华为5720交换机密码期限管理与安全配置指南

1. 华为5720交换机密码期限管理概述

在企业网络运维中，设备密码安全是基础防护的重要环节。华为5720系列交换机作为经典的企业级接入层设备，其密码策略管理直接关系到整个网络的安全基线。密码期限设置作为密码策略的核心参数，决定了密码的有效使用周期，强制用户在指定时间后更换密码，避免长期使用同一密码带来的安全隐患。

我管理过的多个企业网络项目中，发现很多管理员会忽略这个看似简单的配置。有的直接使用默认的永久有效设置，有的设置了不合理的短周期导致频繁锁账号。合理的密码期限应该平衡安全性和可用性：太短会增加管理负担，太长则降低安全性。根据金融行业等保要求，一般建议设置为90天，普通企业可放宽至180天。

2. 密码期限配置前的准备工作

2.1 登录设备检查当前配置

首先通过Console或SSH登录5720交换机，进入系统视图后执行：

display current-configuration | include password

这会显示现有密码策略，重点关注以下字段：

• password expire：密码有效期（天）
• password alert：密码到期提醒（天）
• password history：历史密码记录数

典型输出示例：

password control enable password expire 90 password alert 7 password history 5

2.2 评估现有密码策略风险

根据输出结果判断当前配置风险：

1. 若未启用密码控制（无password control enable），需先启用基础策略
2. 若密码期限为0（永久有效），必须立即修改
3. 检查历史密码记录数是否≥5（防止密码循环使用）

注意：修改密码策略会影响所有本地账号，建议在非业务高峰时段操作，并提前通知相关用户。

3. 密码期限修改详细步骤

3.1 进入密码策略配置视图

system-view password control

3.2 设置密码有效期（核心参数）

expire 90 # 设置90天有效期 alert 7 # 到期前7天开始提醒 history 5 # 记录5次历史密码

参数选择建议：

• 金融/政务网络：60-90天
• 一般企业网络：90-180天
• 测试环境：可设为365天
• alert建议设为有效期10%的天数

3.3 验证配置生效

display password control

检查输出中：

• Password expiration应为设置的天数
• Reminder before expiration显示提醒周期
• History password number确认历史记录数

4. 高级配置与联动设置

4.1 密码复杂度联动配置

建议同时配置复杂度要求：

password policy enable password policy length 8 # 最小长度8 password policy type 3 # 需含数字、大小写字母

4.2 管理员账号特殊设置

对admin等特权账号应设置更严格策略：

local-user admin class manage password expire 60 # 60天强制更换 service-type ssh telnet terminal

4.3 日志与告警配置

启用密码到期日志记录：

info-center enable password control logging enable

5. 典型问题排查实录

5.1 密码修改后仍提示到期

现象：用户已改密码但仍收到到期提醒 排查：

1. 检查账号的Last password change time：

   display local-user username

2. 确认新密码符合复杂度要求
3. 检查是否有多个同名账号（区分user-class）

5.2 密码策略不生效

可能原因：

1. 未全局启用密码控制：

   password control enable

2. 账号单独设置了例外：

   local-user xxx attribute undo password control

5.3 紧急情况处理

临时延长某账号有效期：

local-user xxx password expire 365 # 设为1年

6. 最佳实践建议

根据多年运维经验，推荐以下配置组合：

password control enable password expire 90 password alert 7 password history 5 password policy enable password policy length 10 password policy type 3 password attempt 5 interval 10 # 5次错误锁定10分钟

对于5720交换机的特殊注意事项：

1. V200R009C00版本前需先启用password control
2. 配置保存后建议重启生效：

   save reboot

3. 跨版本升级后需重新校验密码策略

实际项目中遇到过因密码策略导致的管理问题：某企业设置30天有效期但未配置提醒，结果大量账号同时到期导致运维瘫痪。后来调整为90天有效期+15天提醒，问题彻底解决。这提醒我们密码策略不仅要考虑安全性，更要注重可操作性。