华为USG防火墙运维命令大全Word文档下载推荐.docx

1、Global：表示在做NAT时转换后的IP。Inside：表示在做NAT时转换前的IP。使用示例display firewall session table verbose source inside 10.160.30.214:29:51 2010/07/01 Current total sessions : 1 icmp VPN: public -public Zone: trust - local TTL: 00:00:20 Left: Interface: I0 Nexthop: 127.0.0.1 MAC: 00-00-00-00-00-00 packets:4461 bytes:3

2、74724 10.160.30.17:43986 目的域）TTL:20ttl表示会话表老化时间，left表示会话表剩余多少时间老化Interface: 00-00-00-00-00-00会话首包方向出接口、下一跳IP地址和MAC地址374724-代表会话inbound方向的字节数和报文数，-代表会话outbound方向/同域的字节数和报文数10.160.30.17:43986-表示会话首包是inbound，- 表示会话首包是outbound或者同域使用限制对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP无法使用该方法排查。2检查接口状

3、态在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。命令介绍display ip interface brief使用方法查看接口物理层和协议层状态，正常情况下三层接口物理层（Physical）和协议层（Protocol）都是up，如果有down现象，检查网线连接和网线（光纤，光模块）本身是否有问题，更换网线（光纤，光模块）尝试。USG5360display ip interface brief*down: administratively down（l）: loopback（s）: spoofingInterface IP Address Physical Proto

4、col DescriptionGigabitEthernet0/0/0 192.168.1.124 up Huawei, USG5000GigabitEthernet0/0/1 10.160.30.17 up upGigabitEthernet0/0/2 2.1.1.2GigabitEthernet0/0/3 3.1.1.2down downGigabitEthernet1/0/0 unassignedGigabitEthernet1/0/1如上显示，GigabitEthernet0/0/3和GigabitEthernet1/0/0的物理层是down，其中GigabitEthernet0/0/

5、3已经配置了IP地址，而GigabitEthernet1/0/0未配置，物理层down可能是因为网线被拔出或网线出问题，或者是与其对接的接口down，需要检查线路。GigabitEthernet1/0/1的协议层down是因为没有配置ip地址。3检查接口统计信息在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计信息，确认接口是否有丢包。display interface interface-type interface-number 查看接口下是否有error，确认CRC/ collisions有无增长，如果有增长确认接口双工模式和速率是否与对端设备一致。AlignErrors：对

6、齐错误，即传送的包中存在不完整的字节，包括前导码和帧间隙。Collision Errors：碰撞错误。runts：超短包，长度小于64字节但CRC值正确的数据包。giants：超长包，长度大于1618（如果带vlan是1622）字节的CRC值正确的数据包。CRC（Input）：长度为64至1618字节之间但CRC值不正确的数据包。（路由器中长度为64至1618字节之间的Alignment、Dribble错包也在此类中统计）。Error（Input）：PHY层发现的错包。Overrun（Input）：接收队列满失败包。Late Collision（Output）：发送64字节后发生碰撞的错误包。

7、查看出入接口统计是否计数正在增加，如果有增加则说明该接口链路正常，如果只有一条流则可以确定报文是否进入防火墙。查看接口协商的情况，包括协商速率，全双工/半双工等。关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。GigabitEthernet1/0/0 current state : UPLine protocol current state :GigabitEthernet1/0/0 current firewall zone : trustDescription : Huawei, USG5000 Series, GigabitEthernet1/0/0 InterfaceThe Maximum Transmit Unit is 1500 bytes, Hold timer is 10（sec）Internet Address is 11.110.30.17/24IP Sending Frames Format is PKTFMT_ETHNT_2, Hardware address is 0018-82fd-9d3b