифровки)
19. конфигурирование карт шифровки
3. ROM монитор (нажать break в первые 60 секунд загрузки, тоже есть help).
Редактирование командной строки
2.1 Подключение к маршрутизатору и начало работы
2.2 Восстановление забытого enable secret password
В случае утери пароля следует выключить маршрутизатор и снова включить.
1. послать Break в первые 60 секунд после включения питания. Сигнал Break посылается в зависимости от используемого терминала или Ctrl Break или Ctrl ^ C (можно найти в настройках терминала)
2. изменить регистры загрузки. Вы попадаете в другой режим, так называемый ROM Monitor режим с приглашением > После этого следует ввести команду (в зависимости от Cisco):
3 . Работа с флэш-памятью (в ней лежит и из нее выполняется IOS) и NVRAM (конфигурация)
На Cisco работает ТРИ программы: ROM монитор (это загрузчик и отладчик -тупой до безобразия - попадаем в него если соответствующим образом установлен регистр конфигурации или нажал BREAK во время загрузки и это не запрещено); boot ROM - система в ROM (урезанная и очень старая система IOS - 9.1 - если не удалось найти более подходящую во флэш или по сети или ручная загрузка из ROM монитора) и система во флэш - версия, которуя сам поставил. Конфигурация хранится в NVRAM. Еще есть оперативная память, используемая для хранения данных (IOS выполняется прямо из ROM). Внимание: пароль администратора в IOS 9.1 задается командой "enable password", а не "enable secret"!
В руководстве делается предупреждение, что на Sun'е сервер TFTP должен быть настроен так, чтобы генерировать и проверять контрольные суммы UDP (я ничего не делал). Везде вместо TFTP можно использовать rcp (rsh), но мне лениво следить за безопасностью в этом случае. Посмотреть, что там лежит: show flash all
System flash directory:
File Length Name/status
addr fcksum ccksum
1 3243752 igs-i-l.110-1
0x40 0xB5C4 0xB5C4
[3243816 bytes used, 950488 available, 4194304 total]
4096K bytes of processor board System flash (Read ONLY)
Chip Bank Code Size Name
1 1 89A2 1024KB INTEL 28F008SA
2 1 89A2 1024KB INTEL 28F008SA
3 1 89A2 1024KB INTEL 28F008SA
4 1 89A2 1024KB INTEL 28F008SA
Executing current image from System flash
System flash directory:
File Length Name/status
1 5010180 c2500-ras-113.6
[5010244 bytes used, 3378364 available, 8388608 total]
Address or name of remote host 172.16.150.2
Source file name? c2500-ras-113.6 name of file in flash
Destination file name [c2500-ras-113.6] y
Accessing file 'c2500-ras-113.6' on 172.16.150.2.
Проверяет наличие файла на TFTP сервера.
Загрузить конфигурацию с tftp: copy tftp startup-config/running-config (по-моему, если грузить текущую конфигурацию, то происходит не копирование, а слияние).
Копировать из tftp во флэш (если достаточно памяти. ): copy tftp flash
Понятное дело, что если IOS выполняется из флэш, то грузить новое (заходить только с консоли - иначе ничего не увидишь, и об ошибках не узнаешь ;). После этого надо сохранить конфигурацию (copy run start). А все-таки интересно, как выбираться из ситуации, если что-то получилось не так. Кстати, рекомендуется сохранить конфигурацию куда-нибудь на tftp перед изменением флэша. p.s. все-таки можно было бы сделать и загрузившись из ROM (только не ROM монитор, а ROM IOS), если задать в регистре конфигурации младшие 4 бита равными 0-0-0-1.
Посмотреть состояние: show version
Проверить контрольную сумму: verify flash
Повторно выполнить конфигурационный файл: configure memory
Очистить конфигурацию: erase startup
Посмотреть текущую/загрузочную конфигурацию: show run/start
В NVRAM записываются только параметры, отличные от параметров по умолчанию. Параметры по умолчанию различны для различных версий, так что при смене версии бывает очень интересно ;)
На TFTP cервер можно скидывать и загружать с него файлы конфигурации, образ операционной системы (IOS), что является очень удобным прикаких либо неполадках.
4 . Настройка синхронных интерфейсов Serial для X25
5 . AAA (authentication, authorization, accounting), tacacs+, RADIUS
authentication
authorization
Проверка прав доступа (полномочий) производится в случаях:
- exec (атрибуты терминальной сессии)
- command (проверка прав на исполнение команд, в т.ч. конфигурации) network (соединение PPP, SLIP, ARAP)
- reverse access (для обратного telnet, установление личности потребуется в любом случае), только tacacs+ или radius
accounting
6 . Настройка асинхронного интерфейса и линий
7 . Управление и мониторинг
Можно всегда посмотреть по команде show ?
Эта команда показывает, какие события можно просмотреть.
show async status
show interface async номер
show compress
show controller имя-контроллера
show interface accounting
show interface тип номер
clear counters тип номер
show protocols
show version
clear interface тип номер
clear line номер
shutdown
no shutdown
show ip route
show x25 route
Встала необходимость в одном из филиалов в качестве маршрутизатора установить Cisco, т.к. предполагалось впн-соединение с зарубежным филиалом (а их требование наличие Cisco), то была выбрана модель Cisco 1841 SEC/K9. Если кто-то будет закупать подобную модель (c SEC/K9) обратите внимание, что по нынешнему законодательству, ее использование требует наличия регистрации в ФСБ.
Но сейчас не об этом, т.к. в настройках цисок я ничего не понимал, пришлось садиться и курить мануалы. Что накурил, судить Вам =). Здесь будет рассмотрена только первоначальная настройка, без настройки маршрутизаций, dhcp и других прелестей.
Итак у меня в руках циска, с консольным кабелем, вопрос, где в нынешнее время найти com-порт?! Сам работаю на ноуте, в серверный шкаф лезть лень, юзеров сгонять с мест тоже неохота, в итоге в загашниках нашел старую машину с Арчем, то что надо.
Удаляем все из строк modem Init and Reset strings, сохраняем save setup as dfl и выходим Exit from Minicom.
можно просто conf t, циска сама подберет необходимое. Если вы забыли написания команд, то можно использовать справку - ?
Читайте также: