F5000-Ai-130-G

现象概括
导入备份配置后，HTTPS Web 一直转圈、SSH 连接极慢，偶尔能成功登录；故障触发点明确：配置恢复加载完成后出现。
分层次由浅入深排查（优先 Console 接入操作，Console 一般不受影响）
一、第一步：先确认整机资源（最高概率诱因）
恢复大量安全策略、对象、ACL、地址组时，防火墙后台会编译、校验全量策略，短时间持续占用 CPU；
CPU 持续偏高 → Web 服务 (HTTPD)、SSH 协商进程得不到调度，表现为 SSL 握手超时、页面一直转圈，偶尔资源释放瞬间能连上。
plaintext
display cpu-usage
display memory
display task
观察：CPU 是否长期＞70%，策略编译阶段持续冲高。
特征：刚恢复配置 1~ 几小时持续卡顿，长时间待机慢慢缓解。
临时缓解（Console 执行）
plaintext
system-view
# 关闭SSH反向DNS解析（大量场景SSH慢根因）
ssh server disable dns-resolve
undo ip domain lookup
二、第二类高频：管理访问相关配置异常（导入配置带入）
1）WEB 服务绑定 ACL 限制、会话参数过小
plaintext
# 查看是否存在http/https绑定ACL限制
display current-configuration | include ip http acl
display current-configuration | include ip https acl
如果存在限制 ACL，临时删除测试：
plaintext
interface GigabitEthernet 1/0/X
undo ip https acl
undo ip http acl
2）VTY 线路数量、超时、ACL 限制 SSH
plaintext
display current-configuration | begin line vty
配置导入后带入严格 ACL、最大并发会话不足，导致握手排队超时。
3）本地域安全策略拦截 / 会话新建缓慢
访问防火墙本机 IP 属于 Local 域流量，注意两点：
1）接口service-manage acl限制管理访问；
2）security-policy 策略大量、匹配遍历耗时，SSL 握手报文被策略处理延迟。
三、第三类：SSL / 加密协商层面问题（Web 尤为突出）
恢复配置带入老旧 SSL 算法套件，客户端与防火墙协商反复重试，页面转圈；
plaintext
display ssl server policy
浏览器缓存、旧 COOKIE 冲突：使用无痕模式、更换 Edge/Chrome、清除缓存测试。
现象：SSH 有时成功、Web 始终转圈，多半 HTTPS SSL 协商问题。
四、第四类：配置恢复引入隐藏风险（V7 防火墙典型）
同时存在 security-policy（新安全策略） + object-policy（老域间策略）两套策略并存
两套策略同时生效，策略匹配开销翻倍，CPU 持续走高；
plaintext
display current-configuration | include security-policy disable
# 如果无disable，代表新策略启用；同时又大量object-policy，就是冲突
二选一，规范部署只启用一种策略体系。
大量域名对象、应用过滤、IPS/AV 策略，每次新建会话需要特征匹配，加重 CPU。
日志输出量巨大（syslog 主机不可达），持续大量日志报文阻塞进程。
plaintext
display info-center
# 如果配置大量日志服务器且服务器离线，会持续重试发包抢占资源
五、现场标准排查顺序（照着一步步执行）
优先 Console 登录设备，查看 CPU / 内存
CPU 持续高位 → 等待策略编译完成，观察是否逐步恢复；长期居高就需要精简冗余策略。
关闭 SSH DNS 解析，关闭全局域名查询（命令上方已给出）。
临时移除管理接口下ip http acl / ip https acl / service-manage acl做隔离测试。
PC 直连防火墙管理接口，绕过中间交换机，排除网络丢包、中间设备 QoS 限流。
检查是否两套策略共存（security-policy + object-policy）。
检查 info-center syslog 服务器是否离线，大量日志重试占用资源。
备选：重启 Web 管理服务；业务允许可整机重启，观察重启后是否依旧卡顿。
plaintext
system-view
web server restart
六、根治建议
备份配置时清理大量冗余、过期安全策略、地址对象，减少策略编译开销；
确认当前固件版本，F5000-Ai 系列部分早期版本存在 HTTPD 进程调度相关缺陷，必要时升级推荐基线版本；
管理终端尽量直连管理口，不要穿越业务转发接口访问管理 IP。