Phân quyền trong Cisco IOS

[dangquangminh]

🔐 Privilege Levels trên Cisco IOS/XE – Cơ chế kiểm soát truy cập CLI

📌 Privilege Levels là gì?


Trong Cisco IOS và IOS XE, Privilege Levels là cơ chế cho phép quản trị viên kiểm soát quyền truy cập vào các lệnh CLI trên thiết bị mạng.

Việc kiểm soát này được thực hiện bằng cách:

• Gán mức đặc quyền (privilege level) cho user account
• Account có thể nằm trong:
  • Local database trên thiết bị
  • Hoặc hệ thống AAA như Cisco ISE (Identity Services Engine)

👉 Trong phạm vi bài này, chúng ta tập trung vào local user database.

---

🔢 Cấu trúc Privilege Levels (0–15)


Cisco định nghĩa tổng cộng 16 mức privilege (0 → 15), mỗi mức tương ứng với một phạm vi quyền hạn khác nhau: 🔻 Level 0 – Minimal Access

• Quyền rất hạn chế
• Chỉ cho phép một số lệnh cơ bản:
  • disable
  • enable
  • logout
  • exit
  • help

👉 Thường dùng cho access cực kỳ hạn chế hoặc môi trường lab/demo.

---

🔹 Level 1 – User EXEC Mode (Default)

• Mức mặc định khi user login
• Cho phép:
  • Các lệnh show
  • Các thao tác kiểm tra cơ bản như ping

👉 Phù hợp cho:

• NOC monitoring
• Helpdesk level 1

---

🔺 Level 15 – Privileged EXEC Mode (Full Access)

• Quyền cao nhất trên thiết bị
• Có thể:
  • Cấu hình toàn bộ hệ thống (configure terminal)
  • Debug, reload, thay đổi routing, security…

👉 Đây là quyền root/admin trong Cisco IOS.

---

⚙️ Levels 2–14 – Custom Privilege Levels

• Cho phép tùy biến granular access
• Admin có thể:
  • Gán lệnh cụ thể vào từng level
  • Sau đó gán level cho user

👉 Ví dụ:

• Level 5: chỉ được show running-config
• Level 7: thêm quyền clear counters
• Level 10: thêm quyền debug hạn chế

---

⚠️ Cơ chế kế thừa (Hierarchy) – Con dao hai lưỡi


Một đặc điểm cực kỳ quan trọng:

👉 Privilege Levels trong IOS là hierarchical

Nghĩa là:

• Nếu một lệnh được gán cho level X
  → tất cả level cao hơn (X+1 → 15) đều có quyền sử dụng lệnh đó

📌 Ví dụ:

privilege exec level 5 show running-config


➡️ Khi đó:

• Level 5 có quyền
• Level 6 → 15 cũng có quyền

---

🚨 Rủi ro bảo mật từ cơ chế kế thừa


Cơ chế này dẫn đến một số vấn đề: 1. Khó kiểm soát quyền chính xác


Bạn chỉ muốn cấp quyền cho một nhóm nhỏ → nhưng vô tình mở rộng cho toàn bộ level cao hơn.

---

2. Vi phạm nguyên tắc Least Privilege

• User có thể có nhiều quyền hơn cần thiết
• Tăng attack surface nếu account bị compromise

---

3. Kế thừa mặc định từ Level 0 và 1

• Các lệnh mặc định của level 0 và 1
  → được kế thừa bởi tất cả level 2–14

👉 Điều này làm cho việc “fine-tuning” trở nên khó khăn.

---

🧠 Giải pháp nâng cao: Role-Based CLI (Parser Views)


Để giải quyết các hạn chế của privilege levels truyền thống, Cisco cung cấp: 🔍 Role-Based CLI (Parser Views)

📌 Khái niệm


Parser Views là cơ chế RBAC (Role-Based Access Control) trên CLI:

• Không còn phụ thuộc vào hierarchy 0–15
• Không có kế thừa mặc định
• Quyền được explicitly defined

---

🔑 Nguyên lý hoạt động


Admin sẽ:

1. Tạo một view (role)
2. Chỉ định chính xác các lệnh được phép
3. Gán view cho user

👉 User chỉ thấy và sử dụng được:

• Các lệnh được allow
• Không có “inheritance leak”

---

🔒 Lợi ích bảo mật

✅ 1. Áp dụng đúng nguyên tắc Least Privilege

• Chỉ cấp đúng những gì cần

✅ 2. Không có inheritance

• Không lo “lộ quyền” sang level khác

✅ 3. Phù hợp môi trường enterprise

• Phân quyền theo role:
  • NOC
  • SOC
  • Helpdesk
  • Junior Engineer
  • Automation account

---

📌 So sánh thực tế


Privilege Levels

• Dễ triển khai
• Nhưng:
  • Khó kiểm soát chi tiết
  • Có inheritance → rủi ro

Parser Views

• Triển khai phức tạp hơn
• Nhưng:
  • Chính xác
  • An toàn hơn
  • Phù hợp Zero Trust / AAA model

---

🎯 Góc nhìn thực chiến (CCIE / Security Architect)


Trong môi trường production:

👉 KHÔNG nên dựa hoàn toàn vào privilege levels

Thay vào đó:

• Kết hợp:
  • AAA (TACACS+/ISE)
  • Command authorization
  • Parser Views (nếu local)

---

📌 Best Practices

• Không cấp level 15 cho user thường
• Tránh gán lệnh nhạy cảm vào level thấp
• Audit lại privilege mapping định kỳ
• Ưu tiên RBAC (Parser Views hoặc AAA-based)

---

🚀 Kết luận


Privilege Levels là cơ chế nền tảng trong Cisco IOS để kiểm soát truy cập CLI, nhưng:

• Hierarchical model → dễ gây over-permission
• Không phù hợp cho môi trường cần kiểm soát chặt

👉 Trong các hệ thống hiện đại:

• Nên chuyển sang Role-Based CLI hoặc AAA command authorization
• Áp dụng Least Privilege + Zero Trust