H3C SecPath F1080vpn用户丢失

1. 1. 账号“闲置过期”机制

   H3C 防火墙有严格的账号闲置超时机制（password-control login idle-time）。默认情况下，如果账号超过 90 天未登录，账号会自动失效（状态变为 inactive），即使密码正确也无法登录。
   • 现象吻合度：如果您的备份配置是比较久之前的，导入后部分活跃用户能用，但那些长期未登录的用户（或新建用户模拟旧环境）可能被系统判定为“闲置过期”。
   • 排查与解决：
     • 尝试在系统视图下执行 password-control login idle-time 0，禁用闲置时间限制。
     • 或者，针对新建的用户，手动执行 local-user <username> state active，强制将其状态激活。

   2. 密码策略与“过期宽限期”冲突

   新建用户登录失败，往往是因为密码老化策略（Password Aging）与过期登录限制不匹配。
   • 现象：设备可能要求用户首次登录必须修改密码，但如果没有配置“过期后允许登录的次数”或“宽限期”，用户会直接被拒绝。
   • 排查与解决：
     • 检查全局密码策略：display password-control。
     • 确保配置了合理的过期后登录策略，例如：password-control expired-user-login delay 60 times 10（允许过期后 60 天内登录 10 次）。
     • 关键操作：给新建用户设置密码后，尝试在用户视图下执行 password-control aging 90（或具体天数），显式重置其密码老化时间，而不仅仅是输入密码。

   3. 用户“黑名单”残留（暴力破解防御）

   如果在用户丢失期间，有大量非法登录尝试（如暴力破解），H3C 防火墙可能会将整个IP段或特定用户名加入黑名单。
   • 现象吻合度：导入的旧用户可能因为之前登录成功过（在白名单）或使用了不同的客户端，而新建的用户（尝试新连接）直接被拦截。
   • 排查与解决：
     • 执行 display local-user lock-status 查看用户是否被锁定。
     • 执行 reset password-control blacklist 清除动态黑名单记录。
     • 检查攻击防御日志：display attack-defense log，确认是否有针对该用户的暴力破解记录导致封禁。

   4. 配置未保存或“影子配置”冲突

   H3C 设备有时存在“当前配置”与“保存配置”不一致的情况，或者存在隐藏的“影子配置”。
   • 排查与解决：
     • 必须执行：save force 强制保存配置。
     • 重启验证：如果条件允许，重启设备。如果重启后新建用户能用，说明之前是内存中的临时状态（如会话残留）干扰了认证。
     • 检查是否有同名的远程用户（如 RADIUS/LDAP 用户）配置冲突，导致本地用户无法生效。

   5. SSL VPN / L2TP 服务模块状态异常

   用户配置是正确的，但承载用户的“服务容器”（Context）可能处于异常状态。
   • 现象：用户配置在全局生效，但 VPN 隧道无法建立。
   • 解决：
     • 尝试重启 VPN 服务。例如，对于 SSL VPN，进入上下文视图，执行 undo service enable 然后 service enable。
     • 检查地址池是否耗尽：display ip pool，如果地址池满，新用户会认证失败。

重新创建后是可以使用的，是不是配置的有问题。