Что это такое?

Это выбор источника аутентификации.

Зачем это нужно?

Чтобы выбирать между аутентификацией по локальной таблице пользователей, на централизованном сервере RADIUS/TACACS+, или безусловным отказом.

Как это настроить?

local

По локальному списку пользователей на данном устройстве (кроме политики PPP). Устаревшая настройка, сохранена для совместимости с имеющимися конфигурациями.
Имена и пароли системных пользователей задаются в узле users. Для пользователей PPP имена и пароли задаются в отдельных таблицах ppp-secrets.

strict local

По локальному списку, но с использованием более строгих процедур. Рекомендуется для всех новых инсталляций.

radius

По централизованному серверу RADIUS.

tacacs

По централизованному серверу TACACS+.

deny

Отказать в аутентификации безусловно. Этот режим используется, например, чтобы временно отключить данный способ аутентификации, не удаляя существующих настроек.

Для аутентификации по RADIUS/TACACS+ далее необходимо настроить IP-адрес, порт сервера и пароль для доступа на него.

ПРИМЕЧАНИЕ. При аутентификации по TACACS+ в запросе указываются различные значения полей service и protocol в зависимости от выбранной политики:

default	service=raсcess protocol=none	Для доступа к асинхронным портам
	нет	Для PPP/PPTP/PPPoE/L2TP
	service=exec	Для всех остальных случаев
login	service=exec
ppp	нет
remote-access	service=raсcess protocol=none
ssh	service=exec
cisco-like-ssh и http-server	service=exec	Для доступа к конфигурации устройства: для пользователей, существующих локально; для пользователей, не существующих локально — c заданным уровнем привилегий или ролью. См. пример.
	service=shell	Для доступа к конфигурации устройства для пользователей, не существующих локально — с покомандной авторизацией. См. пример.

Что делать, если это не работает?

1. Проверить, что вы точно знаете и правильно вводите имена и пароли. Регистр, раскладка клавиатуры и т.п.
2. Проверить, что вы аутентифицируетесь от того источника, от которого должны. Например, если пользователь создан и локально, и на централизованном сервере, то там и там могут быть разные пароли; убедитесь, что вводите правильный.
3. Убедитесь, что адрес и порт сервера заданы правильно, адрес доступен, порт открыт.
4. Если конфигурация клонирована с другого устройства, то ввести заново пароль сервера аутентификации. Пароль хранится в зашифрованном виде с солью, зависящей от конкретной машины, поэтому перенесённый шифр недействителен на новой машине. Сервер TACACS+ в этом случае выдаёт единственную строку с адресом клиента и сообщением "New session". Цвет сообщения означает его мнение о вас.