防火墙5080

1. 配置位置（Web 界面）

该选项通常在 HTTPS 服务设置里，具体路径是：
系统 → 管理员 → HTTP/HTTPS → 勾选“启用HTTPS” → 点击“SSL/TLS 协议版本”

• 操作：在协议版本列表中，取消勾选 TLS1.0 和 TLS1.1，只保留勾选 TLS1.2（并强烈建议同时勾选 TLS1.3，以获得更好安全性）。然后点击“应用”或“提交”。

提交后防火墙会重启吗？

不会重启。 这个操作仅会使 HTTPS 管理服务重新加载配置，不会导致整机重启或业务中断。

• 提交后当前 Web 连接会立刻断开，你需要用支持 TLS1.2 的浏览器（如 Chrome、Edge 的新版本）重新登录。

• 如果你是通过 SSH 或 Telnet 操作的，这些会话不受影响。建议保留一个命令行后台，万一浏览器不兼容还能用命令行回退。

一、Web界面的菜单位置

系统 → 管理设置 → HTTP/HTTPS服务 → SSL策略管理

1. 新建或编辑一个SSL策略
2. 在策略里把最低TLS版本设为TLS1.2
3. 加密套件只勾选ECDHE_和RSA_AES_GCM开头的（去掉所有带DHE、DES、RC4、纯RSA无ECDHE的套件）
4. 保存后，回到「HTTP/HTTPS服务」页面，把HTTPS SSL策略选择为你刚建的这个策略
5. 点击应用/提交

⚠️ 重要限制：华三官方明确指出——"H3C设备的Web界面可能无法直接详细配置密码套件顺序，这项工作通常需要通过CLI完成" 。如果你的目标是过等保/漏扫，强烈建议直接用CLI，Web界面配出来的策略可能不够"干净"。

二、CLI完整配置（推荐做法）

• ssl version tls1.0 disable 和 ssl version tls1.1 disable 是系统级全局禁用​ ，执行后整个设备的SSL服务器都不再协商TLS1.0/1.1
• ip https ssl-server-policy HTTPS-WEB-POLICY 把策略绑定到Web管理
• 关键的"重启HTTPS服务"：华三官方文档明确说明——"HTTP服务和HTTPS服务处于开启状态时，对与HTTPS服务关联的SSL服务器端策略进行的修改不会生效" 。所以必须 undo ip https enable 再 ip https enable 来重新加载

三、点击提交后防火墙会重启吗？

💡 简单说：防火墙整机不会重启，业务转发也不会中断（前提是你的业务流量不走防火墙自身的HTTPS管理端口）。唯一的影响是你的浏览器Web管理会话会断开，需要重新输入IP访问。

1. 确保你有Console口或SSH的备份登录方式——万一HTTPS起不来，还能通过Console救场
2. 建议在维护窗口内操作，避免业务高峰期
3. 操作前务必save force保存配置，防止意外

四、双主（HA）模式下的同步问题

• 在主设备（Active）上修改SSL策略并save后，配置会自动同步到备设备（Standby）
• 但HTTPS服务的重新加载（undo ip https enable + ip https enable）需要在两台设备上分别执行，因为这是一个"服务重启"动作，不属于配置同步范畴
• 备设备切换为Active后，才会用上新策略

• 必须在两台设备上分别执行完整的CLI配置
• 否则主备切换后，备设备仍用旧TLS策略

⚠️ 关键提醒：双主环境下改管理面安全配置，最稳妥的做法是两台设备都分别登上去配一遍，不要100%依赖自动同步。因为：

1. SSL策略属于"管理面配置"，部分HA版本可能不会自动同步
2. 即使配置同步了，undo ip https enable + ip https enable这个服务重启动作不会自动在备机执行
3. 主备切换瞬间如果用旧策略，会导致管理中断

五、操作顺序建议（双主环境）

1. 先备后主：先在Standby备设备上配置并save，验证无误后再在主设备上配置
2. 每台都重启HTTPS服务：两台分别执行 undo ip https enable + ip https enable
3. 验证：用浏览器访问两台的管理IP，确认都能正常打开且TLS1.0/1.1已禁用（可用SSL Labs或本地openssl测试）
4. 保存：两台都save force

六、过等保/漏扫的额外建议

1. 禁用SSL3.0：ssl version ssl3.0 disable
2. 只用ECDHE套件：彻底消除"纯RSA无PFS"漏洞
3. 替换自签名证书：导入CA签发的可信证书，消除"证书不可信"漏洞
4. SSH加固：ssh server cipher-suite high + ssh server mac-suite high
5. 限制管理IP：ip https acl 3000 限制只允许管理网段访问

1. 菜单位置：系统 → 管理设置 → HTTP/HTTPS服务 → SSL策略管理（但建议用CLI更干净）
2. 会重启吗：不会整机重启，仅HTTPS管理服务短暂中断（几秒到十几秒），需重新登录Web
3. 双主同步吗：配置可能通过HA自动同步，但HTTPS服务重启动作不会自动同步——建议两台设备都分别配置并重启HTTPS服务，操作前save，操作后验证

一、WEB 界面关闭管理页面 TLS1.0/1.1，仅保留 TLS1.2 路径
Web 路径
系统管理 → 系统设定 → Web 管理
页面内存在【SSL 协议版本】选项：取消勾选 TLS1.0、TLS1.1，只保留勾选 TLS1.2。
⚠️区分两处 TLS 配置，不要混淆：
1）Web 管理 TLS：控制浏览器登录防火墙管理页面使用的 HTTPS 加密；
2）SSL 策略 / 全局 ssl version：控制 SSL 解密、SSL VPN 业务流量的 TLS 版本。
CLI 等价配置（备选）
bash
system-view
# 创建SSL服务器策略
ssl server-policy WEB-POLICY
undo support tls1.0
undo support tls1.1
# 绑定给Web管理HTTPS
ip https ssl-server-policy WEB-POLICY
二、点击提交保存后，防火墙整机是否重启？
✅ 不会重启整机！
仅重启防火墙内置 Web 管理服务：
短暂断开当前所有浏览器管理会话（大概 5~20 秒）；
穿越防火墙的业务流量、安全策略、VPN 全部不受影响；
操作前建议保留 SSH 串口 / Console 应急通道，防止修改后浏览器无法登录。
风险提醒：修改完成后，老旧 IE 浏览器（仅支持 TLS1.0/1.1）将无法登录防火墙 web 页面，务必使用新版 Chrome/Edge。
三、双主 RBM 模式，这条配置能否自动同步？
结论：Web 管理 SSL 策略【不会自动同步】
原因：
RBM 双主 / 主备同步范围：业务策略、对象、接口、安全域；
设备自身管理类配置（Web HTTPS 参数、本地管理员账号、管理 SSL 策略、主机名）属于本地配置，不参与 RBM 配置同步。
操作要求
两台防火墙必须分别登录，独立修改 TLS 配置，不要只改一台。
如果只修改一台，切换访问另一台防火墙管理地址时，依旧存在 TLS1.0/1.1 漏洞。
四、额外最佳实践建议
修改完成后使用工具验证：openssl s_client -connect 防火墙管理IP:443 -tls1、-tls1_1 测试拒绝握手，-tls1_2正常连通；
优先关闭 HTTP 管理，强制仅 HTTPS 访问；
低峰操作，避免运维人员同时在线登录防火墙被踢下线。

针对你关于 H3C SecPath 防火墙（你提到的“5080”可能是指 SecPath F5080）调整 TLS 版本的问题，以下是具体操作和注意事项。

📍 配置位置在哪里？

调整 TLS 版本可以通过 Web 界面或命令行（CLI）两种方式完成。

• Web 界面方式（操作相对简单）：
  登录防火墙的 Web 管理页面，按以下路径导航：【系统】→【管理员】→【HTTP/HTTPS】。找到“SSL/TLS 协议版本”选项，取消勾选 TLS 1.0 和 TLS 1.1，只保留 TLS 1.2（如果可选，也建议勾选 TLS 1.3）。

• 命令行方式（CLI，推荐，配置更彻底）：
  通过 SSH 或 Console 口登录设备，进行如下配置：

  text

  system-view # 1. 禁用旧版本协议 ssl version disable ssl3 tls1 tls11 # 2. 创建并配置SSL服务器策略 ssl server-policy HTTPS-POLICY undo ciphersuite all ciphersuite ECDHE-RSA-AES128-GCM-SHA256 ciphersuite ECDHE-RSA-AES256-GCM-SHA384 quit # 3. 将策略应用到HTTPS服务 ip https ssl-server-policy HTTPS-POLICY

  提示：Web界面可能无法完全配置加密套件顺序，使用CLI能更精确地满足安全合规要求。

🔄 点击提交后防火墙会重启吗？

不会重启。

修改 TLS 配置并提交后，只会让 HTTPS 管理服务短暂重启（大约几秒到十几秒）来加载新配置。这不会影响业务流量转发，但会导致你当前的 Web 管理连接断开。之后，你需要使用支持 TLS 1.2 的浏览器（如新版 Chrome、Edge）重新登录。

🤝 双主模式下的配置会同步吗？

通常情况下，会自动同步。

H3C 防火墙的双机热备（尤其是主备模式）通常支持配置同步功能。你在一台设备上做的配置更改，会被自动同步到另一台设备。

但是，为确保万无一失，强烈建议你在修改前，登录备用设备确认其当前的 TLS 配置。完成主设备配置并确认生效后，也登录备用设备检查一下配置是否已同步。如果发现没有同步，就需要在备用设备上手动执行一遍相同的配置。

⚠️ 重要注意事项

1. 保存配置：修改后，务必在命令行执行 save 命令，将配置写入启动文件，以防设备重启后配置丢失。

2. 保留应急通道：在修改配置前，建议保持一个 SSH 或 Console 的后台连接。万一浏览器不兼容，还能通过命令行回退配置。

3. 确认浏览器兼容性：确保你使用的浏览器支持 TLS 1.2。大部分现代浏览器都支持，但过旧的版本可能不行。

4. 评估业务影响：如果防火墙还提供其他 SSL/TLS 服务（如 SSL VPN），修改此配置可能会影响这些服务。建议在变更前仔细评估或咨询 H3C 技术支持。