Sommario

Introduzione

Prerequisiti

Requisiti

Componenti usati

Convenzioni

Premesse

Configurazione

Associa utenti a una visualizzazione

Configurazione visualizzazione parser

Supporto visualizzazioni CLI SDM

Verifica

Risoluzione dei problemi

Informazioni correlate

Introduzione

Le funzionalità di routing e sicurezza sono tradizionalmente supportate in dispositivi separati, il che offre una chiara divisione delle responsabilità di gestione tra l'infrastruttura di rete e i servizi di sicurezza. La convergenza delle funzionalità di sicurezza e routing nei router di servizi integrati Cisco non offre questa separazione chiara e multidispositivo. Alcune organizzazioni necessitano di una separazione delle funzionalità di configurazione per limitare i clienti o i gruppi di gestione dei servizi lungo i confini funzionali. CLI Views, una funzionalità software di Cisco IOS®, cerca di soddisfare questa esigenza con l'accesso CLI basato sui ruoli. Questo documento descrive la configurazione definita dal supporto SDM del controllo degli accessi basato sui ruoli di Cisco IOS e offre informazioni di base sulle funzionalità delle viste CLI dall'interfaccia della riga di comando di Cisco IOS.

Prerequisiti

Requisiti

Nessun requisito specifico previsto per questo documento.

Componenti usati

Il documento può essere consultato per tutte le versioni software o hardware.

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Convenzioni

Fare riferimento a Cisco Technical Tips Conventions per ulteriori informazioni sulle convenzioni dei documenti.

Premesse

Molte organizzazioni delegano la responsabilità della manutenzione del routing e della connettività dell'infrastruttura a un gruppo di operazioni di rete e la responsabilità della manutenzione del firewall, della VPN e della funzionalità di prevenzione delle intrusioni a un gruppo di operazioni di sicurezza. Le viste CLI possono limitare la funzionalità di configurazione e monitoraggio della sicurezza al gruppo secops e, viceversa, limitare la connettività di rete, il routing e altre attività infrastrutturali al gruppo netops.

Alcuni provider di servizi desiderano offrire ai clienti funzionalità di configurazione o monitoraggio limitate, ma non consentono di configurare o visualizzare altre impostazioni dei dispositivi. Ancora una volta, le viste CLI offrono un controllo granulare sulla capacità CLI per limitare gli utenti o i gruppi di utenti a eseguire solo i comandi autorizzati.

Il software Cisco IOS ha offerto una funzionalità per limitare i comandi CLI con un server TACACS+ in modo da autorizzare o negare la funzionalità di esecuzione dei comandi CLI in base al nome utente o all'appartenenza al gruppo di utenti. Le viste CLI offrono funzionalità simili, ma il controllo dei criteri viene applicato dal dispositivo locale dopo che la vista specificata dell'utente è stata ricevuta dal server AAA. Quando si usa l'autorizzazione dei comandi AAA, ogni comando deve essere autorizzato singolarmente dal server AAA, il che produce frequenti dialoghi tra il dispositivo e il server AAA. Le viste CLI consentono il controllo dei criteri CLI per dispositivo, mentre l'autorizzazione dei comandi AAA applica lo stesso criterio di autorizzazione dei comandi a tutti i dispositivi a cui l'utente accede.

Configurazione

In questa sezione vengono presentate le informazioni necessarie per configurare le funzionalità descritte più avanti nel documento.

Nota: per ulteriori informazioni sui comandi menzionati in questa sezione, usare lo strumento di ricerca dei comandi (solo utenti registrati).

Associa utenti a una visualizzazione

Gli utenti possono essere associati a una vista CLI locale tramite un attributo restituito da AAA o nella configurazione di autenticazione locale. Per la configurazione locale, il nome utente è configurato con un'opzione di visualizzazione aggiuntiva, che corrisponde al nome della visualizzazione del parser configurato. Di seguito vengono riportati gli utenti configurati per le visualizzazioni SDM predefinite:

username fw-user privilege [privilege-level] view SDM_Firewall

username monitor-user privilege [privilege-level] view SDM_Monitor

username vpn-user privilege [privilege-level] view SDM_EasyVPN_Remote

username sdm-root privilege [privilege-level] view root

Gli utenti assegnati a una determinata visualizzazione possono passare temporaneamente a un'altra visualizzazione se dispongono della password per la visualizzazione che desiderano immettere. Per modificare la visualizzazione, usare questo comando exec:

enable view view-name

Configurazione visualizzazione parser

Le viste CLI possono essere configurate dalla CLI del router o tramite SDM. SDM fornisce il supporto statico per quattro visualizzazioni, come indicato nella sezione Supporto delle visualizzazioni CLI di SDM. Per configurare la vista CLI dall'interfaccia della riga di comando, un utente deve essere definito come utente della vista radice o deve appartenere alla vista con accesso alla configurazione della vista parser. Gli utenti che non sono associati a una visualizzazione e che tentano di configurare le visualizzazioni ricevono questo messaggio:

router(config#parser view test-view

No view Active! Switch to View Context

Le viste CLI consentono di includere o escludere gerarchie di comandi complete sia per la modalità esecutiva che per la modalità di configurazione, o solo per parti di esse. Sono disponibili tre opzioni per consentire o impedire la visualizzazione di un comando o di una gerarchia di comandi in una determinata vista:

router(config-view)#commands configure ?

exclude            Exclude the command from the view

include            Add command to the view

include-exclusive  Include in this view but exclude from others

Le viste CLI troncano la configurazione in esecuzione in modo che la configurazione della vista parser non venga visualizzata. Tuttavia, la configurazione della vista parser è visibile nella configurazione di avvio.

Per ulteriori informazioni sulla definizione della vista, fare riferimento a Accesso CLI basato sui ruoli.

Verifica dell'associazione della visualizzazione parser

Gli utenti assegnati a una visualizzazione parser possono determinare a quale visualizzazione sono assegnati quando hanno effettuato il login a un router. Se il comando show parser view è consentito per le visualizzazioni degli utenti, questi possono utilizzare il comando show parser view per determinare la propria visualizzazione:

router#sh parser view

Current view is 'SDM_Firewall'

Supporto visualizzazioni CLI SDM

Il modello SDM offre tre visualizzazioni predefinite, due per la configurazione e il monitoraggio dei componenti firewall e VPN e una per il monitoraggio limitato. Anche in SDM è disponibile una vista radice predefinita aggiuntiva.

SDM non consente di modificare i comandi inclusi o esclusi da ciascuna vista di default, né di definire viste aggiuntive. Se dalla CLI sono definite viste aggiuntive, SDM non le offre nel pannello di configurazione Account utente/Viste.

Per il modello SDM, queste viste e le rispettive autorizzazioni di comando sono predefinite:

Vista SDM_Firewall

parser view SDM_Firewall

secret 5 $1$w/cD$T1ryjKM8aGCnIaKSm.Cx9/

commands interface include all ip inspect

commands interface include all ip verify

commands interface include all ip access-group

commands interface include ip

commands interface include description

commands interface include all no ip inspect

commands interface include all no ip verify

commands interface include all no ip access-group

commands interface include no ip

commands interface include no description

commands interface include no

commands configure include end

commands configure include all access-list

commands configure include all ip access-list

commands configure include all interface

commands configure include all zone-pair

commands configure include all zone

commands configure include all policy-map

commands configure include all class-map

commands configure include all parameter-map

commands configure include all appfw

commands configure include all ip urlfilter

commands configure include all ip inspect

commands configure include all ip port-map

commands configure include ip cef

commands configure include ip

commands configure include all crypto

commands configure include no end

commands configure include all no access-list

commands configure include all no ip access-list

commands configure include all no interface

commands configure include all no zone-pair

commands configure include all no zone

commands configure include all no policy-map

commands configure include all no class-map

commands configure include all no parameter-map

commands configure include all no appfw

commands configure include all no ip urlfilter

commands configure include all no ip inspect

commands configure include all no ip port-map

commands configure include no ip cef

commands configure include no ip

commands configure include all no crypto

commands configure include no

commands exec include all vlan

commands exec include dir all-filesystems

commands exec include dir

commands exec include crypto ipsec client ezvpn connect

commands exec include crypto ipsec client ezvpn xauth

commands exec include crypto ipsec client ezvpn

commands exec include crypto ipsec client

commands exec include crypto ipsec

commands exec include crypto

commands exec include write memory

commands exec include write

commands exec include all ping ip

commands exec include ping

commands exec include configure terminal

commands exec include configure

commands exec include all show

commands exec include all debug appfw

commands exec include all debug ip inspect

commands exec include debug ip

commands exec include debug

commands exec include all clear

SDM_EasyVPN_Remote View

parser view SDM_EasyVPN_Remote

secret 5 $1$UnC3$ienYd0L7Q/9xfCNkBQ4Uu.

commands interface include all crypto

commands interface include all no crypto

commands interface include no

commands configure include end

commands configure include all access-list

commands configure include ip radius source-interface

commands configure include ip radius

commands configure include all ip nat

commands configure include ip dns server

commands configure include ip dns

commands configure include all interface

commands configure include all dot1x

commands configure include all identity policy

commands configure include identity profile

commands configure include identity

commands configure include all ip domain lookup

commands configure include ip domain

commands configure include ip

commands configure include all crypto

commands configure include all aaa

commands configure include default end

commands configure include all default access-list

commands configure include default ip radius source-interface

commands configure include default ip radius

commands configure include all default ip nat

commands configure include default ip dns server

commands configure include default ip dns

commands configure include all default interface

commands configure include all default dot1x

commands configure include all default identity policy

commands configure include default identity profile

commands configure include default identity

commands configure include all default ip domain lookup

commands configure include default ip domain

commands configure include default ip

commands configure include all default crypto

commands configure include all default aaa

commands configure include default

commands configure include no end

commands configure include all no access-list

commands configure include no ip radius source-interface

commands configure include no ip radius

commands configure include all no ip nat

commands configure include no ip dns server

commands configure include no ip dns

commands configure include all no interface

commands configure include all no dot1x

commands configure include all no identity policy

commands configure include no identity profile

commands configure include no identity

commands configure include all no ip domain lookup

commands configure include no ip domain

commands configure include no ip

commands configure include all no crypto

commands configure include all no aaa

commands configure include no

commands exec include dir all-filesystems

commands exec include dir

commands exec include crypto ipsec client ezvpn connect

commands exec include crypto ipsec client ezvpn xauth

commands exec include crypto ipsec client ezvpn

commands exec include crypto ipsec client

commands exec include crypto ipsec

commands exec include crypto

commands exec include write memory

commands exec include write

commands exec include all ping ip

commands exec include ping

commands exec include configure terminal

commands exec include configure

commands exec include all show

commands exec include no

commands exec include all debug appfw

commands exec include all debug ip inspect

commands exec include debug ip

commands exec include debug

commands exec include all clear

Visualizzazione SDM_Monitor

parser view SDM_Monitor

secret 5 $1$RDYW$OABbxSgtx1kOozLlkBeJ9/

commands configure include end

commands configure include all interface

commands configure include no end

commands configure include all no interface

commands exec include dir all-filesystems

commands exec include dir

commands exec include all crypto ipsec client ezvpn

commands exec include crypto ipsec client

commands exec include crypto ipsec

commands exec include crypto

commands exec include all ping ip

commands exec include ping

commands exec include configure terminal

commands exec include configure

commands exec include all show

commands exec include all debug appfw

commands exec include all debug ip inspect

commands exec include debug ip

commands exec include debug

commands exec include all clear

Verifica

Attualmente non è disponibile una procedura di verifica per questa configurazione.

Risoluzione dei problemi

Al momento non sono disponibili informazioni specifiche per la risoluzione dei problemi di questa configurazione.

Informazioni correlate

- Accesso CLI basato sui ruoli

- Documentazione e supporto tecnico – Cisco Systems