问

password-control密码控制配置

password control

5天前提问

0关注
0收藏，172浏览

zhiliao_lHbiDI

zhiliao_lHbiDI 二段

粉丝：0人关注：0人

问题描述：

本地用户下配置了 password-control login-attempt 5 exceed lock-time 3 连续输入5次锁定3分钟是不需要系统视图下全局开启 password-control enable才生效还是不用全局enable也可以生效

4 个回答

按时间按赞数

IT钟点工

IT钟点工九段

粉丝：105人关注：1人

必须开启

暂无评论

IT小工

IT小工九段

粉丝：48人关注：2人

Comware‑V7 平台，本地用户视图下配置password‑control login‑attempt 5 exceed lock‑time 3，依然要求系统视图下全局开启password‑control enable，否则该登录失败锁定配置不会生效H3C。

原理说明

password‑control login‑attempt（登录失败次数锁定）、账号闲置 idle‑time、密码 aging 老化、密码历史记录这些功能，全部依赖全局密码管理总开关password‑control enable，不管你是在【系统视图 / 用户组视图 / 本地用户视图】哪一层配置，都必须全局总开关打开才会真正执行策略H3C。

只有密码最小长度、密码组合复杂度检测这两项特殊功能，可以不依赖全局 enable 就生效；登录尝试锁定不属于这一类H3C。

三层视图优先级（总开关打开前提下才生效）： 本地用户视图 > 用户组视图 > 系统全局视图

你在 local‑user 视图配置password‑control login‑attempt 5 exceed lock‑time 3：全局 enable 开启时，仅对这一个账号生效，优先级最高；
如果全局undo password‑control enable关闭总开关：哪怕本地用户下敲了这条命令，配置可以保存、display this可以看到配置行，但登录失败锁定逻辑完全不运行，输错密码不会触发锁定。

查看校验命令

display password‑control          #第一行查看 Password control: Enabled/Disabled
display local‑user 用户名         #进入该本地用户，查看视图下password‑control配置
display password‑control blacklist #测试输错密码，看是否生成黑名单条目，用来验证锁定是否真正工作

注意：Console 口登录失败不会加入 password‑control 黑名单；VTY (SSH/Telnet)、Web、FTP 登录失败才会触发登录次数计数与锁定测试H3C。

完整示例配置片段

system‑view
password‑control enable   #必须全局开启总开关
local‑user test class manage
 password‑control login‑attempt 5 exceed lock‑time 3
quit
save

暂无评论

zhiliao_Gixe

zhiliao_Gixe 九段

粉丝：18人关注：9人

在H3C设备上，password-control login-attempt 5 exceed lock-time 3 这类密码控制参数必须依赖全局的 password-control enable 才能生效。如果不启用全局密码控制功能，本地用户下配置的这些参数不会起作用。
排查或配置步骤如下：
1. 进入系统视图：

system-view

2. 启用全局密码控制：

password-control enable

3. 在本地用户视图下配置登录尝试限制：

local-user <用户名> class manage
password-control login-attempt 5 exceed lock-time 3

4. 保存配置：

save

注意：password-control enable 是全局开关，开启后所有相关密码策略（包括登录失败锁定）才会生效。