zhiliao_Gixe
九段
以下是H3C防火墙M9000设置普通账号锁定的关键配置步骤（仅针对SSH/Telnet/HTTPS等login用户，不包含console）：
1. 进入系统视图：
system-view
2. 配置 password control 功能（需确保设备启用密码管理）：
password-control enable
3. 设置登录尝试次数与锁定时间（例如：3次失败后锁定5分钟）：
password-control login-attempt 3 exceed lock-time 5
*（该命令为全局生效，console口通常不受此限；具体参数可根据需求调整）*
4. （可选）针对特定用户/用户组应用或 exempt（此处为全局通用配置）。
注意：
需确保设备软件版本支持该命令。
Console 口通常建议通过 password-control login-attempt 3 exceed lock-time 5 全局配置后，可通过 local-user xxx class manage 下配合，但为了防止管理员锁定，console口有时会被单独排除或使用不同策略。
以上为最常用的配置方式。
1. 进入系统视图：
2. 配置 password control 功能（需确保设备启用密码管理）：
3. 设置登录尝试次数与锁定时间（例如：3次失败后锁定5分钟）：
*（该命令为全局生效，console口通常不受此限；具体参数可根据需求调整）*
4. （可选）针对特定用户/用户组应用或 exempt（此处为全局通用配置）。
注意：
需确保设备软件版本支持该命令。
Console 口通常建议通过 password-control login-attempt 3 exceed lock-time 5 全局配置后，可通过 local-user xxx class manage 下配合，但为了防止管理员锁定，console口有时会被单独排除或使用不同策略。
以上为最常用的配置方式。
- 2026-09-22回答
- 评论(0)
- 举报
-
(0)
原理：依靠 password-control（密码管理） 功能，实现连续密码错误后锁定账号（Web/SSH/Telnet/VTY 管理登录生效；Console 口不受该黑名单锁定） 两种模式：全局所有账号统一策略 / 单独针对某一个普通账号单独策略（推荐）
一、命令行配置（M9000 主控板）
1、先开启全局密码管理（必须）
<H3C>system-view
[H3C] password-control enable
方式 A：全局策略（所有本地管理账号统一锁定规则）
示例：连续5 次密码错误，锁定 10 分钟
[H3C] password-control login-attempt 5 exceed lock-time 10
参数说明：
login-attempt 5：最多连续失败 5 次（范围 2~10）exceed lock-time 10：锁定 10 分钟，到期自动解锁；单位分钟，1~360exceed lock：永久锁定，只能管理员手动解锁（不推荐）
方式 B：单独针对普通账号（推荐，不影响 admin 超级管理员）
账号名：user01，连续失败 3 次，锁定 15 分钟
[H3C] local-user user01 class manage
[H3C-luser-manage-user01] password-control login-attempt 3 exceed lock-time 15
[H3C-luser-manage-user01] quit
优先级：账号单独配置 > 用户组配置 > 全局配置
二、查看锁定黑名单、手动解锁账号
#查看当前被锁定黑名单
display password-control blacklist
#手动清除黑名单，解锁账号（账号user01，IP举例）
undo password-control blacklist username user01 ip 192.168.1.10
#如果是永久锁定，必须执行这条解锁
三、Web 界面配置（M9000 Web 专家模式）
- 登录 M9000 Web → 切换【专家模式】
- 【系统】→【密码管理】
- 开启：密码管理功能
- 登录尝试次数：设置最大失败次数
- 登录失败处理：锁定时长 / 永久锁定
- 如果只想对单个普通账号生效：【系统】→【本地用户】，编辑对应普通账号，在账号内单独配置登录尝试策略。
四、重要注意事项（M9000 重点）
- ✅生效范围：Web、SSH、Telnet、VTY 远程管理登录。
- ❌Console 串口登录不受 password-control 黑名单锁定！ 即使账号被锁，Console 仍可登录。
- IRF 堆叠 M9000：配置在 Master 主控，save 后同步到 Slave。
- 黑名单是用户名 + 源 IP组合锁定：user01 从 192.168.1.10 锁定，换其他 IP 登录 user01 不受影响。
- 一旦该账号成功登录一次，该 IP 对应的失败计数清零。
- admin 超级管理员建议不要配置锁定，防止管理员被锁无法登录设备。
五、验证命令
display password-control
display password-control blacklist
display local-user user01
save force
六、推荐基线配置示例（等保常用）
全局开启，普通账号单独策略：连续 5 次错误密码，锁定 15 分钟
system-view
password-control enable
local-user user01 class manage
password-control login-attempt 5 exceed lock-time 15
quit
save force- 2026-09-30回答
- 评论(0)
- 举报
-
(0)
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
不对，不能的。通过设置账号权限或者密码的形势实现吧