华为USG防火墙运维命令大全.docx
《华为USG防火墙运维命令大全.docx》由会员分享，可在线阅读，更多相关《华为USG防火墙运维命令大全.docx（23页珍藏版）》请在冰豆网上搜索。
华为USG防火墙运维命令大全
ThismodelpaperwasrevisedbyLINDAonDecember15,2012.
华为USG防火墙运维命令大全
华为USG防火墙运维命令大全
1查会话
使用场合
针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。
命令介绍（命令类）
displayfirewallsessiontable[verbose]{source{inside|global}|destination{inside|global}}[source-vpn-instance{STRING<1-19>|public}|dest-vpn-instance{STRING<1-19>|public}][application{gtp|ftp|h323|http|hwcc|ras|mgcp|dns|pptp|qq|rtsp|ils|smtp|sip|nbt|stun|rpc|sqlnet|mms}][nat][destination-portINTEGER<1-65535>][long-link]
使用方法（工具类）
首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echorequest和echoreply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。
如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。
如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。
Global：
表示在做NAT时转换后的IP。
Inside：
表示在做NAT时转换前的IP。
使用示例
displayfirewallsessiontableverbosesourceinside
14:
29:
512010/07/01
Currenttotalsessions:
1?
icmpVPN:
public->public
Zone:
trust->localTTL:
00:
00:
20Left:
00:
00:
20
Interface:
I0Nexthop:
MAC:
00-00-00-00-00-00
<--packets:
4462bytes:
374808-->packets:
4461bytes:
374724?
:
43986<--:
43986
这里显示源地址为的报文的会话。
这条会话为icmp会话。
以下是关键信息的解释：
Zone:
trust->local
首包会话方向源域为trust，目地域为local（源域->目的域）
TTL:
00:
00:
20
Left:
00:
00:
20
ttl表示会话表老化时间，left表示会话表剩余多少时间老化
Interface:
I0Nexthop:
MAC:
00-00-00-00-00-00
会话首包方向出接口、下一跳IP地址和MAC地址
<--packets:
4462bytes:
374808-->packets:
4461bytes:
374724
<--代表会话inbound方向的字节数和报文数，-->代表会话outbound方向/同域的字节数和报文数
:
43986<--:
43986
<--表示会话首包是inbound，-->表示会话首包是outbound或者同域
使用限制
对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP无法使用该方法排查。
2检查接口状态
使用场合
在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。
命令介绍
displayipinterfacebrief
使用方法
查看接口物理层和协议层状态，正常情况下三层接口物理层（Physical）和协议层（Protocol）都是up，如果有down现象，检查网线连接和网线（光纤，光模块）本身是否有问题，更换网线（光纤，光模块）尝试。
使用示例
[USG5360]displayipinterfacebrief
*down:
administrativelydown
（l）:
loopback
（s）:
spoofing
InterfaceIPAddressPhysicalProtocolDescription
GigabitEthernet0/0/0
upupHuawei,USG5000
GigabitEthernet0/0/1
upupHuawei,USG5000
GigabitEthernet0/0/2
upupHuawei,USG5000
GigabitEthernet0/0/3
downdownHuawei,USG5000
GigabitEthernet1/0/0unassigneddowndownHuawei,USG5000
GigabitEthernet1/0/1unassignedupdownHuawei,USG5000
如上显示，GigabitEthernet0/0/3和GigabitEthernet1/0/0的物理层是down，其中GigabitEthernet0/0/3已经配置了IP地址，而GigabitEthernet1/0/0未配置，物理层down可能是因为网线被拔出或网线出问题，或者是与其对接的接口down，需要检查线路。
GigabitEthernet1/0/1的协议层down是因为没有配置ip地址。
3检查接口统计信息
使用场合
在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计信息，确认接口是否有丢包。
命令介绍
displayinterface[interface-type[interface-number]]
使用方法
查看接口下是否有error，确认CRC/collisions有无增长，如果有增长确认接口双工模式和速率是否与对端设备一致。
Align?
Errors：
对齐错误，即传送的包中存在不完整的字节，包括前导码和帧间隙。
CollisionErrors：
碰撞错误。
runts：
超短包，长度小于64字节但CRC值正确的数据包。
giants：
超长包，长度大于1618（如果带vlan是1622）字节的CRC值正确的数据包。
CRC（Input）：
长度为64至1618字节之间但CRC值不正确的数据包。
（路由器中长度为64至1618字节之间的Alignment、Dribble错包也在此类中统计）。
Error（Input）：
PHY层发现的错包。
Overrun（Input）：
接收队列满失败包。
LateCollision?
（Output）：
发送64字节后发生碰撞的错误包。
查看出入接口统计是否计数正在增加，如果有增加则说明该接口链路正常，如果只有一条流则可以确定报文是否进入防火墙。
查看接口协商的情况，包括协商速率，全双工/半双工等。
关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。
使用示例
GigabitEthernet1/0/0currentstate:
UP
Lineprotocolcurrentstate:
UP?
GigabitEthernet1/0/0currentfirewallzone:
trust
Description:
Huawei,USG5000Series,GigabitEthernet1/0/0Interface?
TheMaximumTransmitUnitis1500bytes,Holdtimeris10（sec）
InternetAddressis/24?
IPSendingFrames'FormatisPKTFMT_ETHNT_2,Hardwareaddressis0018-82fd-9d3b?
Mediatypeistwistedpair,loopbacknotset,promiscuousmodenotset?
1000Mb/s-speedmode,Full-duplexmode,linktypeisautonegotiation?
flowcontrolisdisable?
Outputqueue:
（Urgentqueue:
Size/Length/Discards）0/50/0
Outputqueue:
（Protocolqueue:
Size/Length/Discards）0/1000/0?
Outputqueue:
（FIFOqueuing:
Size/Length/Discards）0/75/0
Last5minutesinputrate1083bytes/sec,11packets/sec
Last5minutesoutputrate1019bytes/sec,10packets/sec
Input:
packets,20bytes
180broadcasts,19745multicasts
5920errors,0runts,0giants,0throttles,
0CRC,0frames,5920overruns,0alignerrors?
Output:
packets,
50bytes
200broadcasts,0multicasts
0errors,0underruns,0collisions,0latecollisions,
0deferred,0lostcarrier,0nocarrier
如上显示，Input方向出现了5920个overruns，很有可能之前出现了瞬间很大的流量，导致overruns丢包。
4查看防火墙系统统计
使用场合
通过查看防火墙系统统计，可以得到各种报文的统计值，以及各种丢包情况等信息。
命令介绍
displayfirewallstatisticsystem
使用方法
查看当前系统总会话数，TcpSession、UDPSession、ICMPsession这三项统计值的和
查看TCP半连接数，CurHalfCon统计值就是半连接数，通过该值可以确认半连接数是否过多，是否受到syn-flood攻击
查看防火墙转发TCP业务是否丢包，使用RcvTCPpkts、RcvTCPbytes、PassTCPpkts、PassTCPOcts统计值，正常情况下Pass和Rcv不会相差很多
会话创建是否失败
根据发送报文的类别查看是否存在丢包，从这个统计可以查看出是否存在因攻击防范，包过滤等引起的丢包，以及根据收到ICMP/UDP/TCP报文个数和转发的个数计算被防火墙丢弃的个数。
5查看设备的运行状况
使用场合
在发现设备的告警灯亮时或者其他如接口无法UP等异常情况时，可以查看设备的运行状况，看主控板、接口卡等是否运行正常。
如果有器件显示故障，需尽快分析。
命令介绍
displaydevice
使用方法
直接执行displaydevice。
使用示例
displaydevice?
SecowayUSG5360'sDevicestatus:
Slot#TypeOnlineStatus
--------------------------------------
0RPUPresentNormal
22GEPresentNormal
3PWR（AC）PresentAbnormal
4PWR（AC）PresentNormal
5FANPresentNormal
收藏
分享
顶
踩
点评回复
报告
电梯直达
小小李L3
发表于2015-3-2713:
57:
30
只看该作者
6?
查看告警信息
使用场合
在发现设备的告警灯亮时或者在日志中发现如风扇灯硬件相关信息时，可以查看告警信息来确定问题，具体告警的信息参见《USG5300和E200告警.xls》。
命令介绍
displayalarmurgent
使用方法
直接执行displaydiagnostic-information。
使用示例
displayalarmurgent
AlarmIDSlotDateTimePara1Para2
4310/7/711:
28:
41255
4310/7/710:
19:
81255
7?
查看内存使用率
使用场合
当防火墙自身某些业务运行不稳定时，可以查看一下内存使用率，看是否是内存消耗过多导致。
内存占有率不应过高。
超过80％时需要分析当时的路由表容量和其他防火墙自身相关业务。
命令介绍
displaymemory-usage
使用方法
在系统视图下执行displaymemory-usage。
使用示例
[Eudemon]displaymemory-usage
Memoryutilizationstatisticsat2010-07-0719:
27:
3850ms
SystemTotalMemoryIs:
48bytes
TotalMemoryUsedIs:
96bytes?
MemoryUsingPercentageIs:
47%
8?
查看CPU使用率
使用场合
CPU占有率应正常，与当前开展的业务类型和转发流量相符。
超过60％应分析当时的业务流量。
USG5300是由转发平面转发的，通常CPU使用率与流量关系不大，只与业务类型有关，一般的来说，软件IPSEC/L2TP/ASPF/NATALG对CPU资源消耗较大。
命令介绍
displaycpu-usage-for-user
使用方法
直接执行displaycpu-usage-for-user。
使用示例
displaycpu-usage-for-user?
=====CurrentCPUusageinfo=====?
CPUAverageUsage（5seconds）:
6%
CPUAverageUsage（30seconds）:
6%
CPUAverageUsage（5minutes）:
6%
9?
检查各器件温度信息和电压信息
使用场合
在发生硬件故障时，可以查看各器件温度信息和电压信息等，判断是否是温度或电压的异常引起的问题。
命令介绍
displayenvironment
使用方法
直接执行displayenvironment。
使用示例
displayenvironment
Environmentinformation:
Temperatureinformation:
localCurrentTemperatureLowLimitHighLimitStatus
（Celsius）（Celsius）（Celsius）（OK/FAIL）
CPU44085OK
VENT29065OK
Voltageinformation:
------------------------------------------------------------------
CheckPointReferenceVolRangeCurrentVolStatus
DDR1710~1890mV1790mVOK
IO-12362~2613mV
2494mVOK
IO-23126~3455mV
3299mVOK
IO-31710~1890mV
1820mVOK
CPU950~1050mV
1000mVOK
FAN8520~9420mV8940mVOK
USB4732~5226mV5044mVOK
------------------------------------------------------------------
10查看日志
使用场合
在发生故障以后，可以查看日志，查找之前发生过的和当前故障相关的信息，从而定位故障原因。
从日志中能看到，接口UP/DOWN、主备切换、攻击事件、命令行执行记录等信息。
命令介绍
displaylogbuffer
使用方法
直接执行displaylogbuffer。
使用示例
displaylogbuffer
Loggingbufferconfigurationandcontents:
enabled?
Allowedmaxbuffersize:
1024?
Actualbuffersize:
512?
Channelnumber:
4,Channelname:
logbuffer?
Droppedmessages:
0?
Overwrittenmessages:
0
Currentmessages:
58?
2010-07-1910:
31:
58USG5360%%01SHELL/5/CMD（l）:
task:
co0ip:
**user:
**vrf:
publiccommand:
displaylogbuffer
2010-07-1910:
30:
48USG5360%%01SHELL/5/LOGIN（l）:
vrf:
publicuser:
Consoleloginfromcon0
2010-07-1910:
28:
24USG5360%%01PHY/2/PHY（l）:
GigabitEthernet0/0/2:
changestatustoup?
2010-07-1910:
28:
19USG5360%%01PHY/2/PHY（l）:
GigabitEthernet0/0/2:
changestatustodown
2010-07-1910:
27:
22USG5360%%01PHY/2/PHY（l）:
GigabitEthernet0/0/2:
changestatustoup?
2010-07-1910:
25:
42USG5360%%01SHELL/5/CMD（l）:
task:
co0ip:
**user:
**vrf:
publiccommand:
undodebuggingall?
2010-07-1910:
25:
42USG5360%%01SHELL/5/LOGOUT（l）:
vrf:
publicuser:
Consolelogoutfromcon0
2010-07-1910:
25:
41USG5360%%01HWCM/5/EXIT（l）:
exitfromconfiguremode
点评回复支持（）反对（）
报告
小小李L3
发表于2015-3-2713:
58:
01
只看该作者
回复2楼
11查看丢包统计，确定是否丢包
使用场合
在无法确认报文是否经过防火墙，防火墙是否丢包时，可以查看丢包统计，并对每种丢包统计查询丢包手册，得到发生问题的可能性。
命令介绍
display?
dataplanediscard
[undo]firewalldebug_statisticacl<3000-3999>enable
displayfirewalldebug_statistic
使用方法
报文进入防火墙创建会话之前大部分丢包位置都进行了记录，可以通过下面方式查看。
进入隐藏模式，按照下面的顺序查看：
1）[Eudemon_VC-A-hidecmd]resetdataplanediscard
USG5000]firewallpacket-capturestartupdifficult300USG5000]firewallpacket-capturesendqueue0ip
target_eth_addr:
0000-0000-0000,target_ip_addr:
USG5360%%01ARP/7/arp_send（d）:
SendanARPPacket,operation:
2,sender_eth_addr:
0022-a100-18ea,sender_ip_addr:
target_eth_addr:
00e0-fc00-000c,target_ip_addr:
使用限制
displayarp只对三层口有意义。
14检查路由
使用场合
在设备接口UP时，但如果ping远端设备或PC不通，可以检查一下路由表项是否正常。
命令介绍
displayfib
displayiprouting-table
使用方法
使用命令displayfib或displayiprouting-table查看防火墙fib表是否有相应的路由，并检查是否正确。
针对动态路由请使用displayospfpeer、displayospfbrief等ospf命令检查ospf是否正常；针对静态路由，使用displaycurrent-configuration|includeiproute-static命令检查是否添加相应的静态路由。
使用示例
displayfib
14:
20:
572010/07/02
Destination/MaskNexthopFlagTimeStampInterface
/0GSUt[0]GigabitEthernet0/0/1
/0GSUt[0]GigabitEthernet0/0/0
/0
GSUt[0]GigabitEthernet0/0/3
/32GHUt[0]InLoopBack0
/24Ut[0]GigabitEthernet0/0/3
/8GSUt[0]GigabitEthernet0/0/1
/24Ut[0]GigabitEthernet0/0/1
/24Ut[0]GigabitEthernet0/0/0
/32GHUt[0]InLoopBack0
/32GHUt[0]InLoopBack0
/32GHUt[0]InLoopBack0
/32GHUt[0]InLoopBack0
/24Ut[0]LoopBack0
/8U
升级会员 