这个大概是什么问题引起的

尝试ssh登录

防火墙接口地址暴露在公网，被人扫描到爆破ssh。可以加acl限制，或者防火墙策略关闭untrust到local域的策略

现象解读

1. 监控面板：CPU 100%，内存 79%，系统日志告警CPU usage threshold has been exceeded
2. 日志里大量外网 IP（175、114、83、168、212、181、200、177、103、35、36 等公网地址）持续尝试 SSH 登录，各种用户名：root、lab、ran、wallet、ytwang、student 等，全部提示invalid username or wrong password（用户名 / 密码错误）。

黑客扫描全网，持续对 22 端口发起 SSH 连接握手 + 认证尝试；SSH 的密钥协商、AAA 认证、日志打印全部属于设备主控 CPU 软处理，大量并发爆破请求直接把 CPU 打满。

危害

• CPU 跑满后，防火墙策略、NAT、IPS/AV、报文转发性能严重下降，业务卡顿、丢包；
• 严重时 Web 页面打不开、SSH 管理登录卡顿甚至无法登录；
• 持续爆破存在被猜中密码、防火墙被拿下的高危安全风险。

立刻处理方案（按优先级）

1. 【最高优先级，根治】外网禁止访问防火墙 SSH 管理

防火墙管理服务（SSH/HTTPS）绝对不能放通外网访问，这是最核心问题。

1. 安全策略：删除外网域 → 本地域，允许 SSH 的策略；只允许内网管理网段访问防火墙 SSH/WEB。
2. 备选加固：修改 SSH 端口，不要使用默认 22 端口（治标，只能减少扫描，不能完全阻止）

2. 开启 SSH 登录防暴力破解（V7 防火墙命令）

3. 攻击防范，启用 CPU 防护

4. 日志优化（大量日志打印也会额外消耗 CPU）

验证命令，确认 CPU 占用进程

执行后你会看到SSH、AAA、日志相关进程占用 CPU 最高。

后续安全建议

1. 防火墙本地管理（SSH、Web），只信任内网管理 IP 段，用 ACL 限制；
2. 管理账号设置高强度密码，不要使用 root/admin 弱账号；
3. 不要把任何网络设备的 22、80、443 管理端口直接暴露在互联网；
4. 可以在域间策略做黑名单，封禁攻击源 IP 段；也可开启 IPS 的 SSH 暴力破解特征阻断。

补充：和你前面的拓扑对应，这台 F1000-AK1170 是边界防火墙，外网（电信 / 联通）方向放通了到防火墙本机的 SSH，才会出现这个爆破攻击。

快快快先关闭公网ssh吧，我的天这么多暴力攻击。被扫描到了在进行暴力破解呢，导致cpu跑满了。