許多工作在Cisco IOS之上的網(wǎng)絡(luò)管理員從未費(fèi)心去考慮過(guò)他們正在使用的權(quán)限等級(jí)或這些等級(jí)的意義。然而，Cisco IOS實(shí)際上十六種不同的權(quán)限等級(jí)。David Davis論述了這些不同的等級(jí)并且向你介紹在配置這些權(quán)限時(shí)需要用到的主要命令。

你知道為什么Cisco IOS用不同的命令提供了16種權(quán)限等級(jí)？許多工作在Cisco IOS環(huán)境中的網(wǎng)絡(luò)管理員從未費(fèi)心去考慮過(guò)他們正在使用權(quán)限等級(jí)或這些等級(jí)的意義。

當(dāng)在Cisco IOS中進(jìn)入不同的權(quán)限等級(jí)時(shí)，你的權(quán)限等級(jí)越高，你在路由器中能進(jìn)行的操作就越多。但是Cisco路由器的多數(shù)用戶(hù)只熟悉兩個(gè)權(quán)限等級(jí)：

用戶(hù)EXEC模式-權(quán)限等級(jí)1

特權(quán)EXEC模式-權(quán)限等級(jí)15

當(dāng)你在缺省配置下登錄到Cisco路由器，你是在用戶(hù)EXEC模式（等級(jí)1）下。在這個(gè)模式中，你可以查看路由器的某些信息，例如接口狀態(tài)，而且你可以查看路由表中的路由。然而，你不能做任何修改或查看運(yùn)行的配置文件。

由于這些限制，Cisco路由器的多數(shù)用戶(hù)馬上輸入enable以退出用戶(hù)EXEC模式。默認(rèn)情況下，輸入enable會(huì)進(jìn)入等級(jí)15，也就是特權(quán) EXEC模式。在Cisco IOS當(dāng)中，這個(gè)等級(jí)相當(dāng)于在UNIX擁有root權(quán)限或者在Windows中擁有管理員權(quán)限。換句話(huà)說(shuō)，你可以對(duì)路由器進(jìn)行全面控制。

因?yàn)榫W(wǎng)絡(luò)只是由少數(shù)人維護(hù)，他們每個(gè)人通常都有進(jìn)入特權(quán)模式的口令。但是在某些情況下，那些小型或中型公司會(huì)進(jìn)一步增長(zhǎng)，而權(quán)限問(wèn)題會(huì)變得更加復(fù)雜。

許多時(shí)候，當(dāng)有一個(gè)支持小組或不需要在路由器上進(jìn)行過(guò)多訪(fǎng)問(wèn)的缺乏經(jīng)驗(yàn)的管理員時(shí)問(wèn)題就出現(xiàn)了。或許他們只是需要連接到路由器以查看運(yùn)行配置或重新設(shè)置接口。

在這種情況下，這些人會(huì)需要介于等級(jí)1到等級(jí)15之間的某個(gè)等級(jí)進(jìn)行操作。請(qǐng)記住最小權(quán)限原則：只賦予必需的最少的訪(fǎng)問(wèn)權(quán)限。

有很多可行的配置IOS用戶(hù)和權(quán)限的方法，我無(wú)法在一篇文章中詳細(xì)描述每一種方法。所以，我們將關(guān)注你在配置權(quán)限時(shí)用到的基本命令。

Show privilege：這個(gè)命令顯示目前的權(quán)限。這里給出一個(gè)例子：

router# show privilege

Current privilege level is 3

Enable：管理員通常使用這個(gè)命令以進(jìn)入特權(quán)EXEC模式。然而，它也可以帶你進(jìn)入任何特權(quán)模式。這里給出一個(gè)例子：

User：這個(gè)命令不僅可以設(shè)定用戶(hù)，它還可以告訴IOS，用戶(hù)在登錄的時(shí)候?qū)�擁有何種權(quán)限等級(jí)。這里給出一個(gè)例子：

router（config）# username test password test privilege 3

Privilege：這個(gè)命令設(shè)定某些命令只在某個(gè)等級(jí)才能用。這里給出一個(gè)例子：

router（config）# enable secret level 5 level5pass

Enable secret：默認(rèn)情況下，這個(gè)命令創(chuàng)建一個(gè)進(jìn)入特權(quán)模式15的口令。然而，你也可以用它創(chuàng)建進(jìn)入其他你可以創(chuàng)建的特權(quán)模式的口令。

讓我們考察一個(gè)例子。假設(shè)你想創(chuàng)建一個(gè)維護(hù)用戶(hù)，他可以登錄到路由器并且查看啟動(dòng)信息（以及等級(jí)1的其他任何信息）。你將輸入的命令可能是：

router（config）# user support privilege 3 password support

router（config）# privilege exec level 3 show startup-config

需要注意的是并不需要enable secret命令，除非你想讓以等級(jí)1登錄進(jìn)來(lái)的用戶(hù)為了能提升到等級(jí)3而使用口令。在我們的例子中，新用戶(hù)（維護(hù)）已經(jīng)處在等級(jí)3而且無(wú)需額外的enable secret口令來(lái)登錄。

除此之外，需要注意的是這個(gè)配置假設(shè)你已經(jīng)擁有一個(gè)配置好的使用用戶(hù)名和口令的路由器，該例子還假設(shè)你已經(jīng)為等級(jí)15定義了enable secret命令，你有一個(gè)擁有等級(jí)15的超級(jí)用戶(hù)，而且你已經(jīng)在超級(jí)用戶(hù)權(quán)限下保存了啟動(dòng)配置文件。