escenario de Tacacs +: ¿puedo permitir que el usuario configure solo para una interfaz y rechace otras?

3

Actualmente estoy implementando TACACS + con un dispositivo Cisco, uso un servidor TACACS desde aquí: enlace

Mi situación es: quiero permitir que un usuario configure mi enrutador pero solo para una interfaz específica, es decir, para gigabitethernet0 / 0. Después de llegar al enrutador (config-if) # ese usuario puede hacer lo que quiera con esa interfaz, pero no puede cambiar a otra interfaz ni cambiar la configuración en el enrutador (config) #.
Hasta ahora mi configuración en tac_plus.conf es así:

#limited admin group = limitedadmin {
default service = deny
service = shell {
priv-lvl = 15
}
cmd = configure {
permit terminal
}
cmd = interface {
permit "GigabitEthernet 0/0"
}}

Y esta es la configuración de Cisco:

aaa new-model
aaa authentication login default group tacacs+ local
aaa authentication login telnet group tacacs+ local
aaa authentication login lokal local enable
aaa authorization config-commands
aaa authorization exec default group tacacs+ local 
aaa authorization exec telnet group tacacs+ 
aaa authorization commands 1 default group tacacs+ local 
aaa authorization commands 15 default group tacacs+ local 
aaa accounting commands 1 default start-stop group tacacs+
aaa accounting commands 15 default start-stop group tacacs+

Pero con esto, no puedo permitir específicamente a ese usuario en config-if sin permitirle que configure también en router (config).

¿Es posible mi escenario utilizando TACACS +?

    
pregunta shiro 06.03.2013 - 15:50
fuente

1 respuesta

0

Estoy seguro de que hay algo para esto, pero ¿qué puedo recordar de mis días como nuevo tipo de que los privilegios se basan en la sensibilidad del comando, no en el puerto? El comando que se ejecuta es donde se define el control.  Tiene sentido ya que donde el usuario x configura la interfaz IP o la velocidad y hace lo mismo para 100 interfaces es el mismo nivel de confianza.

En cuanto a la configuración, si funciona de forma hereditaria, automáticamente hereda todos los privilegios para el nivel de configuración.

 default service = deny
 cmd = interface { permit [faFAgiGI].* }

Esto haría que los usuarios tuvieran acceso para emitir la "interfaz Gi. " o "interfaz Fa. ". No quiero que tengan la capacidad de emitir "interfaz Te. *".

    
respondido por el Saladin 06.03.2013 - 16:13
fuente

Lea otras preguntas en las etiquetas