华为交换机密码忘了别慌！手把手教你从Console到BootROM的完整恢复指南（含S5720/S6720等型号差异）

华为交换机密码恢复实战手册：从紧急处理到安全加固

凌晨三点，机房告警灯突然亮起，核心业务中断。当你满头大汗冲到设备前，却发现所有登录密码都试了个遍——全部错误。这种场景对网络工程师来说无异于噩梦。本文将带你深入华为交换机密码恢复的完整流程，从Console到BootROM的每一步操作细节，到不同型号的关键差异，再到事后的安全加固策略，形成一套完整的应急方案。

1. 密码丢失的应急处理框架

面对密码丢失的紧急情况，首先要建立清晰的处置流程。根据可用的访问权限和设备型号，恢复路径会有所不同。以下是完整的决策树：

• 有STelnet/Telnet权限时：优先通过远程连接修改密码，避免重启设备影响业务
• 仅能物理接触设备时：通过Console口进入BootROM/BootLoad菜单
• BootROM密码也遗忘时：需要重置为默认密码

关键判断点在于设备型号和软件版本。以常见的S5720和S6720系列为例：

提示：双主控设备操作前需拔下备用主控板，完成后再插入同步配置

2. Console密码恢复的实战细节

通过Console口恢复是最基础的技能，但不同场景下的操作差异很大。

2.1 通过BootROM/BootLoad清除密码

完整操作流程：

1. 使用Console线连接交换机，重启设备
2. 在启动阶段看到提示时按下Ctrl+B（部分型号支持Ctrl+E）
3. 输入正确的BootROM密码（参考上表版本差异）
4. 选择Clear password for console user选项
5. 关键步骤：必须选择Boot with default mode而非Reboot

# 进入BootROM后的典型菜单示例 Main Menu: 1. Default Startup 2. Serial Menu 3. Clear password for console user 4. Reboot Enter your choice(1-4):3

成功清除后，Console登录将无需认证。此时应立即重新配置认证：

<HUAWEI> system-view [HUAWEI] user-interface console 0 [HUAWEI-ui-console0] authentication-mode password [HUAWEI-ui-console0] set authentication password cipher NewPass@2023 [HUAWEI-ui-console0] return <HUAWEI> save

2.2 通过STelnet修改Console密码

如果有幸保留了远程访问权限，可以免重启修改密码：

# AAA认证模式配置示例 [HUAWEI] user-interface console 0 [HUAWEI-ui-console0] authentication-mode aaa [HUAWEI-ui-console0] quit [HUAWEI] aaa [HUAWEI-aaa] local-user admin123 password irreversible-cipher SafePass#456 [HUAWEI-aaa] local-user admin123 service-type terminal

3. 其他关键密码的恢复策略

3.1 Telnet密码重置

通过Console登录后，重置Telnet访问：

[HUAWEI] user-interface vty 0 4 [HUAWEI-ui-vty0-4] authentication-mode aaa [HUAWEI-ui-vty0-4] protocol inbound telnet [HUAWEI-ui-vty0-4] quit [HUAWEI] aaa [HUAWEI-aaa] local-user telnetadmin password irreversible-cipher Telnet@789 [HUAWEI-aaa] local-user telnetadmin service-type telnet

3.2 Web管理密码恢复

[HUAWEI] aaa [HUAWEI-aaa] local-user webadmin password irreversible-cipher WebAdmin@2023 [HUAWEI-aaa] local-user webadmin service-type http [HUAWEI-aaa] local-user webadmin privilege level 15

3.3 BootROM密码重置

当连BootROM密码都遗忘时：

<HUAWEI> reset boot password Warning: This will reset boot password to default. Continue? [Y/N]:y

4. 安全加固与防复发措施

密码恢复后，必须实施安全加固：

1. 密码策略强化：

   • 启用复杂度检查
   • 设置最短长度8位
   • 强制90天更换周期

2. 访问控制清单：

   [HUAWEI] acl 2100 [HUAWEI-acl-basic-2100] rule permit source 192.168.1.100 0 [HUAWEI-acl-basic-2100] quit [HUAWEI] user-interface vty 0 4 [HUAWEI-ui-vty0-4] acl 2100 inbound

3. 日志监控：

   • 配置登录失败告警
   • 记录所有特权操作
   • 设置Syslog服务器

4. 备份方案：

   # 定期自动备份配置 <HUAWEI> scheduler job BAK_CONFIG <HUAWEI-job-BAK_CONFIG> command 1 save <HUAWEI-job-BAK_CONFIG> command 2 ftp 10.1.1.100 put vrpcfg.zip

在实际运维中，建议制作设备密码档案加密保存，并实施双人授权机制。对于核心设备，可考虑部署AAA服务器集中管理认证，避免单点密码遗忘风险。