华为USG防火墙运维命令大全.docx
- 文档编号:3509119
- 上传时间:2023-05-06
- 格式:DOCX
- 页数:20
- 大小:221.29KB
华为USG防火墙运维命令大全.docx
《华为USG防火墙运维命令大全.docx》由会员分享,可在线阅读,更多相关《华为USG防火墙运维命令大全.docx(20页珍藏版)》请在冰点文库上搜索。
华为USG防火墙运维命令大全
华为USG防火墙运维命令大全
1查会话
使用场合
针对可以建会话的报文,可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。
命令介绍(命令类)
displayfirewallsessiontable[verbose]{source{inside|global}|destination{inside|global}}[source-vpn-instance{STRING<1-19>|public}|dest-vpn-instance{STRING<1-19>|public}][application{gtp|ftp|h323|http|hwcc|ras|mgcp|dns|pptp|qq|rtsp|ils|smtp|sip|nbt|stun|rpc|sqlnet|mms}][nat][destination-portINTEGER<1-65535>][long-link]
使用方法(工具类)
首先确定该五元组是否建会话,对于TCP/UDP/ICMP(ICMP只有echorequest和echoreply建会话)/GRE/ESP/AH的报文防火墙会建会话,其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。
如果会话已经建立,并且一直有后续报文命中刷新,基本可以排除防火墙的问题,除非碰到来回路径不一致情况,需要关闭状态检测。
如果没有对应的五元组会话或者对于不建会话的报文,继续后续排查方法。
Global:
表示在做NAT时转换后的IP。
Inside:
表示在做NAT时转换前的IP。
使用示例
14: 29: 512010/07/01 Currenttotalsessions: 1 icmpVPN: public->public Zone: trust->localTTL: 00: 00: 20Left: 00: 00: 20 Interface: I0Nexthop <--packets: 4462bytes: 374808-->packets: 4461bytes: 374724 这里显示源地址为的报文的会话。 这条会话为icmp会话。 以下是关键信息的解释: Zone: trust->local 首包会话方向源域为trust,目地域为local(源域->目的域) TTL: 00: 00: 20Left: 00: 00: 20 ttl表示会话表老化时间,left表示会话表剩余多少时间老化 Interface: I0Nexthop 会话首包方向出接口、下一跳IP地址和MAC地址 <--packets: 4462bytes: 374808-->packets: 4461bytes: 374724 <--代表会话inbound方向的字节数和报文数,-->代表会话outbound方向/同域的字节数和报文数 <--表示会话首包是inbound,-->表示会话首包是outbound或者同域 使用限制 对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话,其它比如SCTP/OSPF/VRRP无法使用该方法排查。 2检查接口状态 使用场合 在报文不通时,可以先检查接口状态,排除由于接口down而导致报文不通的情况。 命令介绍 displayipinterfacebrief 使用方法 查看接口物理层和协议层状态,正常情况下三层接口物理层(Physical)和协议层(Protocol)都是up,如果有down现象,检查网线连接和网线(光纤,光模块)本身是否有问题,更换网线(光纤,光模块)尝试。 使用示例 [USG5360]displayipinterfacebrief *down: administrativelydown (l): loopback (s): spoofing InterfaceIPAddressPhysicalProtocolDescription GigabitEthernet0USG5000 GigabitEthernet0USG5000 GigabitEthernet0USG5000 GigabitEthernet0USG5000 GigabitEthernet1/0/0unassigneddowndownHuawei,USG5000 GigabitEthernet1/0/1unassignedupdownHuawei,USG5000 如上显示,GigabitEthernet0/0/3和GigabitEthernet1/0/0的物理层是down,其中GigabitEthernet0/0/3已经配置了IP地址,而GigabitEthernet1/0/0未配置,物理层down可能是因为网线被拔出或网线出问题,或者是与其对接的接口down,需要检查线路。 GigabitEthernet1/0/1的协议层down是因为没有配置ip地址。 3检查接口统计信息 使用场合 在发现报文传输有性能下降或者ping有丢包时,可以检查接口统计信息,确认接口是否有丢包。 命令介绍 displayinterface[interface-type[interface-number]] 使用方法 查看接口下是否有error,确认CRC/collisions有无增长,如果有增长确认接口双工模式和速率是否与对端设备一致。 AlignErrors: 对齐错误,即传送的包中存在不完整的字节,包括前导码和帧间隙。 CollisionErrors: 碰撞错误。 runts: 超短包,长度小于64字节但CRC值正确的数据包。 giants: 超长包,长度大于1618(如果带vlan是1622)字节的CRC值正确的数据包。 CRC(Input): 长度为64至1618字节之间但CRC值不正确的数据包。 (路由器中长度为64至1618字节之间的Alignment、Dribble错包也在此类中统计)。 Error(Input): PHY层发现的错包。 Overrun(Input): 接收队列满失败包。 LateCollision(Output): 发送64字节后发生碰撞的错误包。 查看出入接口统计是否计数正在增加,如果有增加则说明该接口链路正常,如果只有一条流则可以确定报文是否进入防火墙。 查看接口协商的情况,包括协商速率,全双工/半双工等。 关注接口五分钟流量统计与正常时的差别,关注业务经过设备的两个方向出入接口流量是否差不多。 使用示例 GigabitEthernet1/0/0currentstate: UP Lineprotocolcurrentstate: UP GigabitEthernet1/0/0currentfirewallzone: trust Description: Huawei,USG5000Series,GigabitEthernet1/0/0Interface TheMaximumTransmitUnitis1500bytes,Holdtimeris10(sec) IPSendingFrames'FormatisPKTFMT_ETHNT_2,Hardwareaddressis0018-82fd-9d3b Mediatypeistwistedpair,loopbacknotset,promiscuousmodenotset 1000Mb/s-speedmode,Full-duplexmode,linktypeisautonegotiation flowcontrolisdisable Outputqueue: (Urgentqueue: Size/Length/Discards)0/50/0 Outputqueue: (Protocolqueue: Size/Length/Discards)0/1000/0 Outputqueue: (FIFOqueuing: Size/Length/Discards)0/75/0 Last5minutesinputrate1083bytes/sec,11packets/sec Last5minutesoutputrate1019bytes/sec,10packets/sec 180broadcasts,19745multicasts 5920errors,0runts,0giants,0throttles, 0CRC,0frames,5920overruns,0alignerrors 200broadcasts,0multicasts 0errors,0underruns,0collisions,0latecollisions, 0deferred,0lostcarrier,0nocarrier 如上显示,Input方向出现了5920个overruns,很有可能之前出现了瞬间很大的流量,导致overruns丢包。 4查看防火墙系统统计 使用场合 通过查看防火墙系统统计,可以得到各种报文的统计值,以及各种丢包情况等信息。 命令介绍 displayfirewallstatisticsystem 使用方法 查看当前系统总会话数,TcpSession、UDPSession、ICMPsession这三项统计值的和 查看TCP半连接数,CurHalfCon统计值就是半连接数,通过该值可以确认半连接数是否过多,是否受到syn-flood攻击 查看防火墙转发TCP业务是否丢包,使用RcvTCPpkts、RcvTCPbytes、PassTCPpkts、PassTCPOcts统计值,正常情况下Pass和Rcv不会相差很多 会话创建是否失败 根据发送报文的类别查看是否存在丢包,从这个统计可以查看出是否存在因攻击防范,包过滤等引起的丢包,以及根据收到ICMP/UDP/TCP报文个数和转发的个数计算被防火墙丢弃的个数。 5查看设备的运行状况 使用场合 在发现设备的告警灯亮时或者其他如接口无法UP等异常情况时,可以查看设备的运行状况,看主控板、接口卡等是否运行正常。 如果有器件显示故障,需尽快分析。 命令介绍 displaydevice 使用方法 直接执行displaydevice。 使用示例 SecowayUSG5360'sDevicestatus: Slot#TypeOnlineStatus -------------------------------------- 0RPUPresentNormal 22GEPresentNormal 3PWR(AC)PresentAbnormal 4PWR(AC)PresentNormal 5FANPresentNormal 电梯直达 L3 发表于2015-3-2713: 57: 30 6查看告警信息 使用场合 在发现设备的告警灯亮时或者在日志中发现如风扇灯硬件相关信息时,可以查看告警信息来确定问题,具体告警的信息参见《USG5300和E200告警.xls》。 命令介绍 displayalarmurgent 使用方法 直接执行displaydiagnostic-information。 使用示例 AlarmIDSlotDateTimePara1Para2 4310/7/711: 28: 41255 4310/7/710: 19: 81255 7查看内存使用率 使用场合 当防火墙自身某些业务运行不稳定时,可以查看一下内存使用率,看是否是内存消耗过多导致。 内存占有率不应过高。 超过80%时需要分析当时的路由表容量和其他防火墙自身相关业务。 命令介绍 displaymemory-usage 使用方法 在系统视图下执行displaymemory-usage。 使用示例 [Eudemon]displaymemory-usage Memoryutilizationstatisticsat2010-07-0719: 27: 3850ms MemoryUsingPercentageIs: 47% 8查看CPU使用率 使用场合 CPU占有率应正常,与当前开展的业务类型和转发流量相符。 超过60%应分析当时的业务流量。 USG5300是由转发平面转发的,通常CPU使用率与流量关系不大,只与业务类型有关,一般的来说,软件IPSEC/L2TP/ASPF/NATALG对CPU资源消耗较大。 命令介绍 displaycpu-usage-for-user 使用方法 直接执行displaycpu-usage-for-user。 使用示例 =====CurrentCPUusageinfo===== CPUAverageUsage(5seconds): 6% CPUAverageUsage(30seconds): 6% CPUAverageUsage(5minutes): 6% 9检查各器件温度信息和电压信息 使用场合 在发生硬件故障时,可以查看各器件温度信息和电压信息等,判断是否是温度或电压的异常引起的问题。 命令介绍 displayenvironment 使用方法 直接执行displayenvironment。 使用示例 Environmentinformation: Temperatureinformation: localCurrentTemperatureLowLimitHighLimitStatus (Celsius)(Celsius)(Celsius)(OK/FAIL) CPU44085OK VENT29065OK Voltageinformation: ------------------------------------------------------------------ CheckPointReferenceVolRangeCurrentVolStatus DDR1710~1890mV1790mVOK IO-12362~2613mV2494mVOK IO-23126~3455mV3299mVOK IO-31710~1890mV1820mVOK CPU950~1050mV1000mVOK FAN8520~9420mV8940mVOK USB4732~5226mV5044mVOK ------------------------------------------------------------------ 10查看日志 使用场合 在发生故障以后,可以查看日志,查找之前发生过的和当前故障相关的信息,从而定位故障原因。 从日志中能看到,接口UP/DOWN、主备切换、攻击事件、命令行执行记录等信息。 命令介绍 displaylogbuffer 使用方法 直接执行displaylogbuffer。 使用示例 Loggingbufferconfigurationandcontents: enabled Allowedmaxbuffersize: 1024 Actualbuffersize: 512 Channelnumber: 4,Channelname: logbuffer Droppedmessages: 0 Overwrittenmessages: 0 Currentmessages: 58 2010-07-1910: 31: 58USG5360%%01SHELL/5/CMD(l): task: co0ip: **user: **vrf: publiccommand: displaylogbuffer 2010-07-1910: 30: 48USG5360%%01SHELL/5/LOGIN(l): vrf: publicuser: Consoleloginfromcon0 2010-07-1910: 28: 24USG5360%%01PHY/2/PHY(l): GigabitEthernet0/0/2: changestatustoup 2010-07-1910: 28: 19USG5360%%01PHY/2/PHY(l): GigabitEthernet0/0/2: changestatustodown 2010-07-1910: 27: 22USG5360%%01PHY/2/PHY(l): GigabitEthernet0/0/2: changestatustoup 2010-07-1910: 25: 42USG5360%%01SHELL/5/CMD(l): task: co0ip: **user: **vrf: publiccommand: undodebuggingall 2010-07-1910: 25: 42USG5360%%01SHELL/5/LOGOUT(l): vrf: publicuser: Consolelogoutfromcon0 2010-07-1910: 25: 41USG5360%%01HWCM/5/EXIT(l): exitfromconfiguremode L3 发表于2015-3-2713: 58: 01 回复2楼 11查看丢包统计,确定是否丢包 使用场合 在无法确认报文是否经过防火墙,防火墙是否丢包时,可以查看丢包统计,并对每种丢包统计查询丢包手册,得到发生问题的可能性。 命令介绍 displaydataplanediscard [undo]firewalldebug_statisticacl<3000-3999>enable displayfirewalldebug_statistic 使用方法 报文进入防火墙创建会话之前大部分丢包位置都进行了记录,可以通过下面方式查看。 进入隐藏模式,按照下面的顺序查看: 1)[Eudemon_VC-A-hidecmd]resetdataplanediscard USG5000]firewallpacket-capturestartupdifficult300USG5000]firewallpacket-capturesendqueue0ip [USG5000]displayfirewallpacket-capturestatistic target_eth_addr: 0000-0000-0000,target_ip_addr USG5360%%01ARP/7/arp_send(d): SendanARPPacket,operation: 2,sender_eth_addr: 0022-a100-18ea,sender_ip_addr: target_eth_addr: 00e0-fc00-000c,target_ip_addr 使用限制 displayarp只对三层口有意义。 14检查路由 使用场合 在设备接口UP时,但如果ping远端设备或PC不通,可以检查一下路由表项是否正常。 命令介绍 displayfib displayiprouting-table 使用方法 使用命令displayfib或displayiprouting-table查看防火墙fib表是否有相应的路由,并检查是否正确。 针对动态路由请使用displayospfpeer、displayospfbrief等ospf命令检查ospf是否正常;针对静态路由,使用displaycurrent-configuration|includeiproute-static命令检查是否添加相应的静态路由。 使用示例 14: 20: 572010/07/02 Destination/MaskNexthopFlagTimeStampInterface GSUt[0]GigabitEthernet0/0/1 GSUt[0]GigabitEthernet0/0/0 GSUt[0]GigabitEthernet0/0/3 GHUt[0]InLoopBack0 GHUt[0]InLoopBack0 GHUt[0]InLoopBack0 InLoopBack0 14: 21: 322010/07/02 RoutingTable: publicnet Destination/MaskProtocolPreCostNexthopInterface GE0/0/1 LoopBack0 GE0/0/3 GE0/0/1 InLoopBack0 GE0/0/0 GE0/0/1 15检查IPSEC统计 使用场合 如果配置了IPSEC,可以先检查IPSEC统计,看报文在IPSEC中是否能正常处理。 命令介绍 displayipsecstatistics 使用方法 使用displayipsecstatistics查看防火墙IPSEC隧道相关的统计,统计里面标记出了具体的IPSEC报文的丢包原因,根据这个可以确定是否是因为IPSEC原因引起的丢包。 使用示例 [USG5360]displayipsecstatistics 15: 55: 412010/07/01 thesecuritypacketstatistics: input/outputsecuritypackets: 100/100 input/outputsecuritybytes: 8000/8000 input/outputdroppedsecuritypackets: 65/0 droppedsecuritypacketdetail: noenoughmemory: 0 can'tfindSA: 0 queueisfull: 0 authenticationisfailed: 0 wrongleng
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 华为 USG 防火墙 命令 大全