Настройка уровней доступа (priviledge level) на QSW-2800/3400/8200

В реальной сети часто бывает необходимо выдать доступ пользователю только на ограниченный набор команд.

На коммутаторе данная задача решается через функционал Уровней доступа(priviledge level).

Можно создать до 15 уровней доступа.

По умолчанию на коммутаторе Qtech создан пользователь admin c максимальными возможными привилегиями(15 уровень).

Решение:

1. Создаем пользователя, указываем ему (например) 5ый уровень доступа и нешифрованный пароль:

username newuser privilege 5 password 0 newpass

//здесь 5 - уровень доступа пользователя по умолчанию - его пользователь получает сразу при логине на коммутатор, 0 - означает нешифрованный пароль.

2. Настраиваем методы аутентификации и авторизации на коммутаторе( в примере используется локальный метод.):

authorization line vty exec local tacacs
authentication line vty login local tacacs
authentication enable local

3. Чтобы пользователи после логина на свич смогли переходить к другому уровню привилегий можно задать пароль для различных уровней

enable password level 6 0 pass6
enable password level 15 0 enpass

// В примере у нас запрашивается пароль при входе на 6ой и 15ый уровни доступа, но в 7-14 при такой конфигурации пользователь может входить без пароля. Обратите на это внимание - не должно оставаться уровней на которые можно попасть без пароля (при условии что на этих уровнях есть команды которых должны требовать авторизацию).

4. После этого необходимо определить какая команда на каком уровне доступа будет доступна:

privilege exec level 13  config terminal
privilege vlan level 6 name *

//Можно указывать определенную секцию, либо exec - возможность выполнения целой команды. Если команда вызывается с параметрами - их нужно указать явно, либо использовать * чтобы разрешить все возможные.

После этого можно попробовать залогиниться с пользователем и проверить какие команды ему доступны:

QSW-8200-28F-AC>sh privilege
Current privilege level is 5

Кроме стандартных команд 5ого уровня пользователь может зайти в режим конфигурации и выполнить необходимые действия для создания vlan'a.