华为USG防火墙运维命令大全

华为USG防火墙运维命令大全1查会话使用场合针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。命令介绍（命令类）displayfirewallsessiontable[verbose]{source{insideX.X.X.X|globalX.X.X.X}|destination{insideX.X.X.X|globalX.X.X.X}}[source-vpn-instance{STRING1-19|public}|dest-vpn-instance{STRING1-19|public}][application{gtp|ftp|h323|http|hwcc|ras|mgcp|dns|pptp|qq|rtsp|ils|smtp|sip|nbt|stun|rpc|sqlnet|mms}][nat][destination-portINTEGER1-65535][long-link]使用方法（工具类）首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echorequest和echoreply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。Global：表示在做NAT时转换后的IP。Inside：表示在做NAT时转换前的IP。使用示例USG5360displayfirewallsessiontableverbosesourceinside10.160.30.214:29:512010/07/01Currenttotalsessions:1icmpVPN:public-publicZone:trust-localTTL:00:00:20Left:00:00:20Interface:I0Nexthop:127.0.0.1MAC:00-00-00-00-00-00--packets:4462bytes:374808--packets:4461bytes:37472410.160.30.17:43986--10.160.30.2:43986这里显示源地址为10.160.30.2的报文的会话。这条会话为icmp会话。以下是关键信息的解释：Zone:trust-local首包会话方向源域为trust，目地域为local（源域-目的域）TTL:00:00:20Left:00:00:20ttl表示会话表老化时间，left表示会话表剩余多少时间老化Interface:I0Nexthop:127.0.0.1MAC:00-00-00-00-00-00会话首包方向出接口、下一跳IP地址和MAC地址--packets:4462bytes:374808--packets:4461bytes:374724--代表会话inbound方向的字节数和报文数，--代表会话outbound方向/同域的字节数和报文数10.160.30.17:43986--10.160.30.2:43986--表示会话首包是inbound，--表示会话首包是outbound或者同域使用限制对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP无法使用该方法排查。2检查接口状态使用场合在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。命令介绍displayipinterfacebrief使用方法查看接口物理层和协议层状态，正常情况下三层接口物理层（Physical）和协议层（Protocol）都是up，如果有down现象，检查网线连接和网线(光纤，光模块)本身是否有问题，更换网线(光纤，光模块)尝试。使用示例[USG5360]displayipinterfacebrief*down:administrativelydown(l):loopback(s):spoofingInterfaceIPAddressPhysicalProtocolDescriptionGigabitEthernet0/0/0192.168.1.124upupHuawei,USG5000GigabitEthernet0/0/110.160.30.17upupHuawei,USG5000GigabitEthernet0/0/22.1.1.2upupHuawei,USG5000GigabitEthernet0/0/33.1.1.2downdownHuawei,USG5000GigabitEthernet1/0/0unassigneddowndownHuawei,USG5000GigabitEthernet1/0/1unassignedupdownHuawei,USG5000如上显示，GigabitEthernet0/0/3和GigabitEthernet1/0/0的物理层是down，其中GigabitEthernet0/0/3已经配置了IP地址，而GigabitEthernet1/0/0未配置，物理层down可能是因为网线被拔出或网线出问题，或者是与其对接的接口down，需要检查线路。GigabitEthernet1/0/1的协议层down是因为没有配置ip地址。3检查接口统计信息使用场合在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计信息，确认接口是否有丢包。命令介绍displayinterface[interface-type[interface-number]]使用方法查看接口下是否有error，确认CRC/collisions有无增长，如果有增长确认接口双工模式和速率是否与对端设备一致。AlignErrors：对齐错误，即传送的包中存在不完整的字节，包括前导码和帧间隙。CollisionErrors：碰撞错误。runts：超短包，长度小于64字节但CRC值正确的数据包。giants：超长包，长度大于1618(如果带vlan是1622)字节的CRC值正确的数据包。CRC（Input）：长度为64至1618字节之间但CRC值不正确的数据包。（路由器中长度为64至1618字节之间的Alignment、Dribble错包也在此类中统计）。Error（Input）：PHY层发现的错包。Overrun（Input）：接收队列满失败包。LateCollision（Output）：发送64字节后发生碰撞的错误包。查看出入接口统计是否计数正在增加，如果有增加则说明该接口链路正常，如果只有一条流则可以确定报文是否进入防火墙。查看接口协商的情况，包括协商速率，全双工/半双工等。关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。使用示例GigabitEthernet1/0/0currentstate:UPLineprotocolcurrentstate:UPGigabitEthernet1/0/0currentfirewallzone:trustDescription:Huawei,USG5000Series,GigabitEthernet1/0/0InterfaceTheMaximumTransmitUnitis1500bytes,Holdtimeris10(sec)InternetAddressis11.110.30.17/24IPSendingFrames'FormatisPKTFMT_ETHNT_2,Hardwareaddressis0018-82fd-9d3bMediatypeistwistedpair,loopbacknotset,promiscuousmodenotset1000Mb/s-speedmode,Full-duplexmode,linktypeisautonegotiationflowcontrolisdisableOutputqueue:(Urgentqueue:Size/Length/Discards)0/50/0Outputqueue:(Protocolqueue:Size/Length/Discards)0/1000/0Outputqueue:(FIFOqueuing:Size/Length/Discards)0/75/0Last5minutesinputrate1083bytes/sec,11packets/secLast5minutesoutputrate1019bytes/sec,10packets/secInput:15901905packets,3060644220bytes180broadcasts,19745multicasts5920errors,0runts,0giants,0throttles,0CRC,0frames,5920overruns,0alignerrorsOutput:10641815packets,1764395150bytes200broadcasts,0multicasts0errors,0underruns,0collisions,0latecollisions,0deferred,0lostcarrier,0nocarrier如上显示，Input方向出现了5920个overruns，很有可能之前出现了瞬间很大的流量，导致overruns丢包。4查看防火墙系统统计使用场合通过查看防火墙系统统计，可以得到各种报文的统计值，以及各种丢包情况等信息。命令介绍displayfirewallstatisticsystem使用方法查看当前系统总会话数，TcpSession、UDPSession、ICMPsession这三项统计值的和查看TCP半连接数，CurHalfCon统计值就是半连接数，通过该值可以确认半连接数是否过多，是否受到syn-flood攻击查看防火墙转发TCP业务是否丢包，使用RcvTCPpkts、RcvTCPbytes、PassTCPpkts、PassTCPOcts统计值，正常情况下Pass和Rcv不会相差很多会话创建是否失败根据发送报文的类别查看是否存在丢包，从这个统计可以查看出是否存在因攻击防范，包过滤等引起的丢包，以及根据收到ICMP/UDP/TCP报文个数和转发的个数计算被防火墙丢弃的个数。5查看设备的运行状况使用场合在发现设备的告警灯亮时或者其他如接口无法UP等异常情况时，可以查看设备的运行状况，看主控板、接口卡等是否运行正常。如果有器件显示故障，需尽快分析。命令介绍displaydevice使用方法直接执行displaydevice。使用示例EudemondisplaydeviceSecowayUSG5360'sDevicestatus:Slot#TypeOnlineStatus--------------------------------------0RPUPresentNormal22GEPresentNormal3PWR(AC)PresentAbnormal4PWR(AC)PresentNormal5FANPresentNormal收藏分享顶踩点评回复报告电梯直达小小李L3发表于2015-3-2713:57:30只看该作者沙发6查看告警信息使用场合在发现设备的告警灯亮时或者在日志中发现如风扇灯硬件相关信息时，可以查看告警信息来确定问题，具体告警的信息参见《USG5300和E200告警.xls》。命令介绍displayalarmurgent使用方法直接执行displaydiagnostic-information。使用示例EudemondisplayalarmurgentAlarmIDSlotDateTimePara1Para24310/7/711:28:412554310/7/710:19:812557查看内存使用率使用场合当防火墙自身某些业务