防火墙web登录

上周三凌晨两点，防火我接到运维老张的登录电话。他声音发紧：“防火墙web登录不上了，防火页面一直转圈。登录”我让他先别重启设备，防火把浏览器控制台截图发过来——果然，登录一堆CSP报错，防火有个前端脚本加载超时。登录这不是防火设备坏了，是登录管理面访问路径上某个环节把HTTP响应给拦了。

防火墙的防火web登录，表面看就是登录个网页表单。输入IP、防火用户名、登录密码，防火点登录。但数据包从你的浏览器到防火墙管理口，中间可能经过三层交换、ACL、NAT映射、甚至反向代理。任何一层出问题，页面就卡住。我见过最离谱的案例：客户把防火墙管理口划进了一个业务VLAN，结果该VLAN的网关在核心交换机上做了策略路由，把去往防火墙443端口的流量扔给了旁路设备。你盯着登录页转圈，其实是流量压根没到防火墙。

浏览器这边也常出幺蛾子。Chrome 90之后默认禁用混合内容，如果你的防火墙web界面还在用自签名证书且页面里嵌了http资源，登录按钮会直接灰掉。有些老版本固件更绝，只支持TLS 1.0，现代浏览器早就不认了。这时候要么降级浏览器（不推荐），要么用curl测一下：curl -k -v https://防火墙IP，看握手阶段报什么错。比瞎点登录按钮有用得多。

说到登录本身，很多管理员习惯把管理口开在公网。我扫过一些暴露在外的防火墙web界面，登录页连验证码都没有，默认admin/admin还能用。更麻烦的是，有些设备的管理会话不绑定源IP，你在这边登录，攻击者从另一个IP也能蹭进同一个会话。去年有个客户中招，防火墙策略被改，内网数据库被拖走。查日志发现攻击者就是通过web登录进去的，密码是设备出厂默认值，压根没改。

排查web登录故障，我一般按这个顺序走：先ping管理口IP，通不通？再telnet 443端口，通不通？如果端口通但页面打不开，抓包看TCP握手后服务器返回什么。常见的是返回RST，说明防火墙管理面进程挂了或者ACL把源IP拒了。如果返回200但页面空白，那就是前端资源加载问题，看浏览器F12的Network面板，哪个请求红了。有一次我遇到登录后无限跳转，查出来是Cookie的Secure属性设了，但用户用http访问，浏览器不存Cookie，每次请求都当新会话。

还有个坑是双机热备场景。主备切换后，备机接管了IP，但web管理服务没起来。你登录主设备IP，实际连的是备机，备机管理面没监听。这时候看设备面板上的HA灯，或者登console口敲show ha status。别死磕web页面。

最后说个真事。某次我帮客户调防火墙，web登录死活进不去，console口也连不上。后来发现是机房空调漏水，水滴到设备管理口的RJ45插座里，针脚氧化了。换根console线，用串口登进去，把管理口关掉，改用带外管理。所以有时候问题不在协议、不在配置，在物理层。你盯着屏幕转圈，不如去机房看一眼设备灯。

防火墙web登录这事，说小也小，说大能大到让整个运维团队半夜爬起来。关键是把路径拆开，逐段验证。浏览器、网络、设备管理面，三个环节挨个过。别一上来就重启，重启解决不了ACL写错的问题。