華為usg防火墻運(yùn)維命令大全

1、華為華為USG防火墻運(yùn)維命令大全防火墻運(yùn)維命令大全1查會(huì)話查會(huì)話使用場(chǎng)合使用場(chǎng)合針對(duì)可以建會(huì)話的報(bào)文，可以通過(guò)查看會(huì)話是否創(chuàng)建以及會(huì)話詳細(xì)信息來(lái)確定報(bào)文是否正常通過(guò)防火墻。命令介紹（命令類）命令介紹（命令類）displaydisplayfirewallfirewallsessionsessiontabletable[verboseverbose]sourcesourceinsideinsideX.X.X.XX.X.X.X|globalg

2、lobalX.X.X.XX.X.X.X|destinationdestinationinsideinsideX.X.X.XX.X.X.X|globalglobalX.X.X.XX.X.X.X[sourcevpninstancesourcevpninstanceSTRINGSTRING|publicpublic|destvpninstancedestvpninstanceSTRINGSTRING|publicpublic][applica

3、tionapplicationgtpgtp|ftpftp|h323h323||hwcchwcc|rasras|mgcpmgcp|dnsdns|pptppptp|qqqq|rtsprtsp|ilsils|smtpsmtp|sipsip|nbtnbt|stunstun|rpcrpc|sqlsql|mmsmms][natnat][destinationptdestinationptINTEGERINTEGER][longlinklonglin

4、k]使用方法（工具類）使用方法（工具類）首先確定該五元組是否建會(huì)話，對(duì)于TCPUDPICMP（ICMP只有echorequest和echoreply建會(huì)話）GREESPAH的報(bào)文防火墻會(huì)建會(huì)話，其它比如SCTPOSPFVRRP等報(bào)文防火墻不建會(huì)話。如果會(huì)話已經(jīng)建立，并且一直有后續(xù)報(bào)文命中刷新，基本可以排除防火墻的問(wèn)題，除非碰到來(lái)回路徑不一致情況，需要關(guān)閉狀態(tài)檢測(cè)。如果沒(méi)有對(duì)應(yīng)的五元組會(huì)話或者對(duì)于不建會(huì)話的報(bào)文，繼續(xù)后續(xù)排查方法。Glob

5、al：表示在做NAT時(shí)轉(zhuǎn)換后的IP。Inside：表示在做NAT時(shí)轉(zhuǎn)換前的IP。使用示例使用示例displayfirewallsessiontableverbosesourceinside10.160.30.22檢查接口狀態(tài)檢查接口狀態(tài)使用場(chǎng)合使用場(chǎng)合在報(bào)文不通時(shí)，可以先檢查接口狀態(tài)，排除由于接口down而導(dǎo)致報(bào)文不通的情況。命令介紹命令介紹displaydisplayipipinterfaceinterfacebriefbrief使用

6、方法使用方法查看接口物理層和協(xié)議層狀態(tài)，正常情況下三層接口物理層（Physical）和協(xié)議層（Protocol）都是up，如果有down現(xiàn)象，檢查網(wǎng)線連接和網(wǎng)線(光纖，光模塊)本身是否有問(wèn)題，更換網(wǎng)線(光纖，光模塊)嘗試。使用示例使用示例[USG5360]displayipinterfacebriefdown:administrativelydown(l):loopback(s):spoofingInterfaceIPAddressPh

7、ysicalProtocolDeionGigabitEther000192.168.1.124upupHuaweiUSG5000GigabitEther00110.160.30.17upupHuaweiUSG5000GigabitEther0022.1.1.2upupHuaweiUSG5000GigabitEther0033.1.1.2downdownHuaweiUSG5000GigabitEther100unassigneddownd

8、ownHuaweiUSG5000GigabitEther101unassignedupdownHuaweiUSG5000如上顯示，GigabitEther003和GigabitEther100的物理層是down，其中GigabitEther003已經(jīng)配置了IP地址，而GigabitEther100未配置，物理層down可能是因?yàn)榫W(wǎng)線被拔出或網(wǎng)線出問(wèn)題，或者是與其對(duì)接的接口down，需要檢查線路。GigabitEther101的協(xié)議層do