F1060 V7 SSH 现象解析

现象：Web 服务打开 SSH 服务，接口没有勾选 SSH 访问限制，内外网都能 SSH 登录防火墙本机；安全策略只有 Trust‑Untrust，最后一条 Any‑Any 全拒绝。

核心原理区分（很多人混淆）

防火墙本机 SSH 属于访问Local 安全域（设备自身），不走业务安全策略表！业务安全策略只管跨域转发流量（A 域→B 域，经过防火墙转发的业务报文），不管访问防火墙本机的管理报文H3C。

1. Web 接口上 “访问限制‑勾选 SSH”，等价 CLI 命令 manage ssh inbound：接口层面直接放行 SSH 入站，报文跳过安全策略校验H3C。
2. 你现在接口没有勾选 manage ssh inbound，那为什么 SSH 还通？
   • ①内网：你的内网接口属于Trust 域；V7 默认Trust 域到 Local 域本机管理报文默认放行，不需要接口 manage 勾选，也不需要业务安全策略。所以内网可以 SSH。
   • ②外网也能 SSH：外网接口被加入了Management 管理安全域！

Management 域特殊：该域接口访问本机的 SSH/HTTPS/Ping 默认全部放行，不受接口 manage 勾选、不受业务安全策略控制，这就是外网没勾选 SSH 依旧能连上的根本原因H3C。

⚠️重点：你写的安全策略Trust‑Untrust、最后Any‑Any拒绝，只控制穿过防火墙转发的业务流量，对访问防火墙自己（Local 域）完全无效，阻止不了外网 SSH。

核查命令

整改方案（阻止外网 SSH，保留内网 SSH）

方案 1（推荐，把外网接口移出 Management 域）

1. Web：网络‑安全域，把外网接口从 Management 安全域删除，加入 Untrust 安全域。

移出 Management 域后：Untrust→Local 默认拒绝，外网 SSH 直接被阻断；Trust→Local 依旧默认放行，内网 SSH 不受影响。

注意：移出 Management 域之后，如果需要 Untrust 域下接口要管理设备，二选一： ①接口上配置 manage ssh inbound（不建议外网）； ②配置域间包过滤策略：zone‑pair security source untrust destination local，放行指定源 IP 的 SSH。

方案 2 SSH 服务本身绑定 ACL（全局限制 SSH 来源 IP，双重保险）

ssh server acl 是 SSH 服务自带白名单，无论安全域如何，只有 ACL 允许的 IP 才能 SSH 登录设备，作为加固手段H3C。

误区澄清

1. ❌“安全策略最后一条 any any 拒绝，应该挡住外网 SSH” ✅错：业务安全策略只管穿越防火墙转发流量，不管访问防火墙本机 Local 域，所以不生效。
2. ❌“接口不勾选 SSH 访问限制就代表拒绝 SSH” ✅错：如果接口属于 Management 安全域，就算不勾选 manage ssh inbound，本机 SSH/HTTPS/Ping 全部默认放行。

简短小结

1. 本机 SSH 报文访问 Local 域，不受业务安全策略管控。
2. 外网接口放进 Management 域，是外网可以 SSH 登录的根因，把外网接口移出 Management 域即可阻断外网 SSH。
3. 建议再加ssh server acl做源 IP 白名单双重防护。