问

M9000防火墙密码策略闲置90天超期无法登陆

其他

2026-11-02提问

0关注
0收藏，173浏览

zhiliao_ACc0CG

zhiliao_ACc0CG 四段

粉丝：0人关注：0人

问题描述：

%Nov 2 14:40:43:543 2026 ZJ-JH-CN-2F-C4-M9008S-FW-S-2 SSHS/6/SSHS_LOG: Authentication failed for aaa from 172.20.9.82 port 60014 because of invalid username or wrong password .

即使其他账户进去修改password，也还是提示登陆失败，密码策略开启后过期怎么把这个账户进行解锁。

5 个回答

按时间按赞数

zhiliao_Gixe

zhiliao_Gixe 九段

粉丝：18人关注：9人

故障现象是密码过期后账户被锁定，即使修改密码仍无法登录。处理步骤如下：
1. 用其他有权限的账户登录，检查该账户状态：
display local-user user-name <用户名>
关注 State 字段，若为 block 或 expire，需解锁。
2. 解锁账户：
进入系统视图：system-view
进入本地用户视图：local-user <用户名> class manage
执行：undo password-control aging 或直接重置密码有效期：
password-control aging 0（临时关闭该用户密码老化）
或 password-control expiration never（若支持）
解锁命令：undo user-group block 或 state active（视版本而定，常见为 undo password-control lock 或直接 service-type ssh 重新启用）
3. 若密码策略全局开启，需调整策略：
password-control aging 90 为全局设置，可临时改为 password-control aging 0 关闭老化，或对单个用户设置 password-control aging 0 豁免。
4. 重置密码并强制下次登录修改：
password simple <新密码>
退出后测试 SSH 登录。
5. 若仍失败，检查 AAA 认证配置：
display current-configuration | include authentication
确认 SSH 用户认证方式为 password 或 publickey，且 local-user 的 service-type 包含 ssh。
6. 日志显示 invalid username or wrong password，可能是密码过期后账户被锁定，需在 local-user 视图下执行 undo password-control lock 或 state active 解锁。
建议优先执行第1步确认状态，再按第2步解锁。若版本较老，命令可能为 undo password-control enable 临时关闭密码控制。

暂无评论

IT小工

IT小工九段

粉丝：48人关注：2人

password-control login idle-time 90 天 = 账号闲置超时（账号失效）≠单纯密码老化过期。

单纯密码过期：其他管理员改完密码，账号就能登录；闲置 90 天失效：账号本身被标记失效，只改密码是无效的，这就是您现在 “别的账号改完密码依旧 SSH 登录失败，日志报用户名 / 密码错误” 的根本原因H3C。 M9000（Comware V7）密码控制里，闲置超时是账号级失效，没有单独一条 unlock 命令直接解锁该失效账号。

处理方案（有 network-admin 权限账号可以登录设备前提下）

方案 1（推荐，业务影响最小）：删除该本地用户，重建同名用户

system-view
undo local-user aaa
local-user aaa class manage
 password simple 新密码
 service-type ssh
 authorization-attribute user-role network-admin

重建之后，账号闲置计时清零，账号恢复可用；权限、服务类型按需恢复配置。

方案 2（临时放开全局闲置策略，不用删用户，适合批量账号）

system-view
password-control login idle-time 0
save

idle-time 0代表关闭全局账号闲置超时校验，已经因为闲置 90 天失效的账号会直接恢复登录能力；账号恢复登录成功一次之后，再按需把策略改回 90 天：

password-control login idle-time 90

⚠️风险：修改为 0 期间，所有账号不再受闲置时间管控，建议恢复目标账号登录后立刻复原策略。

方案 3：核对是否叠加了登录失败黑名单（辅助排查）

先确认是不是多次输错密码叠加黑名单锁定：

display password-control blacklist
reset password-control blacklist user-name aaa

黑名单锁定和闲置超时是两套机制；如果是黑名单，清除黑名单即可；但您场景是闲置 90 天，清黑名单无效。

排查验证命令

display password-control
display local-user aaa
display password-control blacklist

日志提示invalid username or wrong password是系统统一返回提示，闲置失效、黑名单、密码错误都会返回这条日志，容易误导。真正闲置超时的内部日志是Failed to login because the idle timer expired，SSH 场景不一定打印这条细分日志。