华为防火墙更改SSH端口

Posted 2021-02-17

分公司新上一台华为防火墙，为了方便管理，在公网接口开启了SSH，默认的端口是TCP的22端口。配置完成，可以正常访问了，可接下来问题来了，使用WEB端登录或者SSH老弹出密码验证失败，搞得我都开始怀疑人生了。
好在业务能正常运行，过了大半个小时，再登录，可以正常登录了，查看日志
Apr 20 2019 23:55:48 USG6300 %%01MANAGER/4/UNLOCK(l)[172]:The user was unlocked. (User Name=admin)
Apr 20 2019 23:24:36 USG6300 %%01MANAGER/3/LOCK(l)[350]:The user was locked out. (User Name=admin, Lock Time=30 min, Lock Reason=password incorrect for 3 times, Access Type=ssh , IP Address=91.236.116.214)
Apr 20 2019 22:39:14 USG6300 %%01MANAGER/4/UNLOCK(l)[447]:The user was unlocked. (User Name=admin)
Apr 20 2019 22:01:41 USG6300 %%01MANAGER/3/LOCK(l)[508]:The user was locked out. (User Name=admin, Lock Time=30 min, Lock Reason=password incorrect for 3 times, Access Type=ssh , IP Address=193.201.224.236)

因为在指定的时间内连续3次输入了错误的密码，导致账号被锁定30分钟。

思考了一下原因，是什么问题导致的呢？存在两个可能：

1. FW的公网接口允许PING，存在被嗅探的可能
2. 默认的SSH端口没有更改，***者嗅探后，尝试使用弱密码或者字典登录

那怎么解决这个问题呢？
肯定是更改配置，将公网的PING关闭，更改SSH的端口。

1. 在网络-->接口处，找到公网接口，关闭PING
   
2. 更改默认的SSH端口
   

接下来，在内网使用ssh到LAN的9022端口，可以登录了。再测试公网的9022，发现无法登录，是 什么原因导致的呢？

我们更改了SSH协议的端口，也就意味着从untrust-->local 9022的安全策略要被放行，原来在接口下允许的 service-manager ssh permit，应该是自动生成了一条去往从untrust-->loal 22的隐含的策略。我们应该自己创建一条安全策略，应该就可以访问了。

1. 首先需要创建一个服务
   
2. 创建一条安全策略
   

再进行测试，从公网可以通过SSH进行访问了，在经历关闭PING、更改SSH端口后，暂时没有发现***者尝试登录了，问题解决。