Root negado login se a rede estiver inoperante (ambiente LDAP)

Question

Gostaria de saber por que não consigo fazer login como root (ssh, sudo ou su -) quando meu LDAP está inativo ou quando tenho alguma interrupção em minha rede.

Como reproduzir o problema: - Apenas mude seu DNS para algo que não funciona (exemplo: nameserver 100.0.2.2) - Tente fazer o login (su -) ou ssh

O / var / log / secure diz:

Feb 26 18:45:39 vmcentos5 sshd[6311]: Accepted password for root from 10.0.2.2 port 59717 ssh2
Feb 26 18:46:19 vmcentos5 sshd[6311]: nss-ldap: do_open: do_start_tls failed:stat=-1
Feb 26 18:46:59 vmcentos5 sshd[6311]: nss-ldap: do_open: do_start_tls failed:stat=-1
Feb 26 18:46:59 vmcentos5 sshd[6311]: nss_ldap: could not search LDAP server - Server is unavailable

Mas você não consegue o prompt para trabalhar.

Isso é pam.d / system-auth:

auth        required      pam_env.so
auth        sufficient    pam_unix.so nullok try_first_pass
auth        sufficient    pam_ldap.so use_first_pass
auth        requisite     pam_succeed_if.so uid >= 500 quiet
auth        required      pam_deny.so

account     required      pam_access.so
account     required      pam_unix.so
account     sufficient    pam_succeed_if.so uid < 500 quiet
account     sufficient    pam_ldap.so
account     required      pam_permit.so

password    requisite     pam_cracklib.so try_first_pass retry=3
password    sufficient    pam_unix.so md5 shadow nullok try_first_pass use_authtok
password    sufficient    pam_ldap.so use_authtok
password    required      pam_deny.so

session     required      pam_mkhomedir.so skel=/etc/skel/ umask=0027
session     optional      pam_keyinit.so revoke
session     required      pam_limits.so
session     [success=1 default=ignore] pam_succeed_if.so service in crond quiet use_uid
session     required      pam_unix.so
session     optional      pam_ldap.so

• Por que não consigo fazer a casca funcionar?
• Por que 'su -' tenta se conectar no LDAP até se tornar root, mesmo com 'nss_initgroups_ignoreusers root' no meu ldap.conf?

Obrigado!