7003X怎么配置才能让别人无法恢复密码

核心命令（最重要）
plaintext
system-view
undo password-recovery enable
The command will disable the password recovery function. Continue? [Y/N]:Y
save force
功能解释（必须看懂）
✅ 默认开启：别人接 Console、重启设备，Ctrl+B 进入 BootWare，可以跳过密码、保留原有配置登录设备改密码。
✅ 执行 undo password-recovery enable 关闭密码恢复能力之后：
非法人员即使 Console 重启进入 BootWare，不再提供「跳过密码、保留配置」选项；
想要登录设备，只能选择【恢复出厂配置】，系统会自动清空 flash 内 startup.cfg 所有业务配置。
也就是说：拿到设备物理权限，要么清空所有配置才能进系统，无法悄无声息破解密码窃取现有配置。
⚠️ 重大风险告知（生产务必知悉）
你自己后续遗忘密码，同样只能恢复出厂，业务配置全部丢失！
执行这条命令前，永久妥善离线备份配置文件！
IRF 堆叠场景：两台主控分别登录执行这条命令，分别保存配置，只配一台不生效。
这条命令不可逆风险：后续想开启恢复功能，必须正常登录设备执行：
plaintext
password-recovery enable
save force
进阶加固配套（推荐一起配置，多层防护）
1、设置 BootWare（Ctrl+B 菜单）密码
防止别人进入 BootWare 随意操作文件、上传版本：
plaintext
system-view
bootrom password
# 交互输入你自定义的BootROM密码，妥善保管
save force
效果：重启按 Ctrl+B 进入 BootWare 菜单，先要输入密码，无法直接进入。
2、关闭 USB 接口，防止非法拷贝配置文件
plaintext
usb disable
3、Console 口加固
plaintext
line console 0
authentication-mode scheme
quit
local-user admin class manage
password hash 【高强度密码】
authorization-attribute user-role network-admin
service-type terminal ssh
关键限制（客观说明，不要理想化）
没有任何配置可以做到：拿到物理 Console 线 + 断电重启，完全无法攻破。
只要能物理接触硬件，极端手段（拆 flash 芯片读取配置）理论上仍然可行；上面配置是设备固件层面最高等级软件防护，满足等保常规安全要求。
你提问第二点：密码是什么？
没有通用万能密码！所有密码都是管理员自行配置：
本地用户密码（SSH/Console/Web 登录密码）：你自己创建的 local-user 密码；
BootROM 密码：执行bootrom password手动设置；
关闭密码恢复功能不会新增、修改任何登录密码，只是限制 BootWare 破解方式。
核查当前状态命令
plaintext
display device security
可以查看 Password recovery capability 开启 / 关闭状态。
最简实施步骤
TFTP 导出完整配置，本地离线备份；
执行 undo password-recovery enable 并保存；
配置 bootrom 密码；
再次导出配置备份；
记录所有密码，妥善存档。

要防止他人恢复 H3C 7003X 交换机的密码，核心是关闭密码恢复功能，并配合设置 BootROM 密码等加固措施。

下面是具体的配置步骤和风险说明。

🔑 关键配置：关闭密码恢复功能

这是最重要的一步，会彻底改变设备的安全状态。

1. 进入系统视图：

   text

   <H3C> system-view

2. 关闭密码恢复功能：

   text

   [H3C] undo password-recovery enable

   系统会提示确认，输入 Y 即可。

3. 保存配置：

   text

   [H3C] save force

此命令的效果：

• 默认情况（功能开启）：任何人都能通过 Console 口重启设备，进入 BootWare 菜单跳过密码，并保留原有配置直接修改密码。

• 执行命令后（功能关闭）：若再想通过 BootWare 菜单操作，唯一的选项是“恢复出厂配置”，这会导致 startup.cfg 文件被清空，所有业务配置丢失。这能有效防止非法用户窃取或篡改现有配置。

🛡️ 进阶加固：多层防护

为进一步提升安全性，建议配合以下配置：

1. 设置 BootROM 密码
   防止他人随意进入 BootWare 菜单。

   text

   [H3C] bootrom password

   执行后，按提示输入并确认你的自定义密码即可。重启后按 Ctrl+B 进入 BootWare 菜单时，将首先要求输入此密码。

2. 加固 Console 口
   为本地物理访问增加一道认证防线。

   text

   [H3C] user-interface console 0 [H3C-line-console0] authentication-mode password [H3C-line-console0] set authentication password simple [你的密码]

3. 创建强密码的管理员账户
   避免使用默认或弱密码。

   text

   [H3C] local-user admin class manage [H3C-luser-manage-admin] password hash [你的高强度密码] [H3C-luser-manage-admin] authorization-attribute user-role network-admin [H3C-luser-manage-admin] service-type terminal ssh https

4. 其他辅助措施

   • 禁用 USB 接口：usb disable，防止通过 USB 口拷贝文件。

   • 设置密码复杂度：通过 password-control 相关命令，强制密码必须包含大小写字母、数字、特殊字符等。

⚠️ 重大风险与须知

1. 自己也会被“锁”在外面：这是最大的风险。一旦关闭密码恢复功能，如果你自己也忘了所有密码，将无法通过常规手段恢复，只能恢复出厂设置，导致所有配置丢失。

2. 操作不可逆（若无权限）：关闭后，若想重新开启，必须能正常登录设备并执行 password-recovery enable 命令。如果无法登录，则无法开启。

3. 务必备份配置：在执行 undo password-recovery enable 之前，请务必将当前配置备份到安全的地方。

4. IRF 堆叠场景：如果设备是 IRF 堆叠，需要在所有成员设备上都执行此命令，只配一台不生效。

5. 物理安全是最后防线：这些措施能防御绝大多数软件层面的攻击。但如果攻击者能物理接触设备，极端情况下仍可通过拆解硬件等手段读取配置。因此，保障设备机房的物理安全同样重要。