華為usg防火墻運(yùn)維命令大全

1、華為華為USG防火墻運(yùn)維命令大全防火墻運(yùn)維命令大全1查會話查會話使用場合使用場合針對可以建會話的報文，可以通過查看會話是否創(chuàng)建以及會話詳細(xì)信息來確定報文是否正常通過防火墻。命令介紹（命令類）命令介紹（命令類）displaydisplayfirewallfirewallsessionsessiontabletable[verboseverbose]sourcesourceinsideinsideX.X.X.XX.X.X.X|globalg

2、lobalX.X.X.XX.X.X.X|destinationdestinationinsideinsideX.X.X.XX.X.X.X|globalglobalX.X.X.XX.X.X.X[sourcevpninstancesourcevpninstanceSTRINGSTRING|publicpublic|destvpninstancedestvpninstanceSTRINGSTRING|publicpublic][applica

3、tionapplicationgtpgtp|ftpftp|h323h323||hwcchwcc|rasras|mgcpmgcp|dnsdns|pptppptp|qqqq|rtsprtsp|ilsils|smtpsmtp|sipsip|nbtnbt|stunstun|rpcrpc|sqlsql|mmsmms][natnat][destinationptdestinationptINTEGERINTEGER][longlinklonglin

4、k]使用方法（工具類）使用方法（工具類）首先確定該五元組是否建會話，對于TCPUDPICMP（ICMP只有echorequest和echoreply建會話）GREESPAH的報文防火墻會建會話，其它比如SCTPOSPFVRRP等報文防火墻不建會話。如果會話已經(jīng)建立，并且一直有后續(xù)報文命中刷新，基本可以排除防火墻的問題，除非碰到來回路徑不一致情況，需要關(guān)閉狀態(tài)檢測。如果沒有對應(yīng)的五元組會話或者對于不建會話的報文，繼續(xù)后續(xù)排查方法。Glob

5、al：表示在做NAT時轉(zhuǎn)換后的IP。Inside：表示在做NAT時轉(zhuǎn)換前的IP。使用示例使用示例displayfirewallsessiontableverbosesourceinside10.160.30.22檢查接口狀態(tài)檢查接口狀態(tài)使用場合使用場合在報文不通時，可以先檢查接口狀態(tài)，排除由于接口down而導(dǎo)致報文不通的情況。命令介紹命令介紹displaydisplayipipinterfaceinterfacebriefbrief使用

6、方法使用方法查看接口物理層和協(xié)議層狀態(tài)，正常情況下三層接口物理層（Physical）和協(xié)議層（Protocol）都是up，如果有down現(xiàn)象，檢查網(wǎng)線連接和網(wǎng)線(光纖，光模塊)本身是否有問題，更換網(wǎng)線(光纖，光模塊)嘗試。使用示例使用示例[USG5360]displayipinterfacebriefdown:administrativelydown(l):loopback(s):spoofingInterfaceIPAddressPh

7、ysicalProtocolDeionGigabitEther000192.168.1.124upupHuaweiUSG5000GigabitEther00110.160.30.17upupHuaweiUSG5000GigabitEther0022.1.1.2upupHuaweiUSG5000GigabitEther0033.1.1.2downdownHuaweiUSG5000GigabitEther100unassigneddownd

8、ownHuaweiUSG5000GigabitEther101unassignedupdownHuaweiUSG5000如上顯示，GigabitEther003和GigabitEther100的物理層是down，其中GigabitEther003已經(jīng)配置了IP地址，而GigabitEther100未配置，物理層down可能是因?yàn)榫W(wǎng)線被拔出或網(wǎng)線出問題，或者是與其對接的接口down，需要檢查線路。GigabitEther101的協(xié)議層do