Quando si abilita l'autenticazione AAA, il failback sembra non funzionare

Attivazione del gruppo di autenticazione AAA per l'accesso

remoto L'autenticazione AAA per LDAP (Lightweight Directory Access Protocol) è stata configurata con l'opzione di fallback all'accesso locale se i server LDAP non sono raggiungibili.  

Quando i server LDAP non sono raggiungibili, gli switch MDS (Multilayer Director) non tornano ai database locali anche se il seguente comando è presente nelle configurazioni in esecuzione. MDS NX-OS 6.2(13), 6.2(13a), 6.2(13b)

"aaa authentication login default fallback error local"

L'unica eccezione è rappresentata da MDS 9250i, che esegue il fallback nel database locale mentre il server LDAP non è raggiungibile.

Questo comportamento è stato testato in MDS 9513 e MDS9250i con la stessa versione di NX-OS (MDS NX-OS 6.2(13), 6.2(13a), 6.2(13b)).
MDS 9250i non presenta alcun problema e torna al database locale quando il server LDAP non è raggiungibile, ma altri switch MDS non lo fanno.

Questo problema si verifica solo quando gli switch MDS hanno una configurazione LDAP. Ciò non si verifica con le configurazioni TACACS (Terminal Access Controller Access-Control System).

Se il server LDAP non è raggiungibile, gli utenti non possono accedere allo switch utilizzando il nome utente e la password locali.

Bug Cisco CSCuy39447

https://tools.cisco.com/bugsearch/bug/CSCuy39447/?reffering_site=dumpcr
 

Correzione permanente: Questa situazione verrà risolta in una versione futura del codice.

Soluzione alternativa:
Questa è la soluzione alternativa consigliata da Cisco, ma non risolve il problema.
Per tornare all'accesso locale con server LDAP irraggiungibili, è necessario accedere alla porta della console e disabilitare LDAP.

Accedere con la password del nome utente locale utilizzando la connessione alla console.  

Se si desidera comunque assicurarsi che lo switch MDS utilizzi l'autenticazione LDAP, se è possibile accedere allo switch, è possibile rimuovere ldap-search-map da "aaa group server ldap", in modo che il gruppo aaa abbia un aspetto simile al seguente:

aaa group server ldap ldap_group
server x.x.x.x
no ldap-search-map

Senza ldap-search-map, lo switch MDS esegue il fallback all'autenticazione locale se il server LDAP non è raggiungibile.