Contenu

Introduction

Conditions préalables

Conditions requises

Components Used

Conventions

Informations générales

Configuration

Associer des utilisateurs à une vue

Configuration de la vue d'analyseur

Prise en charge des vues CLI SDM

Vérification

Dépannage

Informations connexes

Introduction

Les fonctionnalités de routage et de sécurité sont généralement prises en charge dans des périphériques distincts, ce qui permet une répartition claire des responsabilités de gestion entre l'infrastructure réseau et les services de sécurité. La convergence des fonctionnalités de sécurité et de routage des routeurs à services intégrés Cisco n'offre pas cette séparation claire et multipériphérique. Certaines entreprises ont besoin d'une séparation des capacités de configuration pour limiter les clients ou les groupes de gestion des services le long des limites fonctionnelles. CLI Views, une fonctionnalité du logiciel Cisco IOS®, cherche à répondre à ce besoin avec l'accès CLI basé sur les rôles. Ce document décrit la configuration définie par la prise en charge SDM du contrôle d'accès basé sur les rôles Cisco IOS et fournit un arrière-plan sur les fonctionnalités des vues CLI à partir de l'interface de ligne de commande Cisco IOS.

Conditions préalables

Conditions requises

Aucune spécification déterminée n'est requise pour ce document.

Components Used

Ce document n'est pas limité à des versions de matériel et de logiciel spécifiques.

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Conventions

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Informations générales

De nombreuses entreprises délèguent la responsabilité de la maintenance du routage et de la connectivité de l'infrastructure à un groupe d'opérations réseau, et la responsabilité de la maintenance des fonctionnalités de pare-feu, VPN et de prévention des intrusions à un groupe d'opérations de sécurité. Les vues CLI peuvent restreindre la configuration des fonctionnalités de sécurité et la capacité de surveillance au groupe secops, et inversement limiter la connectivité réseau, le routage et d'autres tâches d'infrastructure au groupe netops.

Certains fournisseurs de services souhaitent offrir des capacités limitées de configuration ou de surveillance aux clients, mais ne permettent pas aux clients de configurer ou d'afficher d'autres paramètres de périphérique. Une fois de plus, les vues CLI offrent un contrôle granulaire sur la capacité CLI pour limiter l'exécution des commandes autorisées par les utilisateurs ou les groupes d'utilisateurs.

La plate-forme logicielle Cisco IOS offre la possibilité de limiter les commandes CLI avec un serveur TACACS+ pour autoriser ou refuser l'exécution des commandes CLI en fonction du nom d'utilisateur ou de l'appartenance à un groupe d'utilisateurs. Les vues CLI offrent une fonctionnalité similaire, mais le contrôle de stratégie est appliqué par le périphérique local après la réception de la vue spécifiée de l'utilisateur par le serveur AAA. Lorsque l'autorisation de commande AAA est utilisée, chaque commande doit être autorisée individuellement par le serveur AAA, ce qui entraîne un dialogue fréquent entre le périphérique et le serveur AAA. Les vues CLI permettent le contrôle de la stratégie CLI par périphérique, tandis que l'autorisation de commande AAA applique la même stratégie d'autorisation de commande à tous les périphériques auxquels un utilisateur accède.

Configuration

Cette section vous fournit des informations pour configurer les fonctionnalités décrites dans ce document.

Remarque : utilisez l'outil de recherche de commandes (clients enregistrés uniquement) pour obtenir plus d'informations sur les commandes utilisées dans cette section.

Associer des utilisateurs à une vue

Les utilisateurs peuvent être associés à une vue CLI locale par un attribut de retour d'AAA ou dans la configuration d'authentification locale. Pour la configuration locale, le nom d'utilisateur est configuré avec une option d'affichage supplémentaire, qui correspond au nom configuré de la vue de l'analyseur. Les utilisateurs suivants sont configurés pour les vues SDM par défaut :

username fw-user privilege [privilege-level] view SDM_Firewall

username monitor-user privilege [privilege-level] view SDM_Monitor

username vpn-user privilege [privilege-level] view SDM_EasyVPN_Remote

username sdm-root privilege [privilege-level] view root

Les utilisateurs affectés à une vue donnée peuvent temporairement basculer vers une autre vue s'ils ont le mot de passe de la vue qu'ils veulent saisir. Émettez cette commande exec afin de modifier les vues :

enable view view-name

Configuration de la vue d'analyseur

Les vues CLI peuvent être configurées à partir de l'interface CLI du routeur ou via SDM. SDM fournit une prise en charge statique pour quatre vues, comme indiqué dans la section Support des vues de l'interface de ligne de commande SDM. Pour configurer la vue CLI à partir de l'interface de ligne de commande, un utilisateur doit être défini comme un utilisateur root view, ou il doit appartenir à la vue avec l'accès à la configuration de la vue analyseur. Les utilisateurs qui ne sont pas associés à une vue et qui tentent de configurer des vues reçoivent ce message :

router(config#parser view test-view

No view Active! Switch to View Context

Les vues CLI permettent l'inclusion ou l'exclusion de hiérarchies de commandes complètes pour les modes de configuration et d'exécution, ou pour certaines parties seulement. Trois options sont disponibles pour autoriser ou interdire une hiérarchie de commande ou de commande dans une vue donnée :

router(config-view)#commands configure ?

exclude            Exclude the command from the view

include            Add command to the view

include-exclusive  Include in this view but exclude from others

Les affichages CLI tronquent la configuration en cours afin que la configuration de l'affichage de l'analyseur ne s'affiche pas. Cependant, la configuration de la vue de l'analyseur est visible dans la configuration de démarrage.

Référez-vous à Accès CLI basé sur les rôles pour plus d'informations sur la définition d'affichage.

Vérification de l'association d'affichage de l'analyseur

Les utilisateurs affectés à une vue de l'analyseur peuvent déterminer à quelle vue ils sont affectés lorsqu'ils sont connectés à un routeur. Si la commande show parser view est autorisée pour les vues des utilisateurs, ils peuvent émettre la commande show parser view afin de déterminer leur vue :

router#sh parser view

Current view is 'SDM_Firewall'

Prise en charge des vues CLI SDM

SDM offre trois vues par défaut, deux pour la configuration et la surveillance des composants de pare-feu et de VPN et une vue de surveillance restreinte uniquement. Une vue racine par défaut supplémentaire est également disponible dans SDM.

SDM ne permet pas de modifier les commandes incluses dans ou exclues de chaque vue par défaut et ne permet pas de définir des vues supplémentaires. Si des vues supplémentaires sont définies à partir de l'interface de ligne de commande, SDM n'offre pas les vues supplémentaires dans son panneau de configuration Comptes d'utilisateurs/Vues.

Ces vues et autorisations de commande respectives sont prédéfinies pour SDM :

Vue SDM_Firewall

parser view SDM_Firewall

secret 5 $1$w/cD$T1ryjKM8aGCnIaKSm.Cx9/

commands interface include all ip inspect

commands interface include all ip verify

commands interface include all ip access-group

commands interface include ip

commands interface include description

commands interface include all no ip inspect

commands interface include all no ip verify

commands interface include all no ip access-group

commands interface include no ip

commands interface include no description

commands interface include no

commands configure include end

commands configure include all access-list

commands configure include all ip access-list

commands configure include all interface

commands configure include all zone-pair

commands configure include all zone

commands configure include all policy-map

commands configure include all class-map

commands configure include all parameter-map

commands configure include all appfw

commands configure include all ip urlfilter

commands configure include all ip inspect

commands configure include all ip port-map

commands configure include ip cef

commands configure include ip

commands configure include all crypto

commands configure include no end

commands configure include all no access-list

commands configure include all no ip access-list

commands configure include all no interface

commands configure include all no zone-pair

commands configure include all no zone

commands configure include all no policy-map

commands configure include all no class-map

commands configure include all no parameter-map

commands configure include all no appfw

commands configure include all no ip urlfilter

commands configure include all no ip inspect

commands configure include all no ip port-map

commands configure include no ip cef

commands configure include no ip

commands configure include all no crypto

commands configure include no

commands exec include all vlan

commands exec include dir all-filesystems

commands exec include dir

commands exec include crypto ipsec client ezvpn connect

commands exec include crypto ipsec client ezvpn xauth

commands exec include crypto ipsec client ezvpn

commands exec include crypto ipsec client

commands exec include crypto ipsec

commands exec include crypto

commands exec include write memory

commands exec include write

commands exec include all ping ip

commands exec include ping

commands exec include configure terminal

commands exec include configure

commands exec include all show

commands exec include all debug appfw

commands exec include all debug ip inspect

commands exec include debug ip

commands exec include debug

commands exec include all clear

SDM_EasyVPN_Remote View

parser view SDM_EasyVPN_Remote

secret 5 $1$UnC3$ienYd0L7Q/9xfCNkBQ4Uu.

commands interface include all crypto

commands interface include all no crypto

commands interface include no

commands configure include end

commands configure include all access-list

commands configure include ip radius source-interface

commands configure include ip radius

commands configure include all ip nat

commands configure include ip dns server

commands configure include ip dns

commands configure include all interface

commands configure include all dot1x

commands configure include all identity policy

commands configure include identity profile

commands configure include identity

commands configure include all ip domain lookup

commands configure include ip domain

commands configure include ip

commands configure include all crypto

commands configure include all aaa

commands configure include default end

commands configure include all default access-list

commands configure include default ip radius source-interface

commands configure include default ip radius

commands configure include all default ip nat

commands configure include default ip dns server

commands configure include default ip dns

commands configure include all default interface

commands configure include all default dot1x

commands configure include all default identity policy

commands configure include default identity profile

commands configure include default identity

commands configure include all default ip domain lookup

commands configure include default ip domain

commands configure include default ip

commands configure include all default crypto

commands configure include all default aaa

commands configure include default

commands configure include no end

commands configure include all no access-list

commands configure include no ip radius source-interface

commands configure include no ip radius

commands configure include all no ip nat

commands configure include no ip dns server

commands configure include no ip dns

commands configure include all no interface

commands configure include all no dot1x

commands configure include all no identity policy

commands configure include no identity profile

commands configure include no identity

commands configure include all no ip domain lookup

commands configure include no ip domain

commands configure include no ip

commands configure include all no crypto

commands configure include all no aaa

commands configure include no

commands exec include dir all-filesystems

commands exec include dir

commands exec include crypto ipsec client ezvpn connect

commands exec include crypto ipsec client ezvpn xauth

commands exec include crypto ipsec client ezvpn

commands exec include crypto ipsec client

commands exec include crypto ipsec

commands exec include crypto

commands exec include write memory

commands exec include write

commands exec include all ping ip

commands exec include ping

commands exec include configure terminal

commands exec include configure

commands exec include all show

commands exec include no

commands exec include all debug appfw

commands exec include all debug ip inspect

commands exec include debug ip

commands exec include debug

commands exec include all clear

Vue SDM_Monitor

parser view SDM_Monitor

secret 5 $1$RDYW$OABbxSgtx1kOozLlkBeJ9/

commands configure include end

commands configure include all interface

commands configure include no end

commands configure include all no interface

commands exec include dir all-filesystems

commands exec include dir

commands exec include all crypto ipsec client ezvpn

commands exec include crypto ipsec client

commands exec include crypto ipsec

commands exec include crypto

commands exec include all ping ip

commands exec include ping

commands exec include configure terminal

commands exec include configure

commands exec include all show

commands exec include all debug appfw

commands exec include all debug ip inspect

commands exec include debug ip

commands exec include debug

commands exec include all clear

Vérification

Aucune procédure de vérification n'est disponible pour cette configuration.

Dépannage

Il n'existe actuellement aucune information de dépannage spécifique pour cette configuration.

Informations connexes

- Accès CLI basé sur les rôles

- Support et documentation techniques - Cisco Systems