某局點調整防火牆ssh和web的默認端口後無法登錄、頁麵卡頓

組網不涉及，設備管理地址為公網地址

無告警信息

設備通過公網地址管理，出於安全考慮，現場修改了web及ssh管理的默認端口，修改後發現web頁麵打開卡頓，ssh登錄超時

1.首先通過console登錄設備，針對登錄卡頓的流量進行排查（debug會話等手段），確認報文被防火牆丟棄。

2.檢查ssh和ip http相關配置，無異常

3.業務流量正常，過路流量無丟包現象，進一步排查控製平麵是否存在丟包，發現default協議報文丟包計數大量增長。

[H3C-probe]dis system  internal  control-plane statistics  slot 2 cpu  1 

Control plane slot 2 cpu 1

  Protocol: Default

    Bandwidth: 1000 (pps)

    Forwarded: 1210012754 (Packets), 171957391752 (Bytes)

    Dropped  : 3691114653 (Packets), 535188841706 (Bytes)

ssh/http/https的默認端口被修改，對應的管理流量上到防火牆後被識別成了其他協議，由於訪問防火牆本機的流量屬於控製平麵報文，設備默認存在限速策略，針對常用協議如icmp、ssh、http等均設有單獨的帶寬供使用，調整了ssh的默認端口後，流量被識別成了其他協議，匹配到的帶寬為default協議，由於管理地址暴露在公網，可能會存在大量的無關報文訪問導致cpu控製平麵限速丟包

首先不建議通過公網訪問。

如果一定要走公網訪問的話，可以配置一個環回口，然後公網口配置nat server，把公網口的某個非知名端口映射到環回口的22端口，ssh server port還用默認22，這也可以避免copp限速的影響。

另外公網口的22端口映射到一個任意一個不通的地址+端口，這樣22端口從公網側是仍然是訪問不通的