CISCO ISR4431路由器ISE AAA认证顺序问题

[eric888888]

CISCO ISR4431路由器ISE AAA认证顺序问题， 配置了两个ISE AAA服务器，一个是ISE1服务器，第二个是ISE2服务器。现在问题是ISE1服务器正常，但是每次通过AAA账号登录，ISR4431路由器总是去ISE2服务器请求认证，只有把ISE2服务器关闭后才会走ISE1服务器认证，请问原因，希望是优先走ISE1服务器认证

[Rps-Cheers]

在 ISR4K设备中，选择 RADIUS 服务器进行身份验证的顺序通常遵循指定的顺序。以下是 RADIUS 服务器选择在这些设备上如何工作的一般方法：
1、Server Group 配置：RADIUS 服务器被分组在服务器组中。您可以在单个组中配置多个 RADIUS 服务器以提供冗余和负载平衡。
2、服务器优先级：在服务器组内，您可以对服务器进行优先级排序。路由器首先尝试使用最高优先级的服务器进行身份验证。
3、服务器可用性：如果最高优先级服务器不可用或没有响应，路由器将移动到列表中的下一个服务器。此过程将持续进行，直到服务器响应或所有服务器都耗尽为止。
4、Load Balancing：如果配置了负载均衡，路由器可以将身份验证请求分发到多个 RADIUS 服务器，而不是严格遵循优先级顺序。

如下所示：可以把Server2调整到第一位看看。

aaa group server radius RADIUS-GROUP
 server name RADIUS2
 server name RADIUS1

[Rockyw]

默认控制器用户身份验证的优先级顺序配置为本地和 RADIUS (local and RADIUS)。使用 TACACS+，身份验证的顺序可以为 TACACS+ 和本地 (TACACS+ and local) 或本地和 TACACS+ (local and TACACS+)。

第 1 步： 从 GUI 中，转至安全 (Security) > 优先级顺序 (Priority Order) > 管理用户 (Management User)。使用向上和向下箭头按钮，选择“身份验证”(Authentication) 并将其排序为 TACACS+ 后跟 LOCAL。

第 2 步： 点击应用 (Apply)。

两台ISE配置不同的优先级试试。 @eric888888 

[Rockyw]

@eric888888  可以参考一下下面的文档

对失败的身份验证和授权进行故障排除

https://www.cisco.com/c/dam/en/us/td/docs/security/ise/how_to/localization/HowTo-81-Troubleshooting_FailedAuthC-zh_CN.pdf