H3C命令级别如何划分与切换？

在H3C网络设备中，命令级别是保障设备安全、实现权限分级管理的重要机制，不同级别的用户拥有不同的操作权限，高级别用户可以执行低级别用户的命令，而低级别用户无法访问高级别命令，这种分级机制有效防止了误操作和非授权访问，确保网络设备的稳定运行，H3C设备的命令级别通常分为多个等级，常见的包括参观级（0级）、监控级（1级）、配置级（2级）、管理级（3级）和专家级（4级）,每个级别对应不同的功能范围和操作权限。

H3C设备的命令级别通过数字标识，数字越大，权限越高，用户登录设备后，默认处于某个级别，也可以通过命令切换级别，命令级别的划分基于网络管理的实际需求，例如参观级用户只能执行基本的查询命令，而专家级用户则拥有对所有命令的访问权限，包括设备调试、文件管理等高风险操作，为了实现精细化权限控制，管理员还可以通过自定义命令级别的方式，将特定命令分配到不同的级别,满足复杂场景下的管理需求。

常见命令级别详解

1. 参观级（0级）
   参观级是最低的权限级别，主要面向临时访客或只读用户，该级别下的命令仅限于查询设备的基本信息，如显示系统版本、运行时间、接口状态等，用户无法执行任何修改配置或影响设备运行的命令。display version、display current-configuration等命令属于参观级范围,参观级权限的设置可以有效避免无关人员对设备造成误操作。

2. 监控级（1级）
   监控级用户在参观级的基础上，增加了部分网络监控和诊断命令的权限，可以查看路由表、ARP表、接口流量统计等信息，执行display ip routing-table、display arp等命令，但监控级用户仍无法修改设备配置，适合网络运维人员进行日常故障排查和性能监控，需要注意的是，监控级命令可能会涉及敏感信息,因此应谨慎分配给可信用户。

3. 配置级（2级）
   配置级是日常网络管理中最常用的级别，用户可以执行大部分配置命令，包括接口配置、路由协议配置、ACL策略配置等。interface GigabitEthernet 0/0/1、ip address 192.168.1.1 255.255.255.0、ospf 1等命令属于配置级，配置级用户能够完成网络的常规部署和参数调整，但无法执行系统级的高风险操作，如文件管理、用户权限修改等。

   
   （图片来源网络，侵删）

4. 管理级（3级）
   管理级用户拥有更高的权限，可以执行设备的管理和维护命令，包括用户管理、文件系统操作、备份与恢复配置等。local-user admin password simple 123456、save、reset saved-configuration等命令属于管理级，管理级用户还可以访问部分系统调试命令，用于解决复杂故障，由于管理级权限较高,通常只分配给网络管理员。

5. 专家级（4级）
   专家级是最高权限级别，拥有对所有命令的访问权限，包括底层调试、硬件诊断、系统升级等高风险操作。debugging、reboot、startup saved-configuration等命令属于专家级，专家级权限应严格限制，仅在必要时由授权人员使用,避免因误操作导致设备瘫痪。

命令级别的切换与配置

用户登录设备后，默认处于用户级别（通常为0级或2级，根据设备配置而定），如果需要执行更高级别的命令，可以使用system-view命令进入系统视图（默认提升至配置级），或通过super password命令设置超级密码,验证通过后提升至管理级或专家级。

<Device> system-view
System View: return to User View with Ctrl+Z.
[Device]

在系统视图中，用户可以执行配置级命令，若需进一步提升权限,可使用：

[Device] super password cipher level 3 123456

设置完成后，通过super 3命令输入密码即可进入管理级。

自定义命令级别

H3C设备支持自定义命令级别，管理员可以将特定命令分配到非标准级别，实现更灵活的权限控制，将display diagnostic-information命令分配至1级，使监控级用户也能查看诊断信息,配置命令如下：

[Device] command-privilege level view 1 display diagnostic-information

自定义命令级别后，需确保用户级别与命令级别匹配,否则命令将无法执行。

命令级别与用户角色的关联

在实际应用中，命令级别通常与用户角色（role）结合使用，通过定义角色并分配命令级别,可以实现批量用户权限管理。

[Device] role name operator
[Device-role-operator] authorization-attribute level 2
[Device-role-operator] command-privilege set level 2

创建名为operator的角色，并将其权限设置为2级，然后将用户分配至该角色,即可统一管理用户权限。

命令级别的安全建议

1. 最小权限原则：仅分配用户完成工作所必需的最低权限级别，避免权限过度集中。
2. 定期审计：定期检查用户权限和命令级别配置，及时清理冗余或过高的权限。
3. 密码保护：为高级别命令设置超级密码，并定期更换，防止未授权访问。
4. 日志记录：启用命令日志功能，记录用户的高级别操作,便于事后追溯和故障排查。

命令级别与视图的关系

H3C设备的命令不仅与级别相关，还与当前视图（如用户视图、系统视图、接口视图等）有关，不同视图下可执行的命令范围不同，且命令级别可能叠加，在接口视图中执行shutdown命令（配置级），需先进入系统视图（配置级），再进入接口视图,视图的切换和命令级别的限制共同构成了多层次的权限控制体系。

H3C设备的命令级别机制通过数字分级和权限划分，实现了对设备操作的精细化管控，从参观级到专家级，每个级别都有明确的功能边界和应用场景，管理员可根据实际需求合理分配权限，并结合自定义命令级别和用户角色功能，构建安全、高效的网络管理体系，正确使用命令级别不仅能降低误操作风险,还能提升网络运维的规范性和安全性。

FAQs

问题1：如何查看当前用户所处的命令级别？
解答：用户可以通过执行display privilege命令查看当前所处的命令级别，在用户视图下输入该命令，将显示当前用户级别及可切换的最高级别，在系统视图或其他配置视图中，命令行提示符中的方括号内也会显示当前视图级别，如[Device]表示配置级，[Device-GigabitEthernet0/0/1]表示接口视图（继承配置级权限）。

问题2：如何修改设备的默认命令级别？
解答：设备的默认命令级别通常为0级（参观级）或2级（配置级），可通过user-privilege level命令修改，将默认用户级别设置为2级：

<Device> system-view
[Device] user-privilege level 2

修改后，新登录的用户将默认处于2级，需要注意的是，修改默认级别可能影响设备安全性，建议谨慎操作,并确保非授权用户无法访问设备。