华为交换机配置的密码莫名失效是运维中常见的棘手问题。这并非密码被篡改，而是源于设备的安全策略或配置不当。本文深入剖析密码失效的根本原因，并提供一套完整的故障处理与永久化配置方案，帮助网络管理员彻底解决这一痛点。
智能速览
密码失效多由账户过期策略、认证冲突或算法问题引起。
可通过BootROM菜单清除Console密码进行紧急故障恢复。
设置“password expire 36500”是防止密码过期的关键。
SSH用户与AAA本地用户的用户名和认证必须保持一致。
新型号交换机需注意SSH客户端与服务器的算法兼容性。
精华内容
要彻底解决密码失效问题，不能只停留在表面修复，而应深入到配置层面，从根源上杜绝隐患。以下是具体的操作步骤与配置解析。
紧急故障恢复
当无法通过任何密码登录时，最可靠的方法是通过Console口进行密码恢复。首先，使用Console线连接电脑并重启交换机，在启动瞬间按下“Ctrl+B”进入BootROM菜单。根据设备版本输入默认密码（通常为空）后，选择“Clear password for console user”清除Console密码。
关键步骤是，清除后必须选择“Boot with default mode”启动，而非“Reboot”，否则清除操作无效。设备重启后即可无密码Console登录，此时应立即重新配置并保存密码。注意，此操作会中断业务，建议在业务低峰期进行。
设置密码永不过期
导致密码失效最常见的原因是本地用户账户被系统设置了有效期。通过“display local-user”命令可查看账户信息。在创建或修改本地用户时，必须加上“password expire 36500”命令。
该命令将密码有效期设置为36500天（约100年），相当于永久有效，从而从根源上避免因策略到期导致的登录失败。完整的配置示例在系统视图下执行，确保了管理员账户的长期可用性。
确保SSH配置统一
SSH登录失败常常是因为SSH用户配置与AAA本地用户配置不一致。必须确保通过“ssh user”命令创建的用户名，与“aaa”视图下“local-user”创建的用户名完全一致，并指定正确的认证方式。
标准配置流程包括：生成RSA密钥对、启用SSH服务、在AAA中创建带长有效期的本地用户，然后再创建同名的SSH用户并设置其认证类型为password。最后，在VTY用户界面下配置认证模式为aaa。
兼容新版本算法
对于部分新型号华为交换机（如S5735系列，软件版本V200R021C10及以后），可能会因SSH加密算法不匹配导致连接失败，客户端提示“No matching MAC algorithm”。这是由于设备默认使用更强的加密算法，而旧版客户端不支持。
解决方案有两种：一是在交换机上加载并安装weakea插件以兼容旧算法；二是升级SSH客户端，使用支持新算法的版本，如MobaXterm或较新版本的Xshell。
通过规范配置账户有效期、统一SSH认证信息以及关注算法兼容性，可以一劳永逸地解决华为交换机密码失效问题。主动采取这些预防措施，远比事后紧急恢复更有效率。你的网络设备是否也遇到过类似的安全策略困扰？
