©2010-2026 宁波自信网络信息技术有限公司 版权所有
客服电话：0574-28810668 投诉电话：18658249818
浙ICP备2021020529号-1 | 浙B2-20240490
关注我们 ：
1、华为USG防火墙运维命令大全 1查会话 使用场合 针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。 命令介绍（命令类） display firewall session table [ verbose ] { source { inside X.X.X.X | global X.X.X.X } | destination { inside X.X.X.X | global X.X.X.X } } [ source-vpn-instance { STRING<1-19> | public } | dest-vpn-instan
2、ce { STRING<1-19> | public } ] [ application { gtp | ftp | h323 | http | hwcc | ras | mgcp | dns | pptp | qq | rtsp | ils | smtp | sip | nbt | stun | rpc | sqlnet | mms } ] [ nat ] [ destination-port INTEGER<1-65535> ] [ long-link ] 使用方法（工具类） 首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echo request和echo re
3、ply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。
Global：表示在做NAT时转换后的IP。
Inside：表示在做NAT时转换前的IP。
使用示例
4、 14:29:51 2010/07/01 Current total sessions : 1
5、 icmp VPN: public ->public Zone: trust -> local TTL: 00:00:20 Left: 00:00:20 Interface: I0 Nextho
6、p: 127.0.0.1 MAC: 00-00-00-00-00-00 <-- packets:4462 bytes:374808 --> packets:4461 bytes:374724 10.160.30.17:43986<--10.160.30.2:43986
7、 这里显示源地址为10.160.30.2的报文的会话。这条会话为icmp会话。以下是关键信息的解释： Zone: trust -> local 首包会话方向源域为trust，目地域为local（源域 -> 目的域） TTL: 00:00:20 Left: 00:00:20 ttl表示会话表老化时间，left表示会话表剩余多少时间老化 Interface: I0 Nexthop: 127.0.0.1 MAC: 00-00-00-00-00-00 会话首包方向出接口、
8、下一跳IP地址和MAC地址 <-- packets:4462 bytes:374808 --> packets:4461 bytes:374724 <--代表会话inbound方向的字节数和报文数，-->代表会话outbound方向/同域的字节数和报文数 10.160.30.17:43986<--10.160.30.2:43986 <-- 表示会话首包是inbound，--> 表示会话首包是outbound或者同域 使用限制 对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP无法使用该方法排查。 2检查接口状态
9、 使用场合 在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。 命令介绍 display ip interface brief 使用方法 查看接口物理层和协议层状态，正常情况下三层接口物理层（Physical）和协议层（Protocol）都是up，如果有down现象，检查网线连接和网线(光纤，光模块)本身是否有问题，更换网线(光纤，光模块)尝试。 使用示例 [USG5360]display ip interface brief *down: administratively down (l): loopback (s): spoofing Int
10、erface IP Address Physical Protocol Description GigabitEthernet0/0/0 192.168.1.124 up up Huawei, USG5000 GigabitEthernet0/0/1 10.160.30.17 up up Huawei, USG5000 GigabitEthernet0/0/2 2.1.1.2 up up Huawei,
11、USG5000 GigabitEthernet0/0/3 3.1.1.2 down down Huawei, USG5000 GigabitEthernet1/0/0 unassigned down down Huawei, USG5000 GigabitEthernet1/0/1 unassigned up down Huawei, USG5000 如上显示，GigabitEthernet0/0/3和GigabitEthernet1/0/0的物理层是dow
12、n，其中GigabitEthernet0/0/3已经配置了IP地址，而GigabitEthernet1/0/0未配置，物理层down可能是因为网线被拔出或网线出问题，或者是与其对接的接口down，需要检查线路。GigabitEthernet1/0/1的协议层down是因为没有配置ip地址。 3检查接口统计信息 使用场合 在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计信息，确认接口是否有丢包。 命令介绍 display interface [ interface-type [interface-number] ] 使用方法 查看接口下是否有error，确认CR
13、C/ collisions有无增长，如果有增长确认接口双工模式和速率是否与对端设备一致。 Align Errors：对齐错误，即传送的包中存在不完整的字节，包括前导码和帧间隙。 Collision Errors：碰撞错误。 runts：超短包，长度小于64字节但CRC值正确的数据包。 giants：超长包，长度大于1618(如果带vlan是1622)字节的CRC值正确的数据包。 CRC （Input）：长度为64至1618字节之间但CRC值不正确的数据包。（路由器中长度为64至1618字节之间的Alignment、Dribble错包也在此类中统计）。 Error（Input）：PH
14、Y层发现的错包。 Overrun（Input）：接收队列满失败包。 Late Collision （Output）：发送64字节后发生碰撞的错误包。 查看出入接口统计是否计数正在增加，如果有增加则说明该接口链路正常，如果只有一条流则可以确定报文是否进入防火墙。 查看接口协商的情况，包括协商速率，全双工/半双工等。 关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。 使用示例 GigabitEthernet1/0/0 current state : UP
15、 Line protocol current state : UP GigabitEthernet1/0/0 current firewall zone : trust
16、 Description : Huawei, USG5000 Series, GigabitEthernet1/0/0 Interface The Maximum Transmit Unit is 1500 bytes, Hold timer is 10(sec) Internet Address i
17、s 11.110.30.17/24 IP Sending Frames' Format is PKTFMT_ETHNT_2, Hardware address is 0018-82fd-9d3b Media type is twisted pair, loopback not set, promis
18、cuous mode not set 1000Mb/s-speed mode, Full-duplex mode, link type is auto negotiation flow control is disable
19、 Output queue : (Urgent queue : Size/Length/Discards) 0/50/0 Output queue : (Protocol queue : Size/Length/Discards) 0/1000/0
20、 Output queue : (FIFO queuing : Size/Length/Discards) 0/75/0 Last 5 minutes input rate 1083 bytes/sec, 11 packets/sec Last 5 minutes ou
21、tput rate 1019 bytes/sec, 10 packets/sec Input: 15901905 packets, 3060644220 bytes 180 broadcasts, 19745
22、 multicasts 5920 errors, 0 runts, 0 giants, 0 throttles, 0 CRC, 0 frames, 5920 overruns, 0 align errors
23、 Output: 10641815 packets, 1764395150 bytes 200 broadcasts, 0 multicasts
24、 0 errors, 0 underruns, 0 collisions, 0 late collisions, 0 deferred, 0 lost carrier, 0 no carrier 如上显示，Input方向出现了5920个overruns，很有可能之前出现了瞬间很大的流量，导致ov
25、erruns丢包。 4查看防火墙系统统计 使用场合 通过查看防火墙系统统计，可以得到各种报文的统计值，以及各种丢包情况等信息。 命令介绍 display firewall statistic system 使用方法 查看当前系统总会话数，TcpSession、UDPSession、ICMP session这三项统计值的和 查看TCP半连接数，CurHalfCon统计值就是半连接数，通过该值可以确认半连接数是否过多，是否受到syn-flood攻击 查看防火墙转发TCP业务是否丢包，使用RcvTCPpkts、RcvTCPbytes、PassTCPpkts、PassTCPOc
26、ts统计值，正常情况下Pass和Rcv不会相差很多
会话创建是否失败
根据发送报文的类别查看是否存在丢包，从这个统计可以查看出是否存在因攻击防范，包过滤等引起的丢包，以及根据收到ICMP/UDP/TCP报文个数和转发的个数计算被防火墙丢弃的个数。
5查看设备的运行状况
使用场合
在发现设备的告警灯亮时或者其他如接口无法UP等异常情况时，可以查看设备的运行状况，看主控板、接口卡等是否运行正常。如果有器件显示故障，需尽快分析。
命令介绍
display device
使用方法
直接执行display device。
使用示例
27、e Secoway USG5360's Device status:
28、 Slot # Type Online Status - - - - - - - - - - - -
29、 - - - - - - - - - - - - - - - - - - - - - - - - - 0 RPU Present Normal 2 2GE Present Normal
30、 3 PWR(AC) Present Abnormal 4 PWR(AC) Present Normal
31、 5 FAN Present Normal 收藏 分享 顶 踩 点评 回复 报告 电梯直达 小小李 L3 发表于 2015-3-27 13:57:30 只看该作者 沙发 6 查看告警信息 使用场合 在发现设备的告警灯亮时或者在日志中发现如风扇灯硬件相关信息时，可以查看告警信息来确定问题，具体告警的信息参见《USG5300和E200告警.xls》。 命令介绍 display alarm urgent 使用方法 直接执行d
32、isplay diagnostic-information。
使用示例
33、te Time Para1 Para2 4 3 10/7 /7 11:28:4 1 255
34、 4 3 10/7 /7 10:19:8 1 255 7 查看内存使用率 使用场合 当防火墙自身某些业务运行不稳定时，可以查看一下内存使用率，看是否是内存消耗过多导致。内存占有率不应过高。超过80％时需要分析当时的路由表容量和其他防火墙自身相关业务。 命令介绍 display memory-usage 使用方法 在系统视图下执行displ
35、ay memory-usage。 使用示例 [Eudemon]display memory-usage Memory utilization statistics at 2010-07-07 19:
36、27:38 50 ms System Total Memory Is: 2147483648 bytes Total Memory Used Is: 1013878696 bytes
37、 Memory Using Percentage Is: 47% 8 查看CPU使用率 使用场合 CPU占有率应正常，与当前开展的业务类型和转发流量相符。超过60％应分析当时的业务流量。USG5300是由转发平面转发的，通常CPU使用率与流量关系不大，只与业务类型有关，一般的来说，软件IPSEC/L2TP/ASPF/NAT ALG对CPU资源
38、消耗较大。
命令介绍
display cpu-usage-for-user
使用方法
直接执行display cpu-usage-for-user。
使用示例
39、 CPU Average Usage (5 seconds) : 6% CPU Average Usage (30 seconds) : 6% CPU Average Usage (5 minutes) : 6% 9 检查各器件温度信息和电压信息 使用场合 在发生硬件故障时，可以查看各器件温度信息和电压信息等，判断是否是温度或电压的异常引起的问题。 命令介绍 display environme
40、nt
使用方法
直接执行display environment。
使用示例
41、ion: Temperature information:
42、 local CurrentTemperature LowLimit HighLimit Status (Celsius) (Celsius) (Celsius) (OK/FAIL)
43、 CPU 44 0 85 OK VENT 29 0 65 OK
44、 Voltage information: ------------------------------------------------------------
45、 CheckPoint ReferenceVol Range CurrentVol Status
46、 DDR 1.8V 1710~ 1890 mV 1790mV OK
47、 IO-1 2.5V 2362~ 2613 mV 2494mV OK
48、 IO-2 3.3V 3126~ 3455 mV 3299mV OK
49、 IO-3 1.8V 1710~ 1890 mV 1820mV OK CPU 1.0V 950~ 1050 mV 10
50、00mV OK FAN 9.0V 8520~ 9420 mV 8940mV OK
©2010-2026 宁波自信网络信息技术有限公司 版权所有
客服电话：0574-28810668 投诉电话：18658249818
浙ICP备2021020529号-1 | 浙B2-20240490
关注我们 ：
