Вопрос по Role-Based CLI, у меня работает в сети AAA сервер по TACACS+
аутентифицирет, авторизует всех кто заходит на устройства (cisco).
Необходимо сделать и локальную аутентификацию, авторизацию
и как одно из решений делать это через privilige level,
но исходя из вышеизложенного есть более современный и гибкий метод через
Role-Based CLI.

1) в случае работоспособности ААА-сервера аутентификация и авторизация происходит
на нем (сделано)
2) Как в случае падения ААА-сервера произвести аутентификацию и авторизацию локально + чтобы когда пользователь входит в систему чтобы ему не вводить #enable 5 чтобы попасть на свой уровень а после ввода логина и пароля попадать сразу на свой уровень с настроенными для этого пользователя командами с приглашением # ?
3) Как настроить взаимодействие Role-Based CLI с ААА ума не приложу?


Люди добрые подскажите кто чем может:) Заранее благодарю!

Надо немного поэкспериментировать
Как направление мысли:

aaa authorization exec default group tacacs local

(авторизацию тоже можно делать не на одном сервере, а перебирая методы)

я уже ОБэксперементировался!
необходимы реально работающие советы

то есть на выходе должно быть :

1) Захожу по ssh (он уже настроен) ввожу login/password
2) Появляется приглашение # с командами разрешенными в parser view

При локальной аутентификации к юзеру можно напрямую привязать созданный view

user <USER> view <VIEW>

При аутентификации (а вернее, авторизации) через TACACS по-моему у юзера тоже есть такой атрибут... Но это надо проверить. Поищите в расширенных атрибутах (включаются, как правило, отдельно в закладке advanced) упоминание о view. У меня сейчас под рукой нет ААА-сервера к сожалению

Да для TACACS+ существует такой атрибут как “cli-view-name", но это уже отошло для меня на второй план так как не получается сначала сделать локально:(

При "user <USER> view <VIEW>" все равно приходится для входа в привилигированный режим писать :
>enable view nameofview
и password а есть ли возможность после ввода логина и пароля сразу попадать в #?

и еще получается заходить н6а устройство при настройке user <USER> view <VIEW> secret xxxxx, а не user <USER> view <VIEW>

у меня получилось:)

Это хорошо

Где зарылась собака?