SecPath F1030 等保测评：HTTPS 管理界面 SHA‑1（DHE‑RSA‑AES256‑SHA）弱套件修复

现象：等保扫描发现防火墙 Web 管理 HTTPS 支持密码套件 DHE‑RSA‑AES256‑SHA，哈希算法 SHA‑1，属于不安全套件；要求禁用 SHA‑1 类套件，同时普通 Chrome/Edge 浏览器可以正常访问 Web 管理页面。

重要：F1030 V7 版本Web 界面不能修改 SSL 加密套件，必须命令行配置 SSL 服务器策略，再绑定给设备 HTTPS 管理服务。

根因

防火墙默认 SSL 服务器策略放开全部密码套件，包含大量 SHA‑1 结尾套件（dhe_rsa_aes_256_cbc_sha 就是 DHE‑RSA‑AES256‑SHA），测评工具扫描 TLS 握手可以协商到此弱套件。

注意：dhe_rsa_aes_256_cbc_sha = SHA‑1 哈希；dhe_rsa_aes_256_cbc_sha256 = SHA‑256（安全）H3C。

完整配置步骤（Telnet/SSH 登录命令行）

1、创建 SSL 服务器策略（用于 web 管理 HTTPS）

2、把 SSL 策略绑定给防火墙 HTTPS 管理服务

⚠️执行完上面两条，当前 web 会话会断开，需要重新浏览器登录防火墙 web 页面。

3、保存配置

验证配置是否生效

1. 命令行查看 ssl 服务器策略套件：

确认输出里面没有 dhe_rsa_aes_256_cbc_sha（SHA‑1），全部是 sha256/sha384/GCM 套件。

2. 使用扫描工具复测（比如 Nessus、openvas、等保测评工具），确认不再返回 DHE‑RSA‑AES256‑SHA 套件。
3. Chrome/Edge 浏览器访问防火墙 https 管理地址，确认可以正常打开 Web 页面。

常见踩坑点

1. ❌不要用 FIPS 全局模式：fips enable全局 FIPS 会重启整机，会改变所有 SSL/IPsec/SSL‑VPN 全部行为，不建议直接全局开启 FIPS 加固管理 web，优先使用上面自定义 ssl server‑policy 方案H3C。
2. 套件列表不能全部清空：ciphersuite 后面必须带上至少 1 个安全套件，否则 HTTPS 服务无法建立连接，浏览器访问失败。
3. 旧浏览器兼容：XP、非常老版本 IE 浏览器会无法访问，现代 Chrome/Edge/Firefox 全部正常；等保场景下，管理主机不允许老旧浏览器，符合测评要求。
4. 如果后续做 SSL VPN、虚拟服务器，那是另外一套 ssl‑policy，本配置只修改设备自身 Web 管理的 HTTPS，不影响业务 SSL VPN。

如果配置后浏览器打不开 web

• 检查 ciphersuite 列表，至少保留ecdhe_rsa_aes_128_gcm_sha256这一个主流套件。
• 检查是否禁用 TLS1.2：不要执行ssl version tls1.2 disable。
• 回滚命令恢复默认：

额外等保加固建议

1. 防火墙 web 管理证书，建议替换为 RSA2048 及以上正式证书，不要使用设备出厂自签名 SHA‑1 证书。
2. 管理 HTTPS 仅允许内网管理主机访问，配置 ACL 限制 ip https 访问源地址。

补充说明：dhe_rsa_aes_256_cbc_sha对应 TLS 套件名称 TLS_DHE_RSA_WITH_AES_256_CBC_SHA，测评报告写的 DHE‑RSA‑AES256‑SHA 就是这个，配置 ciphersuite 不写这个参数就彻底移除该套件协商能力H3C。