H3C S5024PV2-EI设置了密码安全基线过期后，无法登录

那就过了90天，然后改密码呀

90天提前 修改密码就可以了 

# S5024PV2‑EI 密码过期无法登录问题

>
> 现象：配置`password‑control expired‑user‑login delay 90 times 5`，密码 90 天到期，**Console/SSH 全部无法登录，报错：`Failed to log in because the login idle timer expired.`**；只能 BootWare 跳过配置启动恢复，90 天后复现；R1106/R1107/R1111 版本均复现。
> 设备：S5024PV2‑EI，Comware5，**这是 Comware5 该版本系列已知软件 BUG**，不是配置错误。

## 问题原理

`password‑control expired‑user‑login delay 90 times 5`含义：密码过期后，允许**最多 5 次登录尝试**，宽限期 90 天；
但该版本固件存在缺陷：**密码到期后，直接把本地用户锁死，Console 口也拒绝登录，宽限期逻辑失效**，即使输入正确密码也拒绝登录。

>
> 注意：**Console 口（aux0）在 Comware5 该版本下同样受 password‑control 密码过期策略管控，不是例外**，这是和 V7 平台最大区别。

>
> 安全基线要求密码 90 天过期，不能直接关闭密码过期；需要规避 BUG。

## 方案一：规避 BUG（推荐，保留 90 天密码过期基线，不关闭密码过期）

### 核心修改：**去掉 `password‑control expired‑user‑login delay 90 times 5`**

>
> 该命令是触发 BUG 的根源；保留其余密码安全基线；密码到期后，**不再允许宽限期登录，必须修改密码才能登录**，但不会锁死 Console。

完整可用基线配置：

```
password‑control enable
password‑control composition type‑number 3 type‑length 1
password‑control history 5
password‑control alert‑before‑expire 30
password‑control login‑attempt 5 exceed lock‑time 30
# 删掉这一行：password‑control expired‑user‑login delay 90 times 5
password‑control complexity user‑name check
password‑control complexity same‑character check
```

>
> 说明：

1. 去掉`expired‑user‑login delay`后：密码到期，**登录时强制提示修改密码，不锁死 Console 口**，管理员 Console 登录后可以直接修改密码；
2. 仍然保留**90 天密码过期、30 天提前告警、历史密码 5 次、复杂度校验**，满足安全基线；
3. 不再提供过期后宽限期登录；到期必须改密码，不允许旧密码继续使用。

>
> ⚠️风险：密码到期，远程 SSH/Telnet 登录会强制要求改密码；**Console 口可以正常登录改密码，不会锁死设备**。

### 运维操作

- 密码到期前 30 天设备会告警提示；
- 到期后，通过 Console 登录，直接执行修改本地用户密码：

```
local‑user admin
password irreversible‑cipher 新密码
```

## 方案二：固件升级（优先尝试）

S5024PV2‑EI 的 Comware5，**R1111 是该系列最高版本，没有后续修复版本**，该 BUG 官方没有出修复包。

>
> 该型号属于老 V2 平台，已经停止维护，**没有新版本可以修复这个 bug**，只能通过配置规避。

## 方案三：应急恢复（设备已经锁死，无法登录时）

1. 上电，BootWare 菜单，选择**跳过配置文件启动**（Skip current configuration file）；
2. 启动后，设备没有加载密码策略，此时 Console 可以登录；
3. 保存配置，删除`password‑control expired‑user‑login delay 90 times 5`；
4. 重启设备，加载完整配置。

>
> 注意：跳过配置启动，所有业务配置临时不生效，**操作完成必须保存，重启加载完整配置**。

## 常见踩坑点

1. ❌不要以为 Console 口不受密码过期控制：Comware5 S5024PV2‑EI 的 aux0 Console 口同样受`password‑control`管控；V7 才会默认 Console 不受过期策略限制。
2. ❌不要直接关闭`password‑control enable`，会破坏安全基线。
3. ❌不要保留`expired‑user‑login delay 90 times 5`，只要保留该命令，90 天后必然复现锁死现象。

## 极简总结

1. 这是 S5024PV2‑EI Comware5 版本固有 BUG；R1106/R1107/R1111 均存在，无新版修复。
2. **删除 `password‑control expired‑user‑login delay 90 times 5`，其余基线保留**；密码到期 Console 仍可登录改密码，不会锁死设备，满足 90 天过期安全基线。
3. 设备锁死时：BootWare 跳过配置启动，登录后删除该命令，保存重启。

>
> 补充：如果安全审计要求必须保留过期后宽限期登录，该设备硬件平台无法实现，只能考虑更换设备。