集中认证服务器一挂管理员全被锁门外？HWTACACS加本地兜底

账号集中到HWTACACS服务器统一管理，服务器一挂全网管理员同时被锁门外。把认证授权方案配成hwtacacs优先加local兜底，服务器无响应自动转本地账号，深夜故障也不用干瞪眼。

集中认证为什么怕服务器挂？

设备账号集中到HWTACACS服务器统一管理之后，运维体验确实上了一个台阶：账号一处维护、权限一处下发、操作全程留痕。但集中架构天然带着一个悖论——认证服务器故障时，全网设备的管理员同时被锁在门外，而服务器故障偏偏最爱挑网络出事的时候发生。手里没个本地备份账号，深夜割接遇上服务器宕机，那才叫叫天天不应。

解法是把认证方案配成"HWTACACS优先、本地兜底"：服务器正常时走集中认证，服务器无响应时自动转本地账号。官方案例用STelnet登录场景演示了全套配置。

HWTACACS模板和AAA方案怎么配？

先做好STelnet基础：VTY界面认证方式指AAA、使能STelnet服务、配置SSH用户。然后是主角登场，建HWTACACS服务器模板，认证、授权、计费三个地址都指向同一台服务器，共享密钥两端一致：

[Switch] hwtacacs enable
[Switch] hwtacacs-server template template1
[Switch-hwtacacs-template1] hwtacacs-server authentication 10.1.6.6 49
[Switch-hwtacacs-template1] hwtacacs-server authorization 10.1.6.6 49
[Switch-hwtacacs-template1] hwtacacs-server accounting 10.1.6.6 49
[Switch-hwtacacs-template1] hwtacacs-server shared-key cipher YsHsjx_202206
[Switch-hwtacacs-template1] quit

接着配三个方案，关键字都在mode的写法上：认证和授权都是"hwtacacs local"，顺序就是回退次序；计费方案除了hwtacacs计费，还要加一条accounting start-fail online——计费服务器连不上时别把登录也拦了，应急优先：

[Switch] aaa
[Switch-aaa] authentication-scheme sch1
[Switch-aaa-authen-sch1] authentication-mode hwtacacs local
[Switch-aaa-authen-sch1] quit
[Switch-aaa] authorization-scheme sch2
[Switch-aaa-author-sch2] authorization-mode hwtacacs local
[Switch-aaa-author-sch2] quit
[Switch-aaa] accounting-scheme sch3
[Switch-aaa-accounting-sch3] accounting-mode hwtacacs
[Switch-aaa-accounting-sch3] accounting start-fail online
[Switch-aaa-accounting-sch3] quit

管理域和本地兜底账号怎么挂？

把模板和方案挂进管理域，并设为全局默认管理域：

[Switch-aaa] domain example.com
[Switch-aaa-domain-example.com] hwtacacs-server template1
[Switch-aaa-domain-example.com] authentication-scheme sch1
[Switch-aaa-domain-example.com] authorization-scheme sch2
[Switch-aaa-domain-example.com] accounting-scheme sch3
[Switch-aaa-domain-example.com] quit
[Switch-aaa] quit
[Switch] domain example.com admin

最后备好本地账号，级别给够：

[Switch] aaa
[Switch-aaa] local-user user1 password irreversible-cipher YsHsjx_202207
[Switch-aaa] local-user user1 service-type ssh
[Switch-aaa] local-user user1 privilege level 15
[Switch-aaa] return

兜底的触发条件有哪些门道？

有一条行为规则务必吃透：本地兜底只在"服务器Down或无响应"时触发。如果账号在服务器上不存在，即便本地有同名账号，HWTACACS返回的也是明确的认证失败，设备不会转本地——这是刻意设计，防止有人拿本地账号绕过集中管控。所以本地兜底账号的口令要按最高规格管理，离线封存，专人启用。

再补一个细节：管理员要从低权限往高权限切换时，super命令本身也要过一次认证，通过才放行新级别；从高级别降下来则无需认证。这条规则跟双认证方案配合起来，权限的口子收得很紧。兜底账号建议每季度演练一次启用流程——备份的意义不在配置里，在练熟的手上。

依据：华为官方典型配置案例（2026-11 版）。

贵州诚鑫致达科技提供网络搭建与运维服务，统一运维认证改造的方案设计与设备部署可电话沟通。