Contenido

Introducción

Prerequisites

Requirements

Componentes Utilizados

Convenciones

Antecedentes

Configurar

Asociar usuarios con una vista

Configuración de Vista de analizador

Compatibilidad con vistas CLI de SDM

Verificación

Troubleshoot

Información Relacionada

Introducción

La funcionalidad de routing y seguridad se admite tradicionalmente en dispositivos independientes, lo que ofrece una clara división de la responsabilidad de gestión entre la infraestructura de red y los servicios de seguridad. La convergencia de la seguridad y la funcionalidad de routing en los routers de servicios integrados de Cisco no ofrece esta separación clara y multidispositivo. Algunas organizaciones necesitan una separación de las funciones de configuración para restringir a los clientes o a los grupos de gestión de servicios según los límites funcionales. Las vistas de CLI, una función de software de Cisco IOS®, buscan satisfacer esta necesidad con acceso CLI basado en roles. Este documento describe la configuración definida por el soporte de SDM del Control de Acceso Basado en Rol de Cisco IOS y ofrece información general sobre las capacidades de las Vistas CLI desde la Interfaz de Línea de Comandos de Cisco IOS.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

Este documento no tiene restricciones específicas en cuanto a versiones de software y de hardware.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Convenciones

Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.

Antecedentes

Muchas organizaciones delegan la responsabilidad del mantenimiento del routing y la conectividad de la infraestructura en un grupo de operaciones de red, así como la responsabilidad del mantenimiento de la funcionalidad de firewall, VPN y prevención de intrusiones en un grupo de operaciones de seguridad. Las vistas de CLI pueden restringir la capacidad de supervisión y configuración de la funcionalidad de seguridad al grupo secops y, a la inversa, restringir la conectividad de red, el routing y otras tareas de infraestructura al grupo netops.

Algunos proveedores de servicios desean ofrecer a los clientes una capacidad de configuración o supervisión limitada, pero no permitir que los clientes configuren o vean otros ajustes de dispositivos. Una vez más, las vistas de CLI ofrecen un control granular sobre la capacidad de CLI para restringir a los usuarios o a los grupos de usuarios a ejecutar sólo comandos autorizados.

El software Cisco IOS ha ofrecido la capacidad de restringir los comandos CLI con un servidor TACACS+ para obtener autorización para permitir o denegar la capacidad de ejecutar comandos CLI basados en el nombre de usuario o la pertenencia al grupo de usuarios. Las vistas CLI ofrecen una capacidad similar, pero el control de políticas lo aplica el dispositivo local después de que se reciba la vista especificada del usuario del servidor AAA. Cuando se utiliza la Autorización de Comando AAA, cada comando debe ser autorizado individualmente por el servidor AAA, lo que causa un diálogo frecuente entre el dispositivo y el servidor AAA. Las vistas CLI permiten el control de políticas CLI por dispositivo, mientras que la autorización de comandos AAA aplica la misma política de autorización de comandos a todos los dispositivos a los que accede un usuario.

Configurar

En esta sección encontrará la información para configurar las funciones descritas en este documento.

Nota: Utilice la herramienta Command Lookup (sólo para clientes registrados) para obtener más información sobre los comandos utilizados en esta sección.

Asociar usuarios con una vista

Los usuarios se pueden asociar a una vista CLI local mediante un atributo return de AAA o en la configuración de autenticación local. Para la configuración local, el nombre de usuario se configura con una opción view adicional, que coincide con el nombre de vista del analizador. Estos usuarios de ejemplo se configuran para las vistas SDM predeterminadas:

username fw-user privilege [privilege-level] view SDM_Firewall

username monitor-user privilege [privilege-level] view SDM_Monitor

username vpn-user privilege [privilege-level] view SDM_EasyVPN_Remote

username sdm-root privilege [privilege-level] view root

Los usuarios asignados a una vista determinada pueden cambiar temporalmente a otra si tienen la contraseña para la vista que desean introducir. Ejecute este comando exec para cambiar las vistas:

enable view view-name

Configuración de Vista de analizador

Las vistas CLI se pueden configurar desde la CLI del router o a través de SDM. SDM proporciona soporte estático para cuatro vistas, como se describe en la sección Soporte de Vistas CLI de SDM. Para configurar la Vista CLI desde la Interfaz de línea de comandos, un usuario debe definirse como un usuario de vista raíz o debe pertenecer a la vista con acceso a la configuración de la vista del analizador. Los usuarios que no están asociados a una vista y que intentan configurar vistas reciben este mensaje:

router(config#parser view test-view

No view Active! Switch to View Context

Las vistas de CLI permiten la inclusión o exclusión de jerarquías de comandos completas para los modos ejecutivo y de configuración, o sólo partes de ellas. Hay tres opciones disponibles para permitir o rechazar una jerarquía de comandos o comandos en una vista dada:

router(config-view)#commands configure ?

exclude            Exclude the command from the view

include            Add command to the view

include-exclusive  Include in this view but exclude from others

Las vistas de CLI truncan la configuración en ejecución para que no se muestre la configuración de Vista del analizador. Sin embargo, la configuración de Vista del analizador está visible en la configuración de inicio.

Consulte Acceso CLI basado en roles para obtener más información sobre la definición de vista.

Verificación de la Asociación de la Vista de Parser

Los usuarios asignados a una Vista de analizador pueden determinar a qué vista se asignan cuando inician sesión en un router. Si se permite el comando show parser view para las vistas de los usuarios, pueden ejecutar el comando show parser view para determinar su vista:

router#sh parser view

Current view is 'SDM_Firewall'

Compatibilidad con vistas CLI de SDM

SDM ofrece tres vistas predeterminadas, dos para la configuración y supervisión de los componentes de firewall y VPN y una vista de solo supervisión restringida. Una vista raíz predeterminada adicional también está disponible en SDM.

SDM no proporciona la capacidad de modificar los comandos incluidos o excluidos de cada vista predeterminada, y no ofrece la capacidad de definir vistas adicionales. Si se definen vistas adicionales desde la CLI, SDM no ofrece las vistas adicionales en su panel de configuración Cuentas de usuario/Vistas.

Estas vistas y los permisos de comandos respectivos están predefinidos para SDM:

SDM_Firewall View

parser view SDM_Firewall

secret 5 $1$w/cD$T1ryjKM8aGCnIaKSm.Cx9/

commands interface include all ip inspect

commands interface include all ip verify

commands interface include all ip access-group

commands interface include ip

commands interface include description

commands interface include all no ip inspect

commands interface include all no ip verify

commands interface include all no ip access-group

commands interface include no ip

commands interface include no description

commands interface include no

commands configure include end

commands configure include all access-list

commands configure include all ip access-list

commands configure include all interface

commands configure include all zone-pair

commands configure include all zone

commands configure include all policy-map

commands configure include all class-map

commands configure include all parameter-map

commands configure include all appfw

commands configure include all ip urlfilter

commands configure include all ip inspect

commands configure include all ip port-map

commands configure include ip cef

commands configure include ip

commands configure include all crypto

commands configure include no end

commands configure include all no access-list

commands configure include all no ip access-list

commands configure include all no interface

commands configure include all no zone-pair

commands configure include all no zone

commands configure include all no policy-map

commands configure include all no class-map

commands configure include all no parameter-map

commands configure include all no appfw

commands configure include all no ip urlfilter

commands configure include all no ip inspect

commands configure include all no ip port-map

commands configure include no ip cef

commands configure include no ip

commands configure include all no crypto

commands configure include no

commands exec include all vlan

commands exec include dir all-filesystems

commands exec include dir

commands exec include crypto ipsec client ezvpn connect

commands exec include crypto ipsec client ezvpn xauth

commands exec include crypto ipsec client ezvpn

commands exec include crypto ipsec client

commands exec include crypto ipsec

commands exec include crypto

commands exec include write memory

commands exec include write

commands exec include all ping ip

commands exec include ping

commands exec include configure terminal

commands exec include configure

commands exec include all show

commands exec include all debug appfw

commands exec include all debug ip inspect

commands exec include debug ip

commands exec include debug

commands exec include all clear

SDM_EasyVPN_Remote View

parser view SDM_EasyVPN_Remote

secret 5 $1$UnC3$ienYd0L7Q/9xfCNkBQ4Uu.

commands interface include all crypto

commands interface include all no crypto

commands interface include no

commands configure include end

commands configure include all access-list

commands configure include ip radius source-interface

commands configure include ip radius

commands configure include all ip nat

commands configure include ip dns server

commands configure include ip dns

commands configure include all interface

commands configure include all dot1x

commands configure include all identity policy

commands configure include identity profile

commands configure include identity

commands configure include all ip domain lookup

commands configure include ip domain

commands configure include ip

commands configure include all crypto

commands configure include all aaa

commands configure include default end

commands configure include all default access-list

commands configure include default ip radius source-interface

commands configure include default ip radius

commands configure include all default ip nat

commands configure include default ip dns server

commands configure include default ip dns

commands configure include all default interface

commands configure include all default dot1x

commands configure include all default identity policy

commands configure include default identity profile

commands configure include default identity

commands configure include all default ip domain lookup

commands configure include default ip domain

commands configure include default ip

commands configure include all default crypto

commands configure include all default aaa

commands configure include default

commands configure include no end

commands configure include all no access-list

commands configure include no ip radius source-interface

commands configure include no ip radius

commands configure include all no ip nat

commands configure include no ip dns server

commands configure include no ip dns

commands configure include all no interface

commands configure include all no dot1x

commands configure include all no identity policy

commands configure include no identity profile

commands configure include no identity

commands configure include all no ip domain lookup

commands configure include no ip domain

commands configure include no ip

commands configure include all no crypto

commands configure include all no aaa

commands configure include no

commands exec include dir all-filesystems

commands exec include dir

commands exec include crypto ipsec client ezvpn connect

commands exec include crypto ipsec client ezvpn xauth

commands exec include crypto ipsec client ezvpn

commands exec include crypto ipsec client

commands exec include crypto ipsec

commands exec include crypto

commands exec include write memory

commands exec include write

commands exec include all ping ip

commands exec include ping

commands exec include configure terminal

commands exec include configure

commands exec include all show

commands exec include no

commands exec include all debug appfw

commands exec include all debug ip inspect

commands exec include debug ip

commands exec include debug

commands exec include all clear

Vista SDM_Monitor

parser view SDM_Monitor

secret 5 $1$RDYW$OABbxSgtx1kOozLlkBeJ9/

commands configure include end

commands configure include all interface

commands configure include no end

commands configure include all no interface

commands exec include dir all-filesystems

commands exec include dir

commands exec include all crypto ipsec client ezvpn

commands exec include crypto ipsec client

commands exec include crypto ipsec

commands exec include crypto

commands exec include all ping ip

commands exec include ping

commands exec include configure terminal

commands exec include configure

commands exec include all show

commands exec include all debug appfw

commands exec include all debug ip inspect

commands exec include debug ip

commands exec include debug

commands exec include all clear

Verificación

Actualmente, no hay un procedimiento de verificación disponible para esta configuración.

Troubleshoot

Actualmente, no hay información específica de troubleshooting disponible para esta configuración.

Información Relacionada

- Acceso CLI Basado en Función

- Soporte Técnico y Documentación - Cisco Systems