防火墙的配置命令

#1

正好看到，转给需要的你，希望对你有所帮助

1查会话
使用场合
针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。
命令介绍（命令类）
display firewall session table [ verbose ] { source { inside X.X.X.X | global X.X.X.X } | destination { inside X.X.X.X | global X.X.X.X } } [ source-vpn-instance { STRING<1-19> | public } | dest-vpn-instance { STRING<1-19> | public } ] [ application { gtp | ftp | h323 | http | hwcc | ras | mgcp | dns | pptp | qq | rtsp | ils | smtp | sip | nbt | stun | rpc | sqlnet | mms } ] [ nat ] [ destination-port INTEGER<1-65535> ] [ long-link ]
使用方法（工具类）
首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echo request和echo reply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。
Global：表示在做NAT时转换后的IP。
Inside：表示在做NAT时转换前的IP。

使用示例
<USG5360>display firewall session table verbose source inside 10.160.30.2
14:29:51  2010/07/01
Current total sessions : 1
  icmp  VPN: public ->public
  Zone: trust -> local  TTL: 00:00:20  Left: 00:00:20
  Interface: I0  Nexthop: 127.0.0.1  MAC: 00-00-00-00-00-00
  <-- packets:4462 bytes:374808   --> packets:4461 bytes:374724
  10.160.30.17:43986<--10.160.30.2:43986
这里显示源地址为10.160.30.2的报文的会话。这条会话为icmp会话。以下是关键信息的解释：
Zone: trust -> local
首包会话方向源域为trust，目地域为local（源域 -> 目的域）
TTL: 00:00:20  Left: 00:00:20
ttl表示会话表老化时间，left表示会话表剩余多少时间老化
Interface: I0  Nexthop: 127.0.0.1  MAC: 00-00-00-00-00-00
会话首包方向出接口、下一跳IP地址和MAC地址
<-- packets:4462 bytes:374808   --> packets:4461 bytes:374724
<--代表会话inbound方向的字节数和报文数，-->代表会话outbound方向/同域的字节数和报文数
10.160.30.17:43986<--10.160.30.2:43986
<-- 表示会话首包是inbound，--> 表示会话首包是outbound或者同域
使用限制
对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP无法使用该方法排查。

2检查接口状态
使用场合
在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。
命令介绍
display ip interface brief
使用方法
查看接口物理层和协议层状态，正常情况下三层接口物理层（Physical）和协议层（Protocol）都是up，如果有down现象，检查网线连接和网线(光纤，光模块)本身是否有问题，更换网线(光纤，光模块)尝试。
使用示例
[USG5360]display ip interface brief
*down: administratively down
(l): loopback
(s): spoofing
Interface                   IP Address      Physical Protocol Description
GigabitEthernet0/0/0        192.168.1.124   up       up       Huawei, USG5000
GigabitEthernet0/0/1        10.160.30.17    up       up       Huawei, USG5000
GigabitEthernet0/0/2        2.1.1.2         up       up       Huawei, USG5000
GigabitEthernet0/0/3        3.1.1.2         down     down     Huawei, USG5000
GigabitEthernet1/0/0        unassigned      down     down     Huawei, USG5000
GigabitEthernet1/0/1        unassigned      up       down     Huawei, USG5000
如上显示，GigabitEthernet0/0/3和GigabitEthernet1/0/0的物理层是down，其中GigabitEthernet0/0/3已经配置了IP地址，而GigabitEthernet1/0/0未配置，物理层down可能是因为网线被拔出或网线出问题，或者是与其对接的接口down，需要检查线路。GigabitEthernet1/0/1的协议层down是因为没有配置ip地址。

3检查接口统计信息
使用场合
在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计信息，确认接口是否有丢包。
命令介绍
display interface [ interface-type [interface-number] ]
使用方法
查看接口下是否有error，确认CRC/ collisions有无增长，如果有增长确认接口双工模式和速率是否与对端设备一致。
Align Errors：对齐错误，即传送的包中存在不完整的字节，包括前导码和帧间隙。
Collision Errors：碰撞错误。
runts：超短包，长度小于64字节但CRC值正确的数据包。
giants：超长包，长度大于1618(如果带vlan是1622)字节的CRC值正确的数据包。
CRC （Input）：长度为64至1618字节之间但CRC值不正确的数据包。（路由器中长度为64至1618字节之间的Alignment、Dribble错包也在此类中统计）。
Error（Input）：PHY层发现的错包。
Overrun（Input）：接收队列满失败包。
Late Collision （Output）：发送64字节后发生碰撞的错误包。
查看出入接口统计是否计数正在增加，如果有增加则说明该接口链路正常，如果只有一条流则可以确定报文是否进入防火墙。
查看接口协商的情况，包括协商速率，全双工/半双工等。
关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。
使用示例
GigabitEthernet1/0/0 current state : UP
Line protocol current state : UP
GigabitEthernet1/0/0 current firewall zone : trust
Description : Huawei, USG5000 Series, GigabitEthernet1/0/0 Interface
The Maximum Transmit Unit is 1500 bytes, Hold timer is 10(sec)
Internet Address is 11.110.30.17/24
IP Sending Frames' Format is PKTFMT_ETHNT_2, Hardware address is 0018-82fd-9d3b
Media type is twisted pair, loopback not set, promiscuous mode not set
1000Mb/s-speed mode, Full-duplex mode, link type is auto negotiation
flow control is disable
Output queue : (Urgent queue : Size/Length/Discards)  0/50/0
Output queue : (Protocol queue : Size/Length/Discards) 0/1000/0
Output queue : (FIFO queuing : Size/Length/Discards)  0/75/0
    Last 5 minutes input rate 1083  bytes/sec, 11  packets/sec
    Last 5 minutes output rate 1019  bytes/sec, 10  packets/sec
    Input: 15901905 packets, 3060644220 bytes
           180 broadcasts, 19745 multicasts
           5920 errors, 0 runts, 0 giants, 0 throttles,
           0 CRC, 0 frames, 5920 overruns, 0 align errors
    Output: 10641815 packets,  1764395150 bytes
           200 broadcasts, 0 multicasts
           0 errors, 0 underruns, 0 collisions, 0 late collisions,
           0 deferred, 0 lost carrier, 0 no carrier
如上显示，Input方向出现了5920个overruns，很有可能之前出现了瞬间很大的流量，导致overruns丢包。

4查看防火墙系统统计
使用场合
通过查看防火墙系统统计，可以得到各种报文的统计值，以及各种丢包情况等信息。
命令介绍
display firewall statistic system
使用方法
查看当前系统总会话数，TcpSession、UDPSession、ICMP session这三项统计值的和
查看TCP半连接数，CurHalfCon统计值就是半连接数，通过该值可以确认半连接数是否过多，是否受到syn-flood攻击
查看防火墙转发TCP业务是否丢包，使用RcvTCPpkts、RcvTCPbytes、PassTCPpkts、PassTCPOcts统计值，正常情况下Pass和Rcv不会相差很多
会话创建是否失败
根据发送报文的类别查看是否存在丢包，从这个统计可以查看出是否存在因攻击防范，包过滤等引起的丢包，以及根据收到ICMP/UDP/TCP报文个数和转发的个数计算被防火墙丢弃的个数。

5查看设备的运行状况
使用场合
在发现设备的告警灯亮时或者其他如接口无法UP等异常情况时，可以查看设备的运行状况，看主控板、接口卡等是否运行正常。如果有器件显示故障，需尽快分析。
命令介绍
display device
使用方法
直接执行display device。
使用示例
<Eudemon>display device
Secoway USG5360's Device status:
Slot #    Type        Online    Status
- - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - - -
0         RPU         Present   Normal
2         2GE         Present   Normal
3         PWR(AC)     Present   Abnormal
4         PWR(AC)     Present   Normal
5         FAN         Present   Normal

6 查看告警信息
使用场合
在发现设备的告警灯亮时或者在日志中发现如风扇灯硬件相关信息时，可以查看告警信息来确定问题，具体告警的信息参见《USG5300和E200告警.xls》。
命令介绍
display alarm urgent
使用方法
直接执行display diagnostic-information。
使用示例
<Eudemon>display alarm urgent
Alarm ID   Slot       Date        Time       Para1   Para2
4          3        10/7 /7     11:28:4        1       255
4          3        10/7 /7     10:19:8        1       255

#2

7 查看内存使用率
使用场合
当防火墙自身某些业务运行不稳定时，可以查看一下内存使用率，看是否是内存消耗过多导致。内存占有率不应过高。超过80％时需要分析当时的路由表容量和其他防火墙自身相关业务。
命令介绍
display memory-usage
使用方法
在系统视图下执行display memory-usage。
使用示例
[Eudemon]display memory-usage
Memory utilization statistics at 2010-07-07 19:27:38 50 ms
System Total Memory Is: 2147483648 bytes
Total Memory Used Is: 1013878696 bytes
Memory Using Percentage Is: 47%

8 查看CPU使用率
使用场合
CPU占有率应正常，与当前开展的业务类型和转发流量相符。超过60％应分析当时的业务流量。USG5300是由转发平面转发的，通常CPU使用率与流量关系不大，只与业务类型有关，一般的来说，软件IPSEC/L2TP/ASPF/NAT ALG对CPU资源消耗较大。
命令介绍
display cpu-usage-for-user
使用方法
直接执行display cpu-usage-for-user。
使用示例
<Eudemon>display cpu-usage-for-user
===== Current CPU usage info =====
CPU Average Usage (5 seconds)            : 6%
CPU Average Usage (30 seconds)           : 6%
CPU Average Usage (5 minutes)            : 6%

9 检查各器件温度信息和电压信息
使用场合
在发生硬件故障时，可以查看各器件温度信息和电压信息等，判断是否是温度或电压的异常引起的问题。
命令介绍
display environment
使用方法
直接执行display environment。
使用示例
<Eudemon>display environment
Environment information:
Temperature information:
local   CurrentTemperature  LowLimit  HighLimit  Status
            (Celsius)       (Celsius) (Celsius) (OK/FAIL)
CPU           44              0         85        OK
VENT          29              0         65        OK
Voltage information:
------------------------------------------------------------------
CheckPoint  ReferenceVol     Range            CurrentVol      Status
DDR       1.8V            1710~ 1890 mV     1790mV          OK
IO-1        2.5V            2362~ 2613 mV     2494mV          OK
IO-2        3.3V            3126~ 3455 mV     3299mV          OK
IO-3        1.8V            1710~ 1890 mV     1820mV          OK
CPU        1.0V            950~ 1050 mV     1000mV           OK
FAN        9.0V            8520~ 9420 mV     8940mV          OK
USB        5.0V            4732~ 5226 mV     5044mV          OK
------------------------------------------------------------------
10查看日志
使用场合
在发生故障以后，可以查看日志，查找之前发生过的和当前故障相关的信息，从而定位故障原因。从日志中能看到，接口UP/DOWN、主备切换、攻击事件、命令行执行记录等信息。
命令介绍
display logbuffer
使用方法
直接执行display logbuffer。
使用示例
<USG5360>display  logbuffer
Logging buffer configuration and contents:enabled
Allowed max buffer size : 1024
Actual buffer size : 512
Channel number : 4 , Channel name : logbuffer
Dropped messages : 0
Overwritten messages : 0
Current messages : 58

2010-07-19 10:31:58 USG5360 %%01SHELL/5/CMD(l): task:co0 ip:** user:** vrf:public command:display  logbuffer
2010-07-19 10:30:48 USG5360 %%01SHELL/5/LOGIN(l): vrf:public user:Console login from con0
2010-07-19 10:28:24 USG5360 %%01PHY/2/PHY(l):     GigabitEthernet0/0/2: change status to up
2010-07-19 10:28:19 USG5360 %%01PHY/2/PHY(l):     GigabitEthernet0/0/2: change status to down
2010-07-19 10:27:22 USG5360 %%01PHY/2/PHY(l):     GigabitEthernet0/0/2: change status to up
2010-07-19 10:25:42 USG5360 %%01SHELL/5/CMD(l): task:co0 ip:** user:** vrf:public command:undo debugging all
2010-07-19 10:25:42 USG5360 %%01SHELL/5/LOGOUT(l): vrf:public user:Console logout from con0
2010-07-19 10:25:41 USG5360 %%01HWCM/5/EXIT(l):  exit from configure mode

#3

11查看丢包统计，确定是否丢包
使用场合
在无法确认报文是否经过防火墙，防火墙是否丢包时，可以查看丢包统计，并对每种丢包统计查询丢包手册，得到发生问题的可能性。
命令介绍
display dataplane discard
[undo] firewall debug_statistic acl <3000-3999> enable
display firewall debug_statistic
使用方法
报文进入防火墙创建会话之前大部分丢包位置都进行了记录，可以通过下面方式查看。进入隐藏模式，按照下面的顺序查看：
1）[Eudemon_VC-A-hidecmd]reset dataplane discard   //清除当前丢包统计
2）[Eudemon_VC-A-hidecmd]display dataplane discard  //显示丢包函数
DP_FW_Rcv                          :    100
DP_FW_FirstRcv                      :     0
DP_FW_DefaultRcv                    :     0
DP_FW_FragRcv                       :     0
3）[Eudemon_VC-A-hidecmd]display dataplane discard DP_FW_Rcv  verbose    //根据丢包函数具体查看丢包位置。
18:00:10  2009/06/10
DP_FW_Rcv                           :exit 0:     0
DP_FW_Rcv                           :exit 1:     0
DP_FW_Rcv                           :exit 2:     0
DP_FW_Rcv                           :exit 3:    100
DP_FW_Rcv                           :exit 4:     0
DP_FW_Rcv                           :exit 5:     0
4）根据上面查看到的函数，在《USG5300丢包原因查看手册》查询丢包原因。
如果丢包位置较多，无法确定具体丢包位置，则可以通过下面方法调试。
[USG5360]acl 3333
[USG5360-acl-adv-3333]rule permit ip source 172.16.133.30 0 destination 172.16.202.12 0 //规则越精确越好，保证debug统计的数据流尽量少，否则对设备性能影响比较大
[USG5360-hidecmd]firewall debug_statistic acl 3333 enable //进入隐藏模式
[USG5360-hidecmd]display firewall debug_statistic  //查看结果
[USG5360-hidecmd]undo firewall debug_statistic  acl 3333 enable   //测试完成后，取消调试命令，否则对设备性能存在一定的消耗
根据具体的原因采取相应的措施，如果未查找到丢包，则就继续后面的检查。

使用限制
基于流的丢包统计建议在非业务高峰进行

12使用远程抓包抓取报文
使用场合
在发生故障后，通过检查配置和统计信息无法定位时，可以通过远程抓包抓取指定流的报文进行分析。
命令介绍
见使用方法
使用方法
通过防火墙的远程抓包功能可以抓取经过防火墙和上送防火墙处理的报文，抓满后将其发送给pc，pc上面通过Firewall_Packetyzer.exe工具接收，保存为cap格式，可以通过抓包工具打开分析报文的正确性。
[U [USG5000]acl 3333
[USG5000-acl-adv-3333]rule  permit  ip source 172.16.133.30 0 destination  172.16.202.12 0 //源和目的ip越精确越好，否则对设备性能影响比较大
[U [USG5000]interface  GigabitEthernet 0/0/0 //进入需要抓包的接口视图
[U [USG5000-GigabitEthernet0/0/0]firewall packet-capture 3333 queue 0 //指定acl规则和队列
SG [USG5000-GigabitEthernet0/0/0]quit
2.[USG5000]firewall packet-capture startup difficult 300 //开始抓包。simple:报文长度小于100byte，difficult:不限制大小
3.[USG5000]firewall packet-capture send queue 0 ip 1.1.1.1 //抓满后，使用命令将报文发送给PC，PC需要打开软件接收。
1.1.1.1指的是打开Firewall_Packetyzer.exe工具的PC。
   [USG5000]display firewall packet-capture statistic  //显示抓包情况和统计
   [USG5000]display firewall packet-capture queue 0  //显示队列是情况和统计
   [USG5000]undo firewall packet-capture startup  //测试完成后，关闭抓包功能，否则对设备性能存在一定的消耗
------>远程抓包客户端，在PC上面运行接收防火墙发送的抓包内容

使用限制
vpn报文或者防火墙自身发送的报文远程抓包功能是抓不到的，建议在非业务高峰进行。

秒客网

防火墙的配置命令

3 个解决方案

#1

#2

#3

#1

#2

#3

相关文章