O SecoManager diz que o equipamento está offline, mas o equipamento em si nunca saiu do lugar — continua limpando tráfego, continua acessível na LAN, continua ligado. A falha quase sempre está no caminho SSH/STelnet que o SecoManager usa para consultar o status. Estas são as seis camadas a verificar em ordem, com as mensagens de erro reais e os comandos de diagnóstico para cada uma.
Por Yuwen Zhang (Atlas), fundador da AtlasCommTech — 13 anos de implantações de redes de operadoras e empresariais · Atualizado em julho de 2026
O equipamento mostra uma bandeira vermelha de Offline, mas nada na sua própria saúde mudou — a falha quase sempre está no canal que o SecoManager usa para perguntar, não no equipamento que está sendo perguntado.
O SecoManager determina que um equipamento está offline quando sua própria consulta periódica de status SSH/STelnet deixa de ter sucesso — não quando o próprio equipamento realmente falhou. Essa distinção importa, porque significa que a correção raramente está dentro da configuração de defesa do equipamento AntiDDoS, e quase sempre em algum lugar das seis camadas abaixo da própria sessão SSH: acessibilidade física, a conexão STelnet, as credenciais da conta, o vencimento da própria senha SSH do equipamento, o bloqueio de conta ou IP disparado pela própria consulta repetida do SecoManager, o estado da licença do SecoManager, e por fim o algoritmo de troca de chaves e o conjunto de cifras que os dois lados realmente negociam.
A seguir estão essas seis camadas na ordem que vale a pena verificar, as mensagens de erro e comandos exatos para cada uma, quatro armadilhas que explicam a maioria dos casos reais, e respostas de casos reais de campo para os que não se encaixam claramente em uma única camada.
Trabalhe de baixo para cima na pilha — acessibilidade física primeiro, negociação de cifra por último — porque uma camada inferior falhando faz toda camada acima também parecer quebrada.
Cada camada abaixo descarta uma categoria inteira de explicações antes de passar para a próxima; pular direto para a configuração de cifra SSH quando a senha SSH do equipamento simplesmente venceu desperdiça muito mais tempo do que economiza.
Os rótulos do diagrama permanecem em inglês para clareza técnica.
As camadas 3 a 5 são as que mais passam despercebidas, porque todas apresentam exatamente o mesmo sintoma — Offline no SecoManager — enquanto por baixo não têm nenhuma relação entre si.
Cada camada tem seu próprio teste e sua própria correção — e a maioria dos casos reais se resolve na camada 3, 4 ou 6, não na mais baixa nem na mais alta.
Antes de mexer no SSH, confirme se o próprio equipamento está realmente vivo — só esse passo já descarta um problema de hardware ou de alimentação disfarçado de falha no plano de gerenciamento.
// Console port default communication parameters:
// 9600 bps, 8 data bits, 1 stop bit, no parity, no flow control
// -- confirm the terminal emulator on your laptop is set to match before assuming Console is dead tooO SecoManager mostrando Offline é um relato sobre a própria consulta dele, não uma medição direta do equipamento — confirme você mesmo a sessão STelnet subjacente antes de confiar no painel.
Uma “exceção de comunicação” relatada pelo sistema recém-instalado pode apontar para algo completamente diferente das credenciais do equipamento.
Esta é a camada que explica o caso clássico: o equipamento rodou online por um longo período, e de repente reporta Down sem nenhuma mudança de configuração em nenhum dos lados.
<AntiDDoS12008>sys
[AntiDDoS12008]aaa
[AntiDDoS12008-aaa] local-aaa-user password policy administrator
[AntiDDoS12008-aaa-lupp-admin]password expire 0Esta é a camada fácil de deixar passar porque a causa é o próprio SecoManager, tentando repetidamente um login que já está falhando.
O SSH funcionando perfeitamente a partir do servidor do SecoManager enquanto a página Web do SecoManager ainda reporta falha é o sintoma específico desta camada.
Se o algoritmo de troca de chaves SSH configurado no equipamento AntiDDoS for insuficiente, ele simplesmente não consegue trocar chaves com o SecoManager — sem nenhum problema de senha à vista.
display cur | in ssh
// current SSH cipher configuration on the device
// recommended SSH cipher configuration:
ssh server cipher aes256_gcm aes128_gcm aes256_ctr aes192_ctr aes128_ctr
ssh server hmac sha2_512 sha2_256
ssh server key-exchange dh_group_exchange_sha256 dh_group16_sha512 curve25519_sha256
ssh server publickey ecc rsa
ssh server dh-exchange min-len 3072
// Diagnostic View:
display ssh server error
// SecoManager side: /opt/oss/log/NCECOMMONE/ATICMgmtMS/common.logDepois que a configuração de cifra e troca de chaves estiver alinhada, percorra em ordem os itens de configuração SSH/STelnet ao redor — tipo de serviço do usuário, tipo de autenticação, canal VTY e a permissão de serviço Telnet da interface todos precisam ser consistentes, não apenas o conjunto de cifras.
// check whether AntiDDoS SSH is configured, and whether Telnet is enabled
ssh user admin123 service-type all
// or
ssh user admin123 authentication-type all
// or
[Device-aaa] local-user admin123 service-type all
// or
stelnet server enable
// check whether the peer interface has telnet permitted
service-manage ssh permit
// check the SSH key-exchange configuration
ssh server cipher aes256_gcm aes128_gcm aes256_ctr aes192_ctr aes128_ctr
ssh server hmac sha2_512 sha2_256
ssh server key-exchange dh_group_exchange_sha256 dh_group16_sha512 curve25519_sha256
ssh server publickey ecc rsa
ssh server dh-exchange min-len 3072
// check the VTY channel configuration
user-interface vty 0 14
authentication-mode aaa
user privilege level 3Depois que o diagnóstico de seis camadas acima indicar aproximadamente onde está o problema, essas quatro armadilhas explicam a maior parte do que realmente está acontecendo.
SYMPTOMO equipamento estava online e estável por um período prolongado sem nenhuma mudança de configuração em nenhum dos lados, e de repente reporta um alarme Down do nada.
CAUSEA própria senha da conta SSH/STelnet do equipamento tem uma política de vencimento anexada, e ela venceu silenciosamente. O login de consulta do SecoManager começa a falhar no momento em que a senha não consegue mais autenticar, o que aparece puramente como uma bandeira de status sem mais nada apontando para a causa real.
FIXFaça login STelnet diretamente no equipamento com Xshell ou similar para confirmar o aviso de senha. Altere a senha do equipamento se ela venceu ou está prestes a vencer, atualize a senha pareada do SecoManager para corresponder, depois defina password expire 0 na conta para que isso não se repita silenciosamente.
<AntiDDoS12008>sys
[AntiDDoS12008]aaa
[AntiDDoS12008-aaa] local-aaa-user password policy administrator
[AntiDDoS12008-aaa-lupp-admin]password expire 0SYMPTOMO login SSH do servidor do SecoManager para o equipamento falha completamente, mesmo que as credenciais que você digita manualmente estejam corretas.
CAUSEO SecoManager consulta o status do equipamento em um cronograma fixo e repetido. Se a senha do equipamento já foi digitada incorretamente — mesmo que uma vez, mesmo que brevemente — as próprias consultas automáticas repetidas do SecoManager podem bastar sozinhas para bloquear a conta ou colocar na lista negra o endereço IP do servidor depois de apenas algumas tentativas falhas, sem que nenhuma pessoa tente novamente manualmente nada.
FIXConfirme primeiro que não há política de firewall entre o SecoManager e o equipamento bloqueando a porta SSH 22, depois verifique especificamente o bloqueio de conta ou IP como efeito colateral da consulta automática repetida — não um erro de login humano pontual — antes de assumir que as próprias credenciais estão erradas.
SYMPTOMFazer login SSH diretamente no equipamento AntiDDoS a partir do servidor do SecoManager tem sucesso completo, mas a página Web do SecoManager continua reportando falha de teste de qualquer forma.
CAUSESe a própria conexão comprovadamente funciona no nível SSH, a explicação restante está uma camada acima: a licença do SecoManager não tem entrada válida, ou venceu, e é isso que realmente está bloqueando a atualização do status do lado Web — não nada sobre o equipamento ou suas credenciais.
FIXVerifique diretamente o estado da licença do SecoManager e resolva qualquer condição de sem licença ou licença vencida antes de gastar mais tempo testando novamente o caminho SSH, que já foi comprovado que funciona.
SYMPTOMO display ssh server error e o common.log do lado do SecoManager apontam ambos para uma incompatibilidade de publickey, com credenciais e acessibilidade de rede já confirmadas normais.
CAUSEO algoritmo de troca de chaves SSH e o conjunto de cifras configurados no equipamento AntiDDoS não incluem o que o SecoManager precisa para negociar uma sessão — os dois lados simplesmente não conseguem concordar sobre como trocar chaves, o que não tem nada a ver com a senha estar correta.
FIXCompare o display cur | in ssh com a configuração de cifra recomendada e aplique o que estiver faltando, depois percorra a configuração circundante de usuário SSH, VTY e permissão de serviço de interface — um conjunto de cifras correto ainda assim não conectará se o stelnet server enable ou o modo de autenticação VTY estiver errado junto com ele.
ssh server cipher aes256_gcm aes128_gcm aes256_ctr aes192_ctr aes128_ctr
ssh server hmac sha2_512 sha2_256
ssh server key-exchange dh_group_exchange_sha256 dh_group16_sha512 curve25519_sha256
ssh server publickey ecc rsa
ssh server dh-exchange min-len 3072Tiradas diretamente do campo — as que vale a pena ter uma resposta pronta.
Quase certamente não. A bandeira de status do SecoManager reflete o resultado da sua própria consulta SSH/STelnet, não uma verificação direta de hardware. Faça login diretamente no equipamento primeiro — via STelnet ou Console — antes de assumir que algo no próprio equipamento falhou. Na grande maioria dos casos reais, o equipamento está bem e o caminho de consulta é a falha real.
Isso diz a você que o próprio caminho SSH funciona, o que descarta credenciais, acessibilidade de rede e incompatibilidade de cifra de uma só vez. O que resta é quase sempre uma condição do lado do SecoManager — mais comumente a licença do SecoManager sem licença ou vencida — em vez de algo sobre o equipamento.
A política de senha AAA local do equipamento carrega uma configuração de vencimento por padrão, e assim que ela expira, o login de consulta do SecoManager simplesmente para de autenticar sem nenhum outro sintoma. Definir password expire 0 sob a local-aaa-user password policy correspondente desativa o vencimento para aquela conta — faça isso deliberadamente depois de confirmar que a conta e seu uso são destinados a durar bastante, em vez de deixar o equipamento cair offline silenciosamente de novo mais tarde.
Execute o display ssh server error na Visão de diagnóstico no próprio equipamento, e faça a verificação cruzada com a entrada correspondente em /opt/oss/log/NCECOMMONE/ATICMgmtMS/common.log do lado do SecoManager. Entre os dois, uma incompatibilidade de publickey, uma incompatibilidade de cifra ou uma falha de autenticação geralmente serão explícitas em vez de algo que você precise inferir apenas pela bandeira Offline.
Nesse ponto, nenhuma operação de linha de comando é possível de forma alguma, o que tira isso da solução de problemas normal e torna um caso de emergência. Primeiro confirme que isso genuinamente não interrompe um fluxo de negócio em andamento, depois colete as informações de falha que puder e entre em contato diretamente com seu distribuidor ou com a central de pós-venda da Huawei em vez de continuar tentando comandos que não conseguem alcançar o equipamento.
Esta nota se baseia na família de equipamentos Huawei AntiDDoS gerenciada pelo SecoManager via SSH/STelnet, e na lista de verificação de campo por trás de por que esse canal de gerenciamento cai enquanto o próprio equipamento continua rodando. Ela assume que o SecoManager é a plataforma de gerenciamento em questão; um NMS diferente ou uma implantação apenas por CLI direta segue uma lista de verificação relacionada, mas não idêntica. Não cobre em profundidade a configuração de rede em nível de SO do próprio servidor do SecoManager, nem cenários de failover de alta disponibilidade do NMS.
Conte-nos em qual camada você está travado — senha, bloqueio, licença, ou incompatibilidade de cifra SSH — junto com a saída de display ssh server error, e ajudamos você a interpretá-la.