防火墙f1020无法登陆

H3C F1020 Web 无法访问、远程 SSH 也无法登录完整排查方案
现象：电脑打不开防火墙 Web 页面、SSH 远程连不上；优先建议准备 Console 线直连设备，绝大多数此类故障只能串口登录修复。
前置区分两种情况
情况 A：电脑 Ping 不通防火墙管理 IP（网络层不通）
核对 PC IP 与防火墙管理接口 IP同网段，子网掩码一致；
检查网线、交换机端口，接口是否 Up：
plaintext
display ip interface brief
管理接口是否加入安全域（Trust 域常用）
plaintext
display zone
排查中间交换机 ACL、VLAN 隔离，跨网段访问需要路由可达。
情况 B：可以 Ping 通管理 IP，但 Web/SSH 连不上（最常见！）
这是安全策略、Web 服务、账号权限、管理 ACL拦截导致，必须 Console 登录执行修复命令。
一、Console 登录基础参数
串口参数：9600 8N1，无流控（SecureCRT / PuTTY）
登录成功后输入system-view进入系统视图。
二、逐项检查（按顺序执行）
1. 检查并开启 Web 管理服务（断电重启经常导致服务异常）
cli
# 查看web服务状态
display web-manager status

# 重启http/https服务（F1020仅推荐HTTPS，默认端口443）
undo ip http enable
undo ip https enable
ip https enable
# 可选开启http（不推荐）
ip http enable
访问地址规范：https://防火墙管理IP，不要只输 http；新版固件强制 HTTPS。
2. 【最高发故障】安全策略放行 源域→Local（防火墙本机）
防火墙访问自身（Web/SSH）目的域是 Local 域，缺少策略直接拒绝！
示例：PC 在 Trust 域，放行 Trust→Local 的 HTTPS、SSH
cli
security-policy
rule permit_web_ssh
source-zone trust
destination-zone local
service https ssh
action permit
如果管理 PC 在 Untrust（互联网远程管理），source-zone 填写 untrust，不建议公网直接开放管理。
3. 检查管理员账号权限
cli
display local-user
账号必须满足：
用户角色：network-admin
服务类型包含 https ssh
修复命令（示例账号 admin）：
cli
local-user admin
service-type https ssh
authorization-attribute user-role network-admin
4. VTY 线路（SSH 远程登录）检查
cli
user-interface vty 0 15
authentication-mode scheme
protocol ssh
若配置protocol none会直接禁止所有远程命令行登录。
5. 管理访问 ACL（部分版本支持管理白名单）
如果配置了web-manager acl、ssh acl，不在允许网段直接拒绝访问：
cli
display current-configuration | include web-manager acl
display current-configuration | include ssh server acl
临时删除限制测试：
cli
undo web-manager acl
undo ssh server acl
三、浏览器侧常见坑（能 ping 通但页面打不开）
使用 Chrome/Edge 无痕模式访问 https://IP，忽略证书风险继续；
不要用旧版 IE 浏览器，F1020 新版本 WebUI 不再兼容；
确认电脑本机杀毒、防火墙没有拦截 443 端口；
若之前修改过 HTTPS 端口，访问地址要带上端口 https://IP:端口号。
四、特殊场景：证书异常导致 HTTPS 无法建立连接
部分设备异常关机后 SSL 证书损坏，https 握手失败：
Console 下执行重置 web 证书
cli
web-manager certificate regenerate
执行后等待 1 分钟，重新访问 Web 页面。
五、最简临时恢复命令（Console 登录后直接复制执行）
cli
system-view
undo ip https enable
ip https enable
security-policy
rule 0 permit source-zone trust destination-zone local service https ssh action permit
local-user admin
service-type https ssh
authorization-attribute user-role network-admin
user-interface vty 0 15
authentication-mode scheme
protocol ssh
undo web-manager acl
undo ssh server acl
save
六、无法使用 Console 线的兜底方案
确认是否有人修改过管理 IP、管理 VLAN；
尝试防火墙断电冷重启（断电 30 秒上电，临时修复进程卡死）；
⚠️ 冷重启无法修复配置类故障，仅解决系统进程卡死。