ESXi 6.5：无法通过 ssh 和 web gui 使用密码登录，但 ssh 的公钥身份验证仍然有效

Question

我有一个新安装的 ESXi 系统（2017-02-02 的 6.5.0a）。我今天无法使用密码登录它。带有密码身份验证的 web gui (web vSphere) 和 ssh 都不起作用。

来自 Web gui 的错误：

Cannot complete login due to an incorrect user name or password.

我配置了一个 ssh pub key auth，它仍然可以正常工作，所以我仍然可以通过 ssh 访问控制台。我多次尝试使用“passwd root”更改密码。我重新启动了主机，但无论是 web gui 还是带密码身份验证的 ssh 都不起作用。

还有什么我可以尝试恢复对 ESXi 主机的访问的吗？

Answer 1

简而言之，自 ESXi 6 以来引入了 root 帐户锁定功能，在尝试登录失败达到 900 秒后逐渐增加锁定计时器，这些计时器似乎是累加的。DCUI 控制台不受影响，您的密码应该可以在那里使用。如果您的管理界面面向公共网络，那么您就有麻烦了，因为暴力 ssh 机器人将确保此计时器永远不会因 root 帐户而过期。查找您的/var/log/hostd.log和/var/log/auth.log以查看血腥细节..

您可以按优先顺序使管理界面不面向公共网络、配置内置防火墙以仅接受来自受信任网络的流量或禁用 SSH 并等待几个小时直到锁定到期。然后您应该可以再次登录。

您可以创建一个单独的非 root 管理员帐户并使用它，或者通过将Security.AccountLockFailures高级选项中的设置为零来禁用帐户锁定功能，以避免将来发生这种情况。同时，您应该考虑坚持最佳实践并从您的管理网络中删除公共访问，并在不需要进行故障排除时禁用 SSH 访问。