VMware ESXi 系统一段时间后 root 密码失效的解决方案

在使用 VMware ESXi 的过程中，有些运维人员会遇到这样一个问题：

ESXi 运行一段时间后，root 密码突然失效，SSH 和 Web 管理界面均无法登录，但确认并未修改过密码。

下面对该问题进行原因分析，并给出多种可行解决方案。

一、问题现象描述

• 使用 root 用户

• 通过 SSH 登录 ESXi 失败

• 通过 Web 管理界面（Host Client）登录失败

• 系统提示 用户名或密码错误

• 实际确认 root 密码从未修改

二、问题原因分析

该问题并非密码被修改，而是 ESXi 的账户锁定机制导致的假象。

🔒 ESXi Root 账户锁定机制说明

从较新版本的 ESXi 开始，引入了 账户锁定功能：

• 当登录失败次数达到阈值（默认 5 次）

• root 账户会被 临时锁定

• 锁定时间默认为 900 秒（15 分钟）

• 多次失败会导致 锁定时间累加

• 锁定期间：

  • SSH 登录失败

  • Web 管理登录失败

  • 看起来就像“密码失效”

三、解决方案一：关闭 Root 账户锁定（推荐）

适用场景

• 单机环境

• 内网使用

• 无暴露在公网的 ESXi

操作步骤

1. 使用浏览器访问 ESXi Web 管理界面

2. 登录后进入：

   管理 → 系统 → 高级设置

3. 找到以下参数：

4. 将其值修改为：

表示 禁用账户锁定功能

5. 保存配置即可生效

✔ 优点

• 立即生效

• 彻底解决 root 被锁问题

• 操作简单

⚠ 注意

• 不建议在公网暴露环境直接关闭锁定机制

四、解决方案二：启用 SSH 密钥登录（强烈推荐）

原理说明

即使 root 账户被锁定：

• SSH 密钥认证仍可正常使用

• 不受密码失败次数限制

操作说明

1. 配置 SSH 密钥登录

2. root 的密钥文件路径：

3. 将生成的公钥写入该文件

使用注意事项

• 当 root 被锁定时：

  • 可直接使用 SSH 密钥登录

  • 但需要 重启 SSH 服务

✔ 优点

• 安全性高

• 不依赖密码

• 适合生产环境

五、解决方案三：配置防火墙，仅允许指定 IP 访问（推荐）

适用场景

• ESXi 管理接口暴露在公网

• 防止暴力破解导致账户锁定

实现效果

• 只允许 授权 IP 访问：

  • SSH

  • Web 管理端口

• 非授权 IP：

  • 无法建立连接

  • 无法触发登录失败次数

实际测试结果

• 允许的 IP：可正常 SSH 登录

• 非允许 IP：SSH 连接直接拒绝

六、推荐的综合解决方案（最佳实践）

建议结合以下三点使用：

1. ✅ 开启 SSH 密钥登录

2. ✅ 限制管理 IP 来源

3. ⚠ 内网环境可适当 关闭账户锁定

这样可以同时做到：

• 安全性高

• 运维方便

• 不再出现“root 密码失效”的问题

七、总结

ESXi root 密码“失效”并非真正失效，而是账户被锁定导致。

关键点如下：

• ESXi 默认启用 root 账户锁定机制

• 登录失败次数过多会触发锁定

• 锁定时间可累加，导致长期无法登录

通过 关闭锁定 / SSH 密钥登录 / IP 限制 均可有效解决。