防火墙添F1000-ai-35加到绿洲云平台

参考手册，检查配置。H3C SecPath F100[F1000][F5000]防火墙产品 云简网络部署指导-6W102

# F1000‑AI‑35 接入绿洲（Cloudnet），平台提示「确认用户名密码、http/https 开启」

>
> 从你的`display cloud‑management state`输出：
>
>
> - `Cloud connection state : Established`：**设备侧已经成功和[cloudnet.h3c.com:19443](https://cloudnet.h3c.com:19443)建立 TCP 隧道连接**，网络连通没问题H3C。
> - `Last down reason: Cloud reset connection`：**绿洲云服务器主动把连接重置断开**，说明：隧道通了，但**设备认证 / 鉴权环节失败**，平台侧校验设备账号密码不通过，所以页面报账号密码 / HTTPS 服务异常的提示。

>
> ⚠️重点：**绿洲云的设备登录账号，≠设备本地 admin 账号**，很多人踩坑！

## 一、先分清两个账号（最容易踩坑）

1. **设备本地账号**：你登录防火墙 CLI/Web 的账号（如 admin）；
2. **绿洲云平台添加设备时填写的账号**：是**设备专门给云管理使用的账号**，需要在防火墙本地创建，角色必须是`network‑admin`，**不能用普通用户**。

### 防火墙侧创建云管理专用账号（必须做）

```
system-view
local-user cloudadmin class manage
password simple 你的云平台密码
service-type http https
authorization-attribute user-role network-admin
```

>
> ✅ 关键点：
>
>
> - `service‑type http https`：必须开启，绿洲云要通过 HTTPS 调用设备 API；
> - `user‑role network‑admin`：**必须是管理员角色，普通角色会直接鉴权失败**；
> - 不要用默认 admin 账号直接给云平台用，建议新建独立账号。

## 二、设备侧云管理基础配置（核对）

```
system-view
cloud-management server domain cloudnet.h3c.com
cloud-management server port 19443
cloud-management server protocol https
```

>
> 你的设备已经配置了，`display cloud‑management state`看到域名[cloudnet.h3c.com](https://cloudnet.h3c.com)、端口 19443，这部分没问题H3C。

## 三、检查防火墙本地 HTTPS 服务是否开启

```
display ip https
```

必须看到：`HTTPS server is enabled`
如果关闭，开启：

```
ip https enable
```

>
> 注意：**不要只开 HTTP，绿洲云只走 HTTPS**；同时确认管理接口可以访问 https，管理 ACL 没有拦截 https。

### 检查管理 ACL（非常容易忽略）

防火墙的`acl management`，**放行云管理的 HTTPS 访问**：

```
display acl management
```

如果有管理 ACL，要允许云管理的访问，否则即使账号对，也会被 ACL 拦截，平台报 “HTTPS 未开启”。

## 四、平台侧操作

1. 绿洲云添加设备页面：
- **用户名：填上面新建的`cloudadmin`，不是 admin**
- **密码：填上面配置的 simple 密码**
2. 设备 SN 必须填写正确（F1000‑AI‑35 机身序列号），SN 错误也会鉴权失败。

## 五、重置云隧道，复现故障

```
<F1000‑AI‑35> reset cloud-management tunnel
```

执行完，再看`display cloud‑management state`观察：

- 如果持续`Established`，但是`Last down reason: Cloud reset connection`，就是**云平台侧鉴权失败（账号 / 角色 / SN 问题）**；
- 如果直接变成`Unconnected`，那是网络 / 路由 / DNS 问题。

## 六、常见坑汇总

1. ❌ 使用普通用户角色给云平台，哪怕密码正确，绿洲云直接拒绝，报账号密码错误；必须`network‑admin`。
2. ❌ local‑user 没有配置`service‑type http https`，云平台无法调用设备 HTTPS 接口。
3. ❌ 管理 ACL 拦截了 HTTPS 管理访问，设备网络通，但是 API 调用被拦截。
4. ❌ 用设备本地 admin 账号，部分版本存在兼容性问题，建议新建独立云管理账号。
5. ❌ SN 填写错误，设备隧道建立成功，但是平台校验 SN 不匹配，主动 reset 连接（就是你截图的`Cloud reset connection`）。

## 七、排障命令清单，全部执行收集

```
display cloud-management state
display local-user
display ip https
display acl management
display cloud-management configuration
```

### 补充：

>
> 现象：设备侧隧道 Established，但是绿洲云页面提示账号密码错误，**90% 是：账号角色不是 network‑admin，或者没有 service‑type http https，或者 SN 不对**。
> 网络连通已经没问题，不需要排查路由、DNS、防火墙出方向策略。