华为USG防火墙运维命令大全word精品.docx
- 文档编号:1418735
- 上传时间:2023-04-30
- 格式:DOCX
- 页数:35
- 大小:120.36KB
华为USG防火墙运维命令大全word精品.docx
《华为USG防火墙运维命令大全word精品.docx》由会员分享,可在线阅读,更多相关《华为USG防火墙运维命令大全word精品.docx(35页珍藏版)》请在冰点文库上搜索。
华为USG防火墙运维命令大全word精品
华为USG防火墙运维命令大全
i查会话
使用场合
针对可以建会话的报文,可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。
命令介绍(命令类)
displayfirewallsessiontable[verbose]{source{insideX.X.X.X|globalX.X.X.X}|destination{insideX.X.X.X
|globalX.X.X.X}}[source-vpn-instanee{STRING<1-19>|public}|dest-vpn-instanee{STRING<1-19>|public}]
[application{gtp|ftp|h323|http|hwcc|ras|mgcp|dns|pptp|qq|rtsp|ils|smtp|sip|nbt|stun
|rpc|sqlnet|mms}][nat][destination-portINTEGER<1-65535>][Iong-link]
使用方法(工具类)
首先确定该五元组是否建会话,对于TCP/UDP/ICMRICMP只有echorequest和echoreply建会话)/GRE/ESP/AH的报文防火墙会建会话,其它比如SCTP/OSPF/VRF等报文防火墙不建会话。
如果会话已经建立,并且一直有后续报文命中刷新,基本可以排除防火墙的问题,除非碰到来回路径不一致情况,需要关闭状态检测。
如果没有对应的五元组会话或者对于不建会话的报文,继续后续排查方法。
Global:
表示在做NAT时转换后的IP。
Inside:
表示在做NAT时转换前的IP。
使用示例
10.160.30.2
14:
29:
512010/07/01
Currenttotalsessions:
1
icmpVPN:
public->public
Zone:
trust->localTTL:
00:
00:
20Left:
00:
00:
20
Interface:
I0Nexthop:
127.0.0.1MAC:
00-00-00-00-00-00
<--packets:
4462bytes:
374808-->packets:
4461
bytes:
374724
10.160.30.17:
43986<--10.160.30.2:
43986
这里显示源地址为10.160.30.2的报文的会话。
这条会话为icmp会话。
以下是关键信息的解释:
Interface:
10Nexthop:
127.0.0.1MAC:
00-00-00-00-00-00
会话首包方向出接口、下一跳IP地址和MAO址
<--packets:
4462bytes:
374808-->packets:
4461bytes:
374724
<--代表会话inbound方向的字节数和报文数,-->代表会话outbound方向/同域的字节数和报文数
10.160.30.17:
43986<--10.160.30.2:
43986
<--表示会话首包是inbound,-->表示会话首包是outbound或者同域
使用限制
对于TCP/UDP/ICMP/GRE/ESP/A的报文防火墙会建会话,其它比如SCTP/OSPF/VRF无法使用该方法排查。
2检查接口状态
使用场合在报文不通时,可以先检查接口状态,排除由于接口down而导致报文不通的情况。
命令介绍
displayipinterfacebrief
使用方法
查看接口物理层和协议层状态,正常情况下三层接口物理层(Physical)和协议层(Protocol)都是up,如果有down现象,检
查网线连接和网线(光纤,光模块)本身是否有问题,更换网线(光纤,光模块)尝试。
使用示例
3检查接口统计信息
使用场合在发现报文传输有性能下降或者ping有丢包时,可以检查接口统计信息,确认接口是否有丢包。
命令介绍
displayinterface[interface-type[interface-number]]
使用方法
查看接口下是否有error,确认CRC/collisions有无增长,如果有增长确认接口双工模式和速率是否与对端设备一致。
AlignErrors:
对齐错误,即传送的包中存在不完整的字节,包括前导码和帧间隙。
CollisionErrors:
碰撞错误。
runts:
超短包,长度小于64字节但CRCfi正确的数据包。
giants:
超长包,长度大于1618(如果带vlan是1622)字节的CRC值正确的数据包。
CRC(Input):
长度为64至1618字节之间但CRCfi不正确的数据包。
(路由器中长度为64至1618字节之间的Alignment、Dr类中统计)。
Error(Input):
PHY层发现的错包。
Overrun(Input):
接收队列满失败包。
LateCollision(Output):
发送64字节后发生碰撞的错误包。
查看出入接口统计是否计数正在增加,如果有增加则说明该接口链路正常,如果只有一条流则可以确定报文是否进入防火墙查看接口协商的情况,包括协商速率,全双工/半双工等。
关注接口五分钟流量统计与正常时的差别,关注业务经过设备的两个方向出入接口流量是否差不多。
使用示例
GigabitEthernet1/0/0currentstate:
UP
Lineprotocolcurrentstate:
UP
GigabitEthernet1/0/0currentfirewallzone:
trust
Description:
Huawei,USG5000Series,GigabitEthernet1/0/0
Interface
TheMaximumTransmitUnitis1500bytes,Holdtimeris
10(sec)
InternetAddressis
11.110.30.17/24
IPSendingFrames'FormatisPKTFMT_ETHNT_2,Hardwareaddressis
0018-82fd-9d3b
Mediatypeistwistedpair,loopbacknotset,promiscuousmodenot
set1000Mb/s-speedmode,Full-duplexmode,linktypeisautonegotiation
flowcontrolis
disable
Outputqueue:
(Urgentqueue:
Size/Length/Discards)0/50/0
Outputqueue:
(Protocolqueue:
Size/Length/Discards)0/1000/0
Outputqueue:
(FIFOqueuing:
Size/Length/Discards)0/75/0
Last5minutesinputrate1083bytes/sec,
11packets/sec
Last5minutesoutputrate1019bytes/sec,
10packets/sec
Input:
15901905packets,3060644220
bytes
180broadcasts,19745
multicasts
5920errors,0runts,0giants,0throttles,
0CRC,0frames,5920overruns,0align
errors
Output:
10641815packets,1764395150
bytes
200broadcasts,0
multicasts
0errors,0underruns,0collisions,0late
collisions,
0deferred,0lostcarrier,0nocarrier
丢包。
如上显示,Input方向出现了5920个overruns,很有可能之前出现了瞬间很大的流量,导致overruns4查看防火墙系统统计
使用场合
通过查看防火墙系统统计,可以得到各种报文的统计值,以及各种丢包情况等信息命令介绍
displayfirewallstatisticsystem使用方法
查看当前系统总会话数,TcpSession、UDPSession、ICMPsession这三项统计值的和
查看TCP半连接数,CurHalfCon统计值就是半连接数,通过该值可以确认半连接数是否过多,是否受到syn-flood攻击
查看防火墙转发TCP业务是否丢包,使用RcvTCPpktsRcvTCPbytes、PassTCPpkts、PassTCPOcts统计值,正常情况下Pass和Rev不会相差很多
会话创建是否失败根据发送报文的类别查看是否存在丢包,从这个统计可以查看出是否存在因攻击防范,包过滤等引起的丢包,以及根据收到
ICMP/UDP/TCP艮文个数和转发的个数计算被防火墙丢弃的个数。
5查看设备的运行状况
使用场合在发现设备的告警灯亮时或者其他如接口无法UP等异常情况时,可以查看设备的运行状况,看主控板、接口卡等是否运行正常
如果有器件显示故障,需尽快分析。
命令介绍
displaydevice
使用方法
直接执行displaydevice。
使用示例
device
SecowayUSG5360'sDevice
status:
Slot
#Type
OnlineStatus
RPU
2GE
PWR(AC)
PWR(AC)
FAN
Present
Present
Present
Present
Present
Normal
Normal
Abnormal
Normal
Normal
•收藏够分享鲁顶踩
点评回复报告
电梯直达.—y
只看该作者沙发
6查看告警信息
使用场合
在发现设备的告警灯亮时或者在日志中发现如风扇灯硬件相关信息时,可以查看告警信息来确定问题,具体告警的信息参见《USG530和E200告警.xls》。
命令介绍
displayalarmurgent
使用方法
直接执行displaydiagnostic-information。
使用示例
vEudemon>displayalarm
urgent
Alarm
ID
Slot
Date
Time
Para1
Para2
4
3
10/7
/7
11:
28:
4
1
255
4
3
10/7
/7
10:
19:
8
1
255
7查看内存使用率
80%
使用场合当防火墙自身某些业务运行不稳定时,可以查看一下内存使用率,看是否是内存消耗过多导致。
内存占有率不应过高。
超过时需要分析当时的路由表容量和其他防火墙自身相关业务。
命令介绍
displaymemory-usage
使用方法
在系统视图下执行displaymemory-usage。
使用示例
[Eudemon]display
memory-usage
Memoryutilizationstatisticsat2010-07-0719:
27:
3850ms
SystemTotalMemoryIs:
2147483648bytes
TotalMemoryUsedIs:
1013878696bytes
MemoryUsingPercentageIs:
47%
8查看CPU使用率使用场合
CPU占有率应正常,与当前开展的业务类型和转发流量相符。
超过60%应分析当时的业务流量。
USG530C是由转发平面转发的,
通常CPU使用率与流量关系不大,只与业务类型有关,一般的来说,软件IPSEC/L2TP/ASPF/NATALG寸CPU资源消耗较大。
命令介绍
displaycpu-usage-for-user
使用方法
直接执行displaycpu-usage-for-user。
使用示例
CurrentCPUusageinfo
CPUAverageUsage(5seconds)
CPUAverageUsage(30seconds)
CPUAverageUsage(5minutes)
:
6%
:
6%
:
6%
9检查各器件温度信息和电压信息
使用场合在发生硬件故障时,可以查看各器件温度信息和电压信息等,判断是否是温度或电压的异常引起的问题
命令介绍
displayenvironment
使用方法
直接执行displayenvironment。
使用示例
environment
Environmentinformation:
Temperatureinformation:
(OK/FAIL)
(Celsius)
(Celsius)(Celsius)
CPU
44
0
local
CurrentTemperatureLowLimitHighLimit
Status
29
VENT
Voltageinformation:
CheckpointReferenceVol
Range
65OK
Status
CurrentVol
DDR
1.8V
mV
1790mV
10-1
mV
2.5V
2494mV
I0-2mV
3.3V
3299mV
I0-3mV
1.8V
1820mV
CPUmV
1.0V
10OOmV
OK
OK
OK
OK
OK
1710-1890
2362-2613
3126-3455
1710-1890
950~1050
FAN
9.0V
8520~9420
USB5.0VmV5044mV
4732~5226
OK
10查看日志
使用场合
在发生故障以后,可以查看日志,查找之前发生过的和当前故障相关的信息,从而定位故障原因。
从日志中能看到,接口UP/DOW、N主备切换、攻击事件、命令行执行记录等信息。
命令介绍
displaylogbuffer
使用方法
直接执行displaylogbuffer。
使用示例
Loggingbufferconfigurationandcontents:
enabled
Allowedmaxbuffersize:
1024
Actualbuffersize:
512
Channelnumber:
4,Channelname:
logbuffer
Droppedmessages:
0
Overwritenmessages:
0
Currentmessages:
58
2010-07-1910:
31:
58USG5360%%01SHELL/5/CMD(l):
task:
coOip:
user:
**vrf:
public
GigabitEthernet0/0/2:
changestatusto
GigabitEthernet0/0/2:
changestatusto
GigabitEthernet0/0/2:
changestatusto
command:
displaylogbuffer
2010-07-1910:
30:
48USG5360%%01SHELL/5/LOGIN(l):
vrf:
publicuser:
ConsoleloginfromconO2010-07-1910:
28:
24USG5360%%01PHY/2/PHY(l):
up
2010-07-1910:
28:
19USG5360%%01PHY/2/PHY(l):
down
2010-07-1910:
27:
22USG5360%%01PHY/2/PHY(l):
up
2010-07-1910:
25:
42USG5360%%01SHELL/5/CMD(l):
task:
co0ip:
**user:
**vrf:
publiccommand:
undodebuggingall2010-07-1910:
25:
42USG5360%%01SHELL/5/LOGOUT(l):
vrf:
publicuser:
Consolelogoutfromcon02010-07-1910:
25:
41USG5360%%01HWCM/5/EXIT(l):
exitfromconfiguremode
点评回复支持()
反对()
报告
小小李
L3
发表于2015-3-2713:
58:
01
回复2楼
11查看丢包统计,确定是否丢包
使用场合
在无法确认报文是否经过防火墙,防火墙是否丢包时,可以查看丢包统计,并对每种丢包统计查询丢包手册,得到发生问题的可能性。
命令介绍
displaydataplanediscard
[undo]firewalldebug_statisticacl<3000-3999〉enable
displayfirewalldebug_statistic
使用方法一
报文进入防火墙创建会话之前大部分丢包位置都进行了记录,可以通过下面方式查看。
进入隐藏模式,按照下面的顺序查看:
1)[Eudemon_VC-A-hidecmd]resetdataplanediscard
//清除当前丢包统计
2)[Eudemon_VC-A-hidecmd]displaydataplanediscard
//显示丢包函数
DP_FW_Rcv
100
DP_FW_FirstRcv
0
DP_FW_DefaultRcv
0
DP_FW_FragRcv
0
3)[EudemonVC-A-hidecmd]displaydataplanediscard置。
-
DP_FW_Rcvverbose
//根据丢包函数具体查看丢包位
DP_FW_Rcv
0:
0
DP_FW_Rcv
1:
0
DP_FW_Rcv
2:
0
DP_FW_Rcv
3:
100
DP_FW_Rcv
4:
0
DP_FW_Rcv
5:
0
4)根据上面查看到的函数,在《
18:
00:
102009/06/10
:
exit
:
exit
:
exit
:
exit
:
exit
:
exit
USG530丢包原因查看手册》查询丢包原因。
如果丢包位置较多,无法确定具体丢包位置,则可以通过下面方法调试。
[USG5360]acl3333
[USG5360-acl-adv-3333]rulepermitipsource172.16.133.300
destination172.16.202.120//规则越精确越好,保证debug统计的数据流
尽量少,否则对设备性能影响比较大
[USG5360-hidecmd]firewalldebug_statisticacl3333enable//进入隐
藏模式
[USG5360-hidecmd]displayfirewalldebug_statistic//查看结果
[USG5360-hidecmd]undofirewalldebug_statisticacl3333
'enable//测试完成后,取消调试命令,否则对设备性能存在一定的消耗
根据具体的原因采取相应的措施,如果未查找到丢包,则就继续后面的检查。
使用限制
基于流的丢包统计建议在非业务高峰进行
12使用远程抓包抓取报文
使用场合在发生故障后,通过检查配置和统计信息无法定位时,可以通过远程抓包抓取指定流的报文进行分析。
命令介绍见使用方法使用方法
通过防火墙的远程抓包功能可以抓取经过防火墙和上送防火墙处理的报文,抓满后将其发送给pc,pc上面通过
Firewall_Packetyzer.exe工具接收,保存为cap格式,可以通过抓包工具打开分析报文的正确性。
[U[USG5000]acl3333
[USG5000-acl-adv-3333]rulepermitipsource172.16.133.300destination172.16.202.120//源和目的ip越精确越好,否则对设备性能影
响比较大
[U[USG5000]intefaceGigabitEthernet0/0/0//进入需要抓包的接口视图
[U[USG5000-GigabitEthernet0/0/0]firewallpacket-capture3333queue0//指定acl规则和队列
SG[USG5000-GigabitEthernet0/0/0]quit
2.[USG5000]firewallpacket-capturestartupdifficult300//开始抓包。
simple:
报文长度小于100byte,difficult:
不限制大小
3.[USG5000]firewallpacket-capturesendqueue0ip1.1.1.1//抓满后,
使用命令将报文发送给PCpc需要打开软件接收。
PC
//显示抓包情
//显示队列是情
//测试完成后,关闭
1.1.1.1指的是打开Firewall_Packetyzer.exe工具的[USG5000]displayfirewallpacket-capturestatistic
况和统计
[USG5000]displayfirewallpacket-capturequeue0况和统计
[USG5000]undofirewallpacket-capturestartup抓包功能,否则对设备性能存在一定的消耗
------>远程抓包客户端,在PC上面运行接收防火墙发送的抓包内容
使用
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 华为 USG 防火墙 命令 大全 word 精品