SecPath F1030 等保测评：HTTPS 管理界面 SHA‑1（DHE‑RSA‑AES256‑SHA）弱套件修复

现象：等保扫描发现防火墙 Web 管理 HTTPS 支持密码套件 DHE‑RSA‑AES256‑SHA，哈希算法 SHA‑1，属于不安全套件；要求禁用 SHA‑1 类套件，同时普通 Chrome/Edge 浏览器可以正常访问 Web 管理页面。

重要：F1030 V7 版本Web 界面不能修改 SSL 加密套件，必须命令行配置 SSL 服务器策略，再绑定给设备 HTTPS 管理服务。

根因

防火墙默认 SSL 服务器策略放开全部密码套件，包含大量 SHA‑1 结尾套件（dhe_rsa_aes_256_cbc_sha 就是 DHE‑RSA‑AES256‑SHA），测评工具扫描 TLS 握手可以协商到此弱套件。

注意：dhe_rsa_aes_256_cbc_sha = SHA‑1 哈希；dhe_rsa_aes_256_cbc_sha256 = SHA‑256（安全）H3C。

完整配置步骤（Telnet/SSH 登录命令行）

1、创建 SSL 服务器策略（用于 web 管理 HTTPS）

2、把 SSL 策略绑定给防火墙 HTTPS 管理服务

⚠️执行完上面两条，当前 web 会话会断开，需要重新浏览器登录防火墙 web 页面。

3、保存配置

验证配置是否生效

1. 命令行查看 ssl 服务器策略套件：

确认输出里面没有 dhe_rsa_aes_256_cbc_sha（SHA‑1），全部是 sha256/sha384/GCM 套件。

2. 使用扫描工具复测（比如 Nessus、openvas、等保测评工具），确认不再返回 DHE‑RSA‑AES256‑SHA 套件。
3. Chrome/Edge 浏览器访问防火墙 https 管理地址，确认可以正常打开 Web 页面。

常见踩坑点

1. ❌不要用 FIPS 全局模式：fips enable全局 FIPS 会重启整机，会改变所有 SSL/IPsec/SSL‑VPN 全部行为，不建议直接全局开启 FIPS 加固管理 web，优先使用上面自定义 ssl server‑policy 方案H3C。
2. 套件列表不能全部清空：ciphersuite 后面必须带上至少 1 个安全套件，否则 HTTPS 服务无法建立连接，浏览器访问失败。
3. 旧浏览器兼容：XP、非常老版本 IE 浏览器会无法访问，现代 Chrome/Edge/Firefox 全部正常；等保场景下，管理主机不允许老旧浏览器，符合测评要求。
4. 如果后续做 SSL VPN、虚拟服务器，那是另外一套 ssl‑policy，本配置只修改设备自身 Web 管理的 HTTPS，不影响业务 SSL VPN。

如果配置后浏览器打不开 web

• 检查 ciphersuite 列表，至少保留ecdhe_rsa_aes_128_gcm_sha256这一个主流套件。
• 检查是否禁用 TLS1.2：不要执行ssl version tls1.2 disable。
• 回滚命令恢复默认：

额外等保加固建议

1. 防火墙 web 管理证书，建议替换为 RSA2048 及以上正式证书，不要使用设备出厂自签名 SHA‑1 证书。
2. 管理 HTTPS 仅允许内网管理主机访问，配置 ACL 限制 ip https 访问源地址。

补充说明：dhe_rsa_aes_256_cbc_sha对应 TLS 套件名称 TLS_DHE_RSA_WITH_AES_256_CBC_SHA，测评报告写的 DHE‑RSA‑AES256‑SHA 就是这个，配置 ciphersuite 不写这个参数就彻底移除该套件协商能力H3C。

等保测评中，防火墙 Web 管理界面使用 DHE-RSA-AES256-SHA 这类 SHA-1 算法确实属于不安全配置。这个问题的核心在于，防火墙的 HTTPS 服务使用了存在安全风险的旧版加密套件。

要解决此问题，有以下三种方案，推荐优先尝试方案一。

 方案一：升级固件版本（首选推荐）

这是最根本的解决方法。较新版本的 Comware V7 系统通常已默认禁用不安全的旧版算法和协议（如 SSL 3.0）。

1. 访问官网下载：前往 H3C 官方软件下载中心。

2. 登录：使用公共账号 yx800，密码 01230123 登录。

3. 查找并下载：找到适配你 F1030 型号的最新固件版本（建议 2021年及之后 的年度版本）。

4. 升级前准备：仔细阅读新版本的《版本说明书》，确认升级步骤和注意事项。操作前务必备份当前配置。

5. 执行升级：按照说明书指导完成升级。

升级后，再次扫描验证问题是否解决。

 方案二：自定义 SSL 服务器策略（精细控制）

如果因特殊原因无法升级，可以通过自定义 SSL 策略，只启用安全的加密套件。

操作步骤如下：

1. （可选）创建 PKI 域并导入证书：如果使用设备自带证书可跳过此步。

   text

   system-view pki domain test undo crl check enable quit # 如需导入自定义证书，使用 pki import 命令

2. 创建并配置 SSL 服务器端策略：

   text

   ssl server-policy secure_policy # 只启用安全的加密套件，例如： ciphersuite rsa_aes_128_cbc_sha rsa_aes_256_cbc_sha dhe_rsa_aes_128_cbc_sha dhe_rsa_aes_256_cbc_sha # （可选）如果创建了PKI域，则在此引用 # pki-domain test quit

3. 将新策略应用到 HTTPS 服务：

   text

   # 关闭 HTTPS 服务 undo ip https enable # 引用新创建的 SSL 策略 ip https ssl-server-policy secure_policy # 重新开启 HTTPS 服务 ip https enable

4. 保存配置：save

 方案三：限制管理访问（临时规避）

如果不能升级，也无法立即调整策略，作为临时规避措施，可以通过 ACL 严格限制可以访问 Web 管理界面的源 IP 地址。

1. 创建 ACL：

   text

   acl advanced 3000 rule 5 permit tcp source 192.168.1.0 0.0.0.255 destination-port eq 443 quit

   （将 192.168.1.0 替换为你的管理网段）

2. 应用到 HTTPS 服务：

   text

   ip https acl 3000

这样，只有来自允许网段的扫描器才可能检测到该算法问题，能有效规避外部扫描。