华为USG防火墙运维命令大全Word格式.docx
《华为USG防火墙运维命令大全Word格式.docx》由会员分享，可在线阅读，更多相关《华为USG防火墙运维命令大全Word格式.docx（32页珍藏版）》请在冰豆网上搜索。
29:
51
2010/07/01
Currenttotalsessions:
1
icmp
VPN:
public->
public
Zone:
trust->
local
TTL:
00:
00:
20
Left:
Interface:
I0
Nexthop:
127.0.0.1
MAC:
00-00-00-00-00-00
<
--packets:
4462bytes:
374808
-->
packets:
4461bytes:
374724
10.160.30.17:
43986<
--10.160.30.2:
43986
这里显示源地址为10.160.30.2的报文的会话。
这条会话为icmp会话。
以下是关键信息的解释：
Zone:
local
首包会话方向源域为trust，目地域为local（源域->
目的域）
TTL:
20
ttl表示会话表老化时间，left表示会话表剩余多少时间老化
Interface:
00-00-00-00-00-00
会话首包方向出接口、下一跳IP地址和MAC地址
374724
--代表会话inbound方向的字节数和报文数，-->
代表会话outbound方向/同域的字节数和报文数
10.160.30.17:
43986
--
表示会话首包是inbound，-->
表示会话首包是outbound或者同域
使用限制
对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP无法使用该方法排查。
2检查接口状态
在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。
命令介绍
displayipinterfacebrief
使用方法
查看接口物理层和协议层状态，正常情况下三层接口物理层（Physical）和协议层（Protocol）都是up，如果有down现象，检查网线连接和网线（光纤，光模块）本身是否有问题，更换网线（光纤，光模块）尝试。
[USG5360]displayipinterfacebrief
*down:
administrativelydown
（l）:
loopback
（s）:
spoofing
Interface
IPAddress
PhysicalProtocolDescription
GigabitEthernet0/0/0
192.168.1.124
up
Huawei,USG5000
GigabitEthernet0/0/1
10.160.30.17
up
up
GigabitEthernet0/0/2
2.1.1.2
GigabitEthernet0/0/3
3.1.1.2
down
down
GigabitEthernet1/0/0
unassigned
GigabitEthernet1/0/1
如上显示，GigabitEthernet0/0/3和GigabitEthernet1/0/0的物理层是down，其中GigabitEthernet0/0/3已经配置了IP地址，而GigabitEthernet1/0/0未配置，物理层down可能是因为网线被拔出或网线出问题，或者是与其对接的接口down，需要检查线路。
GigabitEthernet1/0/1的协议层down是因为没有配置ip地址。
3检查接口统计信息
在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计信息，确认接口是否有丢包。
displayinterface[interface-type[interface-number]]
查看接口下是否有error，确认CRC/collisions有无增长，如果有增长确认接口双工模式和速率是否与对端设备一致。
Align
Errors：
对齐错误，即传送的包中存在不完整的字节，包括前导码和帧间隙。
CollisionErrors：
碰撞错误。
runts：
超短包，长度小于64字节但CRC值正确的数据包。
giants：
超长包，长度大于1618（如果带vlan是1622）字节的CRC值正确的数据包。
CRC
（Input）：
长度为64至1618字节之间但CRC值不正确的数据包。
（路由器中长度为64至1618字节之间的Alignment、Dribble错包也在此类中统计）。
Error（Input）：
PHY层发现的错包。
Overrun（Input）：
接收队列满失败包。
LateCollision
（Output）：
发送64字节后发生碰撞的错误包。
查看出入接口统计是否计数正在增加，如果有增加则说明该接口链路正常，如果只有一条流则可以确定报文是否进入防火墙。
查看接口协商的情况，包括协商速率，全双工/半双工等。
关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。
GigabitEthernet1/0/0currentstate:
UP
Lineprotocolcurrentstate:
GigabitEthernet1/0/0currentfirewallzone:
trust
Description:
Huawei,USG5000Series,GigabitEthernet1/0/0Interface
TheMaximumTransmitUnitis1500bytes,Holdtimeris10（sec）
InternetAddressis11.110.30.17/24
IPSendingFrames'
FormatisPKTFMT_ETHNT_2,Hardwareaddressis0018-82fd-9d3b
Mediatypeistwistedpair,loopbacknotset,promiscuousmodenotset
1000Mb/s-speedmode,Full-duplexmode,linktypeisautonegotiation
flowcontrolisdisable
Outputqueue:
（Urgentqueue:
Size/Length/Discards）
0/50/0
（Protocolqueue:
Size/Length/Discards）0/1000/0
（FIFOqueuing:
0/75/0
Last5minutesinputrate1083
bytes/sec,11
packets/sec
Last5minutesoutputrate1019
bytes/sec,10
Input:
15901905packets,3060644220bytes
180broadcasts,19745multicasts
5920errors,0runts,0giants,0throttles,
0CRC,0frames,5920overruns,0alignerrors
Output:
10641815packets,
1764395150bytes
200broadcasts,0multicasts
0errors,0underruns,0collisions,0latecollisions,
0deferred,0lostcarrier,0nocarrier
如上显示，Input方向出现了5920个overruns，很有可能之前出现了瞬间很大的流量，导致overruns丢包。
4查看防火墙系统统计
通过查看防火墙系统统计，可以得到各种报文的统计值，以及各种丢包情况等信息。
displayfirewallstatisticsystem
查看当前系统总会话数，TcpSession、UDPSession、ICMPsession这三项统计值的和
查看TCP半连接数，CurHalfCon统计值就是半连接数，通过该值可以确认半连接数是否过多，是否受到syn-flood攻击
查看防火墙转发TCP业务是否丢包，使用RcvTCPpkts、RcvTCPbytes、PassTCPpkts、PassTCPOcts统计值，正常情况下Pass和Rcv不会相差很多
会话创建是否失败
根据发送报文的类别查看是否存在丢包，从这个统计可以查看出是否存在因攻击防范，包过滤等引起的丢包，以及根据收到ICMP/UDP/TCP报文个数和转发的个数计算被防火墙丢弃的个数。
5查看设备的运行状况
在发现设备的告警灯亮时或者其他如接口无法UP等异常情况时，可以查看设备的运行状况，看主控板、接口卡等是否运行正常。
如果有器件显示故障，需尽快分析。
displaydevice
直接执行displaydevice。
Eudemon>
displaydevice
SecowayUSG5360'
sDevicestatus:
Slot#
Type
Online
Status
--------------------------------------
0
RPU
Present
Normal
2
2GE
3
PWR（AC）
Abnormal
4
5
FAN
收藏
分享
顶
踩
点评
回复
报告
电梯直达
小小李
L3
发表于2015-3-2713:
57:
30
只看该作者
沙发
6
查看告警信息
在发现设备的告警灯亮时或者在日志中发现如风扇灯硬件相关信息时，可以查看告警信息来确定问题，具体告警的信息参见《USG5300和E200告警.xls》。
displayalarmurgent
直接执行displaydiagnostic-information。
displayalarmurgent
AlarmID
Slot
Date
Time
Para1
Para2
3
10/7/7
11:
28:
255
10:
19:
8
25
升级会员 