Коммутатор H3C. Аутентификация через радиус

[fox_m]

Пытаюсь настроить аутентификацию / авторизацию на H3C коммутаторе. 

 

radius scheme rad
 primary authentication 192.168.0.1 vpn-instance MGMT key cipher ******
 nas-ip interface LoopBack0

domain domain.ru
 authentication login radius-scheme rad
 authorization login radius-scheme rad

local-user admin class manage
 service-type telnet ssh terminal

На Radius:

Cisco-AVPair = "shell:roles=\"network-admin\"",
Cisco-AVPair = "shell:roles*\"network-admin\"",

 

При таком конфиге все работает (через радиус) и юзер получает права. Но если удалить local-user, то после проверки пароля соединение с коммутатором разрывается. Я так понимаю, что на радиусе надо как-то указать, что юзеру разрешены telnte и ssh?

[murano]

Вообще, local-user удалять плохой тон. В случае отсутствия связи, если еще и ребут железка пережила, как логиниться собираетесь? Ну ладно, допустим, консольник без пароля пустит. Но считай, что вы условно даете злоумышленнику незапароленный коммутатор) Просто для локального юзера задайте некуий "мастер-пароль" и все.