O AAA está configurado com 'aaa authentication login default group tacacs+ local'. Durante uma interrupção do servidor TACACS+, os logins de usuário são autenticados localmente com sucesso. O que é necessário no roteador para que esse fallback funcione?

A opção correta é que uma entrada de banco de dados de usuário local deve existir. O comando aaa authentication login default group tacacs+ local define uma lista de métodos de autenticação. Ele tenta autenticar primeiro usando o grupo TACACS+. Se o servidor TACACS+ estiver inacessível ou a autenticação falhar por algum motivo de conectividade, o roteador tentará o próximo método na lista, que é local. Para que a autenticação local funcione, deve haver contas de usuário configuradas no banco de dados local do roteador. As outras opções estão incorretas: O servidor TACACS+ não precisa estar sempre acessível; o comando group tacacs+ local permite o fallback. O RADIUS não é necessário; o fallback para local é explicitamente configurado. A ordem local group tacacs+ faria com que o roteador tentasse a autenticação local primeiro, o que não é o comportamento desejado para fallback em caso de falha do TACACS+.