Понимаем CLI: Уровни доступа и иерархия режимов в коммутаторах
При управлении сетевым оборудованием через интерфейс командной строки (CLI) важно понимать, что это не просто «черный экран с текстом».
Операционная система коммутатора использует гибкую систему уровней
привилегий и различные режимы работы. От того, под какой учетной записью
вы зашли, напрямую зависит, какие команды вам будут доступны.
Главный помощник в CLI — это символ вопросительного знака "?". Введя его в
консоли, вы всегда получите подсказку — список всех команд, разрешенных
для вашего текущего уровня доступа.
Иерархия привилегий: от новичка до администратора
Всего система поддерживает 15 уровней привилегий, но на практике, как
правило, используются три основных типа учетных записей, которые жестко
привязаны к этим уровням:
- Basic User (Уровень 1): Базовый пользователь.
Это самый низкий приоритет. Такой аккаунт предназначен только для
«только чтения» (read-only). Пользователь может войти в систему, чтобы
посмотреть общее состояние оборудования, но не имеет прав на изменение
конфигурации или сбор детальной статистики. - Advanced User (Уровень 12): Продвинутый пользователь.
Это промежуточное звено. Пользователи с таким уровнем доступа могут не
только просматривать информацию о системе (включая данные по почте или
веб-интерфейсам), но и управлять некоторыми настройками. Им также
доступны команды для сброса (очистки) статистических данных. - Administrator (Уровень 15): Администратор.
Высший уровень привилегий. Только администратор получает полный
контроль над устройством: доступ ко всей информации, всем параметрам
системы и возможность вносить изменения в конфигурацию.
Режимы командной строки: лестница вверх
В CLI коммутатора нельзя просто так взять и ввести команду настройки интерфейса. Нужно понимать контекст — так называемые режимы. Они выстроены в строгой иерархии:
- User EXEC Mode (Пользовательский режим): Это отправная точка. Режим обычно обозначается символом > в приглашении (например, Switch>). Он позволяет выполнять лишь базовые команды для диагностики связи (ping, traceroute) и просмотра ограниченной статистики.
- Privileged EXEC Mode (Привилегированный режим): Следующая ступень, обозначаемая символом # (например, Switch#). Здесь доступен более широкий круг команд: просмотр конфигураций, управление файлами образа ОС, детальная диагностика.
- Global Configuration Mode (Режим глобальной конфигурации):
Самый важный режим для настройки. Попасть в него можно только из
привилегированного режима. Именно здесь (и в его дочерних режимах)
"живут" команды, которые меняют работу устройства — настройки
интерфейсов, протоколов маршрутизации, безопасности и т.д.
Как это работает на практике?
Сценарий входа в систему зависит от того, какой уровень привилегий присвоен вашей учетной записи:
- Если вы вошли как Basic User (Уровень 1), вы сразу окажетесь в User EXEC Mode. Чтобы поднять уровень привилегий, вам потребуется ввести команду enable и, скорее всего, пароль.
- Если вы вошли как Advanced User (Уровень 12) или Administrator (Уровень 15), вы сразу попадаете в Privileged EXEC Mode, минуя пользовательский режим.
Однако важно помнить: даже обладая уровнем 12, вы не сможете настраивать устройство «глобально». Переход в режим Global Configuration Mode — это прерогатива исключительно Administrator (Уровень 15).
Более того, все специальные режимы конфигурации (конфигурация портов,
VLAN, ACL и т.д.) доступны только администраторам, что логично: менять
параметры работы железа должны только те, кто за это отвечает.
Разбираем режимы CLI
Теперь давайте посмотрим на эту систему с практической точки
зрения: что конкретно видит и может делать администратор в каждом из
режимов. Это поможет избежать ошибок при настройке и разграничении прав
доступа.
1. User EXEC Mode (Уровень доступа: Basic User)
Это режим «только для чтения» (read-only). Если вы вошли в систему как Basic User, вы оказались именно здесь.
- Что можно делать:
Режим дает минимально необходимый функционал для мониторинга. Вы можете просматривать базовую информацию о системе (версию ОС, время работы), общее состояние интерфейсов (подняты они или опущены) и выполнять простейшую диагностику связи — например, команды ping или traceroute. - Что нельзя делать:
Пользователь не видит никакой информации, относящейся к безопасности
(например, текущие пароли или ACL), и уж тем более не может менять
настройки оборудования. Это идеальный вариант для роли наблюдателя или
стажера.
2. Privileged EXEC Mode (Уровень доступа: Advanced User / Administrator)
Попасть в этот режим можно либо сразу (если вы Advanced User или Administrator), либо введя команду enable из пользовательского режима. Приглашение командной строки меняется с > на #.
- Что можно делать:
Для Advanced User (Уровень 12):
Это «золотая середина». Пользователь видит уже не только базовую
статистику, но и детальную информацию о системе (включая веб-интерфейсы и почтовые настройки, если они есть). Также на этом уровне доступны
команды для обслуживания — например, очистка логов или сброс счетчиков
статистики (clear).
Для Administrator (Уровень 15):
Здесь открывается полная картина. Администратор может просматривать
абсолютно все настройки системы, включая конфиденциальные данные. Однако важно понимать: даже с уровнем 15, находясь в привилегированном режиме, вы пока только смотрите. Чтобы менять, нужно сделать следующий шаг.
3. Global Configuration Mode (Уровень доступа: Только Administrator)
Это сердце управления коммутатором. Режим глобальной конфигурации
предназначен для изменения параметров устройства. Попасть в него можно
только с максимальным уровнем привилегий — 15 (Administrator).
- Как войти: Находясь в привилегированном режиме (Privileged EXEC), необходимо ввести команду configure terminal (часто сокращаемую до conf t).
- Что можно делать:
Глобальные изменения:
Здесь задаются параметры, влияющие на устройство в целом: имя хоста
(hostname), пароли для доступа, IP-маршруты по умолчанию и т.д.
Вход в «подрежимы»:
Главная особенность этого режима — он служит шлюзом для доступа к более специфичным настройкам. Например, вы не можете настроить конкретный порт, находясь в глобальной конфигурации. Для этого нужно войти в специальный режим конфигурации интерфейса. Из глобальной конфигурации это делается командами типа interface GigabitEthernet0/1.
Краткое резюме:
- User EXEC (>) — только посмотреть основное.
- Privileged EXEC (#) — посмотреть всё + обслуживание (очистка).
- Global Config ((config)#) — изменить настройки (только для администраторов).
Погружаемся в настройки: Interface Configuration Mode
После того как мы разобрались с глобальной конфигурацией, логичным следующим шагом становится настройка конкретных точек подключения — интерфейсов. В мире коммутаторов интерфейсом может быть что угодно: физический порт (например, ethernet 1/0/1), группа портов (диапазон),
агрегированный канал (Port-Channel) или VLAN-интерфейс
(vlan), через который осуществляется маршрутизация между подсетями.
Для управления этими сущностями используется специальный Interface Configuration Mode (Режим конфигурации интерфейсов).
Особенности режима:
- Контекстность: Команды, введенные в этом режиме, применяются только к выбранному интерфейсу (или их группе).
- Зависимость от типа:
Набор доступных команд будет меняться в зависимости от того,
настраиваете ли вы физический порт доступа или виртуальный интерфейс
VLAN. Например, команды для настройки транка (switchport mode trunk) не будут доступны в контексте VLAN-интерфейса.
Как войти в режим:
Переход осуществляется из режима глобальной конфигурации (Global Configuration Mode). Для этого используется команда interface, после которой указывается конкретный интерфейс:
DGS-1250-28X(config)# interface ethernet 1/0/1
DGS-1250-28X(config-if)#
Обратите внимание: приглашение командной строки меняется на (config-if)#, сигнализируя о том, что вы внутри интерфейса.
Как выйти из режима:
- Для выхода из текущего режима конфигурации и возвращения к предыдущему режиму используется команда exit.
- Для выхода из текущего режима конфигурации и возвращения к начальному режиму интерфейса командной строки для данного пользователя, т. е. к пользовательскому режиму (User EXEC Mode) или привилегированному режиму (Privileged EXEC Mode) используется команда end.