Я всегда использовал вот такие настройки для аутентификации в | Патчкорд

Я всегда использовал вот такие настройки для аутентификации в Cisco консоли:

aaa authentication login default group radius local

Сначала RADIUS, потом, если с ним что-то не то, локальные записи. Собственно, этот же подход растиражирован во всех официальных и не очень инструкциях, учебниках и статьях. Но вот так:

aaa authentication login default local group radius

тоже работает. Если логина не существует в локальной базе, то происходит авторизация по RADIUS. Локальная база хоть и стоит первой, но отсутствие логина не считается за ошибку авторизации и обработка методов продолжится. Я правда не знаю в каких конкретно Cisco и версиях IOS это работает, поэтому пробуйте.

В чём тут плюс. Если до RADIUS нельзя достучаться, а такое часто происходит во время аварий, то при использовании первого варианта тратится время на отработку таймаутов, во втором варианте можно сразу вводить локальный пароль, что сэкономит драгоценные секунды. Минуc в том же, так как локальный пароль всегда можно использовать для авторизации удалённо, хранить его надо пуще прежнего. Из разряда аварийных и на крайний случай, он становится вполне себе боевым.

Кстати, про базовые понятия AAA - это практически выдержка из официального учебника для подготовки к сдаче экзамена. Можно оценить качество и сложность, всегда мимо Security ветки проходил, может и зря.