华三的adcampus

AD‑Campus 环境：iMC 准入服务器断电后 SSL‑VPN 无法登录的应急运维方案
现状痛点：
出口防火墙 SSL‑VPN 绑定 AD‑Campus（iMC Radius）认证；机房停电，iMC / 准入服务器宕机，Radius 服务不可用，SSL‑VPN 完全无法拨号，你在家没有远程通道去启动 iMC / 准入服务；
要求：不改动现有员工 SSL‑VPN 业务，最小配置改动，提供一条管理员应急通道，iMC 挂掉也能远程进去维护 iMC 服务器。
⚠️H3C 防火墙 SSL‑VPN 本身没有 “Radius 故障自动 fallback 本地账号” 能力，主 SSL‑VPN 域一旦绑定 AD‑Campus Radius，iMC 宕机，整个域全部拨不进来，不能直接做降级。
方案优先级（从改动最小到改动大）
方案 1【推荐，改动最小，优先实施】：新建独立的应急 SSL‑VPN 域（第二个 VPN 接入实例）
原有员工 SSL‑VPN 配置完全不动，继续走 AD‑Campus iMC Radius 准入认证，不影响现有业务。
额外新建一套独立 SSL‑VPN 域，只给运维管理员使用，使用防火墙本地账号认证，不走 iMC/AD‑Campus。
在防火墙上新建 SSL‑VPN 实例（新的虚拟网关，不同端口 / 不同域名）
普通员工：https://公网IP:443，沿用原有配置，调用 iMC Radius+AD‑Campus 准入；iMC 宕机就拨不进来（维持现状）
管理员应急入口：https://公网IP:8443（自定义 HTTPS 端口，不要 443），认证源为防火墙本地用户，不调用 iMC Radius，完全绕开 AD‑Campus。
防火墙本地创建 1‑2 个强密码管理员账号，仅允许登录这个应急 SSL‑VPN 域。
该应急 VPN 的资源授权：仅开放 iMC 服务器、核心管理网段（SSH/Web 管理），不开放全部业务内网，最小权限。
安全策略放行 Untrust 到本 SSL‑VPN 网关；VPN 接入后安全策略允许 VPN 地址池访问 iMC 服务器管理地址。
✅优点：
原有业务零修改，员工 VPN 不受任何影响；
iMC 服务器断电 / 准入服务挂掉，这个应急 VPN 不受 iMC 状态影响，照样可以拨号进来，远程 ssh/web 去启动 iMC / 准入服务；
端口 8443 可以在边界做安全加固，可限制源公网 IP（只允许你家公网 IP 访问 8443 端口，防扫描爆破）。
关键安全加固：强烈建议配置 ACL，仅允许你家庭公网出口 IP 访问 8443 端口，公网其他 IP 全部拒绝，避免端口暴露全网被爆破。
⚠️注意：这个应急 VPN 不要启用 AD‑Campus 准入，认证选择防火墙本地用户数据库。
方案 2：IPSec VPN 作为应急通道（备选）
防火墙新建 IPSec 远程接入，本地账号认证，不走 iMC Radius。
优点：稳定；缺点：客户端需要配置 IPSec，不如 SSL‑VPN 网页方便。
❌不推荐做法：修改现有 SSL‑VPN 域，把本地账号和 Radius 混合
H3C 防火墙 SSL‑VPN 域认证模式二选一：Radius 或者本地，不能自动 fallback。如果改成双认证，会出现：iMC 在线时本地账号也可以登录，扩大攻击面，安全风险，不建议生产环境。
打通之后，你远程要做的两件事
停电恢复机房上电，iMC 服务器系统起来，但是iMC / 准入服务不会自动启动或者启动异常，你通过应急 VPN 连进来，远程登录 iMC 服务器，手动启动 iMC、准入组件服务。
日常停电前，依旧建议优先机房本地关闭 iMC 服务；应急 VPN 是停电意外的兜底手段，不是替代本地操作。
配套 iMC 服务器侧优化（减少你远程干预概率）
iMC 服务器操作系统设置 iMC、准入组件开机自启；
配置 Windows 服务重启策略：服务异常停止自动重启；
iMC 数据库设置开机自动启动；
但是现实环境，机房断电硬重启，iMC 组件经常启动顺序错乱，数据库还没就绪，应用先起，导致准入服务挂，仍然需要人工介入，所以应急 VPN 通道必不可少。
额外安全注意点
应急 VPN 端口不要使用 443，使用非标准端口，并且严格限制源 IP，只允许家里公网 IP；
本地管理员账号密码复杂度拉高，不要和 iMC 账号一致；
应急 VPN 地址池独立网段，安全策略做最小权限，只放通 iMC 服务器、设备管理网段，不要放开全部业务内网；
开启日志，审计应急 VPN 登录事件。
故障场景验证
把 iMC 服务器关机模拟断电故障：
普通员工 SSL‑VPN（443）：拨号失败，符合现状；
管理员应急 SSL‑VPN（8443）：使用防火墙本地账号，可以正常拨号成功，访问 iMC 服务器管理地址，远程启动 iMC 准入服务。
补充：为什么原 SSL‑VPN iMC 宕机完全不可用
AD‑Campus 场景下防火墙 SSL‑VPN 调用 iMC Radius 做认证 + 准入校验；iMC 宕机，Radius 服务无响应，SSL‑VPN 整个认证流程直接失败，没有本地降级逻辑，这是产品固有机制。