华为USG防火墙运维命令大全.doc-道客多多

资源描述

2、h323 | http | hwcc | ras | mgcp | dns | pptp | qq | rtsp | ils | smtp | sip | nbt | stun | rpc | sqlnet | mms nat destination-port INTEGER long-link 使用方法（工具类）首先确定该五元组是否建会话，对于 TCP/UDP/ICMP（ICMP 只有 echo request 和 echo reply 建会话）/GRE/ESP/AH 的报文防火墙会建会话，其它比如 SCTP/OSPF/VRRP 等报文防火墙不建会话。如果会话已经建立，并且一直有后续报文命中

3、刷新，基本可以排除防火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。Global：表示在做 NAT 时转换后的 IP。Inside：表示在做 NAT 时转换前的 IP。使用示例display firewall session table verbose source inside 10.160.30.2 14:29:51 2010/07/01 Current total sessions : 1 icmp VPN: public -public Zone: trust - local TTL: 00:00:20 Lef

4、t: 00:00:20 Interface: I0 Nexthop: 127.0.0.1 MAC: 00-00-00-00-00-00 packets:4461 bytes:374724 10.160.30.17:43986 local首包会话方向源域为 trust，目地域为 local（源域 - 目的域）TTL: 00:00:20 Left: 00:00:20ttl 表示会话表老化时间，left 表示会话表剩余多少时间老化Interface: I0 Nexthop: 127.0.0.1 MAC: 00-00-00-00-00-00会话首包方向出接口、下一跳 IP 地址和 MAC 地址pack

5、ets:4461 bytes:374724代表会话 outbound 方向/同域的字节数和报文数10.160.30.17:43986 表示会话首包是 outbound 或者同域使用限制对于 TCP/UDP/ICMP/GRE/ESP/AH 的报文防火墙会建会话，其它比如 SCTP/OSPF/VRRP 无法使用该方法排查。2 检查接口状态使用场合在报文不通时，可以先检查接口状态，排除由于接口 down 而导致报文不通的情况。命令介绍display ip interface brief使用方法查看接口物理层和协议层状态，正常情况下三层接口物理层（Physical）和协议层（Protocol）都是 u

6、p，如果有 down 现象，检查网线连接和网线(光纤，光模块)本身是否有问题，更换网线(光纤，光模块)尝试。使用示例USG5360display ip interface brief*down: administratively down(l): loopback(s): spoofingInterface IP Address Physical Protocol DescriptionGigabitEthernet0/0/0 192.168.1.124 up up Huawei, USG5000GigabitEthernet0/0/1 10.160.30.17 up up Huawei, U

7、SG5000GigabitEthernet0/0/2 2.1.1.2 up up Huawei, USG5000GigabitEthernet0/0/3 3.1.1.2 down down Huawei, USG5000GigabitEthernet1/0/0 unassigned down down Huawei, USG5000GigabitEthernet1/0/1 unassigned up down Huawei, USG5000如上显示，GigabitEthernet0/0/3 和 GigabitEthernet1/0/0 的物理层是 down，其中 GigabitEthernet

8、0/0/3 已经配置了 IP 地址，而 GigabitEthernet1/0/0 未配置，物理层 down 可能是因为网线被拔出或网线出问题，或者是与其对接的接口 down，需要检查线路。GigabitEthernet1/0/1 的协议层 down 是因为没有配置 ip 地址。3 检查接口统计信息使用场合在发现报文传输有性能下降或者 ping 有丢包时，可以检查接口统计信息，确认接口是否有丢包。命令介绍display interface interface-type interface-number 使用方法查看接口下是否有 error，确认 CRC/ collisions 有无增长，如果有增

9、长确认接口双工模式和速率是否与对端设备一致。Align Errors：对齐错误，即传送的包中存在不完整的字节，包括前导码和帧间隙。Collision Errors：碰撞错误。runts：超短包，长度小于 64 字节但 CRC 值正确的数据包。giants：超长包，长度大于 1618(如果带 vlan 是 1622)字节的 CRC 值正确的数据包。CRC （Input）：长度为 64 至 1618 字节之间但 CRC 值不正确的数据包。（路由器中长度为 64 至 1618 字节之间的 Alignment、Dribble 错包也在此类中统计）。Error（Input）：PHY 层发现的错包。Ove

10、rrun（Input）：接收队列满失败包。Late Collision （Output）：发送 64 字节后发生碰撞的错误包。查看出入接口统计是否计数正在增加，如果有增加则说明该接口链路正常，如果只有一条流则可以确定报文是否进入防火墙。查看接口协商的情况，包括协商速率，全双工/半双工等。关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。使用示例GigabitEthernet1/0/0 current state : UP Line protocol current state : UP GigabitEthernet1/0/0 current firewa

11、ll zone : trust Description : Huawei, USG5000 Series, GigabitEthernet1/0/0 Interface The Maximum Transmit Unit is 1500 bytes, Hold timer is 10(sec) Internet Address is 11.110.30.17/24 IP Sending Frames Format is PKTFMT_ETHNT_2, Hardware address is 0018-82fd-9d3b Media type is twisted pair, loopback

12、not set, promiscuous mode not set 1000Mb/s-speed mode, Full-duplex mode, link type is auto negotiation flow control is disable Output queue : (Urgent queue : Size/Length/Discards) 0/50/0 Output queue : (Protocol queue : Size/Length/Discards) 0/1000/0 Output queue : (FIFO queuing : Size/Length/Discar

13、ds) 0/75/0 Last 5 minutes input rate 1083 bytes/sec, 11 packets/sec Last 5 minutes output rate 1019 bytes/sec, 10 packets/sec Input: 15901905 packets, 3060644220 bytes 180 broadcasts, 19745 multicasts 5920 errors, 0 runts, 0 giants, 0 throttles, 0 CRC, 0 frames, 5920 overruns, 0 align errors Output:

14、 10641815 packets, 1764395150 bytes 200 broadcasts, 0 multicasts 0 errors, 0 underruns, 0 collisions, 0 late collisions, 0 deferred, 0 lost carrier, 0 no carrier 如上显示，Input 方向出现了 5920 个 overruns，很有可能之前出现了瞬间很大的流量，导致 overruns 丢包。4 查看防火墙系统统计使用场合通过查看防火墙系统统计，可以得到各种报文的统计值，以及各种丢包情况等信息。命令介绍display firewall

15、statistic system使用方法查看当前系统总会话数，TcpSession、UDPSession、ICMP session 这三项统计值的和查看 TCP 半连接数，CurHalfCon 统计值就是半连接数，通过该值可以确认半连接数是否过多，是否受到 syn-flood 攻击查看防火墙转发 TCP 业务是否丢包，使用 RcvTCPpkts、RcvTCPbytes、PassTCPpkts、PassTCPOcts 统计值，正常情况下 Pass 和Rcv 不会相差很多会话创建是否失败根据发送报文的类别查看是否存在丢包，从这个统计可以查看出是否存在因攻击防范，包过滤等引起的丢包，以及根据收到IC

16、MP/UDP/TCP 报文个数和转发的个数计算被防火墙丢弃的个数。5 查看设备的运行状况使用场合在发现设备的告警灯亮时或者其他如接口无法 UP 等异常情况时，可以查看设备的运行状况，看主控板、接口卡等是否运行正常。如果有器件显示故障，需尽快分析。命令介绍display device使用方法直接执行 display device。使用示例display device Secoway USG5360s Device status: Slot # Type Online Status - - - - - - - - - - - - - - - - - - - - - - - - - - - - -

17、- - - - - - - - -0 RPU Present Normal 2 2GE Present Normal 3 PWR(AC) Present Abnormal 4 PWR(AC) Present Normal 5 FAN Present Normal 收藏分享顶踩点评回复报告电梯直达小小李 L3 发表于 2015-3-27 13:57:30只看该作者沙发6 查看告警信息使用场合在发现设备的告警灯亮时或者在日志中发现如风扇灯硬件相关信息时，可以查看告警信息来确定问题，具体告警的信息参见USG5300 和 E200 告警.xls。命令介绍display alarm urgen

18、t使用方法直接执行 display diagnostic-information。使用示例display alarm urgent Alarm ID Slot Date Time Para1 Para2 4 3 10/7 /7 11:28:4 1 255 4 3 10/7 /7 10:19:8 1 255 7 查看内存使用率使用场合当防火墙自身某些业务运行不稳定时，可以查看一下内存使用率，看是否是内存消耗过多导致。内存占有率不应过高。超过80时需要分析当时的路由表容量和其他防火墙自身相关业务。命令介绍display memory-usage使用方法在系统视图下执行 display memory

19、-usage。使用示例Eudemondisplay memory-usage Memory utilization statistics at 2010-07-07 19:27:38 50 ms System Total Memory Is: 2147483648 bytes Total Memory Used Is: 1013878696 bytes Memory Using Percentage Is: 47% 8 查看 CPU 使用率使用场合CPU 占有率应正常，与当前开展的业务类型和转发流量相符。超过 60应分析当时的业务流量。USG5300 是由转发平面转发的，通常 CPU 使用率与

20、流量关系不大，只与业务类型有关，一般的来说，软件 IPSEC/L2TP/ASPF/NAT ALG 对 CPU 资源消耗较大。命令介绍display cpu-usage-for-user使用方法直接执行 display cpu-usage-for-user。使用示例display cpu-usage-for-user = Current CPU usage info = CPU Average Usage (5 seconds) : 6%CPU Average Usage (30 seconds) : 6%CPU Average Usage (5 minutes) : 6%9 检查各器件温度信息

21、和电压信息使用场合在发生硬件故障时，可以查看各器件温度信息和电压信息等，判断是否是温度或电压的异常引起的问题。命令介绍display environment使用方法直接执行 display environment。使用示例display environment Environment information: Temperature information: local CurrentTemperature LowLimit HighLimit Status (Celsius) (Celsius) (Celsius) (OK/FAIL) CPU 44 0 85 OK VENT 29 0 65

22、OK Voltage information: -CheckPoint ReferenceVol Range CurrentVol Status DDR 1.8V 1710 1890 mV 1790mV OK IO-1 2.5V 2362 2613 mV 2494mV OK IO-2 3.3V 3126 3455 mV 3299mV OK IO-3 1.8V 1710 1890 mV 1820mV OK CPU 1.0V 950 1050 mV 1000mV OK FAN 9.0V 8520 9420 mV 8940mV OK USB 5.0V 4732 5226 mV 5044mV OK -

23、10 查看日志使用场合在发生故障以后，可以查看日志，查找之前发生过的和当前故障相关的信息，从而定位故障原因。从日志中能看到，接口UP/DOWN、主备切换、攻击事件、命令行执行记录等信息。命令介绍display logbuffer使用方法直接执行 display logbuffer。使用示例display logbuffer Logging buffer configuration and contents:enabled Allowed max buffer size : 1024 Actual buffer size : 512 Channel number : 4 , Channel na

24、me : logbuffer Dropped messages : 0 Overwritten messages : 0 Current messages : 58 2010-07-19 10:31:58 USG5360 %01SHELL/5/CMD(l): task:co0 ip:* user:* vrf:public command:display logbuffer 2010-07-19 10:30:48 USG5360 %01SHELL/5/LOGIN(l): vrf:public user:Console login from con0 2010-07-19 10:28:24 USG

25、5360 %01PHY/2/PHY(l): GigabitEthernet0/0/2: change status to up 2010-07-19 10:28:19 USG5360 %01PHY/2/PHY(l): GigabitEthernet0/0/2: change status to down 2010-07-19 10:27:22 USG5360 %01PHY/2/PHY(l): GigabitEthernet0/0/2: change status to up 2010-07-19 10:25:42 USG5360 %01SHELL/5/CMD(l): task:co0 ip:*

26、 user:* vrf:public command:undo debugging all 2010-07-19 10:25:42 USG5360 %01SHELL/5/LOGOUT(l): vrf:public user:Console logout from con0 2010-07-19 10:25:41 USG5360 %01HWCM/5/EXIT(l): exit from configure mode点评回复支持 () 反对 ()报告小小李 L3 发表于 2015-3-27 13:58:01只看该作者板凳回复 2 楼11 查看丢包统计，确定是否丢包使用场合在无法确认报文是否经

27、过防火墙，防火墙是否丢包时，可以查看丢包统计，并对每种丢包统计查询丢包手册，得到发生问题的可能性。命令介绍display dataplane discardundo firewall debug_statistic acl enabledisplay firewall debug_statistic使用方法报文进入防火墙创建会话之前大部分丢包位置都进行了记录，可以通过下面方式查看。进入隐藏模式，按照下面的顺序查看：1）Eudemon_VC-A-hidecmdreset dataplane discard /清除当前丢包统计 2）Eudemon_VC-A-hidecmddisplay datap

28、lane discard /显示丢包函数DP_FW_Rcv : 100 DP_FW_FirstRcv : 0 DP_FW_DefaultRcv : 0 DP_FW_FragRcv : 0 3）Eudemon_VC-A-hidecmddisplay dataplane discard DP_FW_Rcv verbose /根据丢包函数具体查看丢包位置。18:00:10 2009/06/10 DP_FW_Rcv :exit 0: 0 DP_FW_Rcv :exit 1: 0 DP_FW_Rcv :exit 2: 0 DP_FW_Rcv :exit 3: 100 DP_FW_Rcv :exit 4:

29、 0 DP_FW_Rcv :exit 5: 0 4）根据上面查看到的函数，在USG5300 丢包原因查看手册查询丢包原因。如果丢包位置较多，无法确定具体丢包位置，则可以通过下面方法调试。USG5360acl 3333USG5360-acl-adv-3333rule permit ip source 172.16.133.30 0 destination 172.16.202.12 0 /规则越精确越好，保证 debug 统计的数据流尽量少，否则对设备性能影响比较大USG5360-hidecmdfirewall debug_statistic acl 3333 enable /进入隐藏模式USG

30、5360-hidecmddisplay firewall debug_statistic /查看结果USG5360-hidecmdundo firewall debug_statistic acl 3333 enable /测试完成后，取消调试命令，否则对设备性能存在一定的消耗根据具体的原因采取相应的措施，如果未查找到丢包，则就继续后面的检查。使用限制基于流的丢包统计建议在非业务高峰进行12 使用远程抓包抓取报文使用场合在发生故障后，通过检查配置和统计信息无法定位时，可以通过远程抓包抓取指定流的报文进行分析。命令介绍见使用方法使用方法通过防火墙的远程抓包功能可以抓取经过防火墙和上送防火墙处理的

31、报文，抓满后将其发送给 pc，pc 上面通过Firewall_Packetyzer.exe 工具接收，保存为 cap 格式，可以通过抓包工具打开分析报文的正确性。U USG5000acl 3333USG5000-acl-adv-3333rule permit ip source 172.16.133.30 0 destination 172.16.202.12 0 /源和目的 ip 越精确越好，否则对设备性能影响比较大U USG5000interface GigabitEthernet 0/0/0 /进入需要抓包的接口视图U USG5000-GigabitEthernet0/0/0firewa

32、ll packet-capture 3333 queue 0 /指定 acl 规则和队列SG USG5000-GigabitEthernet0/0/0quit2.USG5000firewall packet-capture startup difficult 300 /开始抓包。simple:报文长度小于 100byte，difficult:不限制大小3.USG5000firewall packet-capture send queue 0 ip 1.1.1.1 /抓满后，使用命令将报文发送给 PC，PC 需要打开软件接收。1.1.1.1 指的是打开 Firewall_Packetyzer.e

33、xe 工具的 PC。USG5000display firewall packet-capture statistic /显示抓包情况和统计USG5000display firewall packet-capture queue 0 /显示队列是情况和统计USG5000undo firewall packet-capture startup /测试完成后，关闭抓包功能，否则对设备性能存在一定的消耗-远程抓包客户端，在 PC 上面运行接收防火墙发送的抓包内容使用限制vpn 报文或者防火墙自身发送的报文远程抓包功能是抓不到的，建议在非业务高峰进行。13 检查 ARP 表项使用场合在设备接口 UP 时

34、，如果 ping 对端设备不通，可以检查 arp 表项是否正常。命令介绍display arp（路由模式下显示 arp 表项）display arp bridge (透明模式下显示 arp 表项)display firewall transparent-mode address-table (透明模式下显示 MAC 转发表)debugging arp packet使用方法查看防火墙上下行设备的 ARP 表项是否正确，如果不正确或者经常变化请检查网络是否存在多个设备回应 ARP 应答情况。可以使用 debugging arp packet 调试命令检查设备的 ARP 请求和应答情况。使用示例di

35、splay arp 14:17:41 2010/07/02 IP ADDRESS MAC ADDRESS EXPIRE(M) TYPE INTERFACE VPN-INSTANCE VLAN PVC -10.1.1.2 0022-a100-18ea I GE0/0/3 10.1.1.1 00e0-fc00-000c 7 D GE0/0/3 2.1.1.2 0022-a100-18e9 I GE0/0/2 10.160.30.17 0022-a100-18e8 I GE0/0/1 10.160.30.2 0022-a100-18a0 18 D GE0/0/1 192.168.1.124 0022-a100-18e7 I GE0/0/0 -Total:6 Dynamic:2 Static:0 Interface:4 debugging arp packet 14:18:49 2010/07/02

展开阅读全文