Cisco Basic Setup

Базовая настройка

Заметка что бы не искать каждый раз

AAA

service password-encryption

aaa new-model

username sirmax privilege 15 secret MyStrongPass123

aaa authentication login default local

• default — список применяется ко всем линиям (con, vty, aux), если явно не указано другое имя списка.
• local — проверять по локальной базе username.

Если нужен отдельный список <NAME>

aaa authentication login <NAME> local

aaa для enable

aaa authentication enable default enable

Это указывает использовать пароль enable secret для команды enable.
Альтернатива — привязать enable к правам пользователя (privilege 15 в username), тогда после логина пользователь сразу попадает в привилегированный режим

Задать Пароль

enable secret MyEnablePass456

Консоль

line console 0
 login authentication default
 exec-timeout 0 0

• именной список — login authentication <NAME>
• exec-timeout 5 0 - 5 минут 0 секунд, для отключения таймаута - 0 0

SSH

ip domain-name lab.local
hostanme myrouter

Если есть старый ключ (show ip ssh) то его сбросить

crypto key zeroize rsa

crypto key generate rsa modulus 2048

Включить SSH v2 и ограничить транспорт на VTY только SSH (без telnet):

ip ssh version 2

line vty 0 15
 transport input ssh
 login authentication default
 exec-timeout 0 0 

Radius (мне дома не нужно)

aaa authentication login default group radius local
radius server LAB-RADIUS
 address ipv4 <radius_ip> auth-port 1812 acct-port 1813
 key <shared_secret>

* local в конце — это fallback, если RADIUS недоступен, чтобы не остаться без доступа к свитчу.

После этого логин будет с level = 1 не смотря на то что у пользователя level 15

aaa authentication login default local отвечает только за то, пустит ли пользователя (проверка логин/пароль).
Она не решает, с каким privilege level он окажется в EXEC. Привязку прав level к сессии делает отдельный компонент AAA — authorization

authorization

aaa authorization exec default local

aaa authorization console

• Без этой команды консольная сессия может вести себя иначе, чем VTY, даже при одинаковых method lists.

Другие типы авторизации тут пока не интересны (Radius / Tacacs)

network

Авторизация сетевых сервисов для конкретного пользователя/сессии — PPP, SLIP, ARAP параметры (адреса, атрибуты для VPN-подключений и т.п.).
Актуально в основном для dial-in/VPN сценариев (например, PPPoE, старые dial-up точки доступа), не для обычного доступа к CLI.

aaa authorization network default group radius