《usg防火墙故障定位汇总》由会员分享，可在线阅读，更多相关《usg防火墙故障定位汇总（13页珍藏版）》请在金锄头文库上搜索。
1、USG防火墙故障定位主要命令汇总故障定位在现网出现故障时，如何排除和定位防火墙是否转发报文或者丢弃报文，可采 用以下方法按顺序进行，总的原则就是先确定是否是防火墙丢包，然后再定位报 文是否到达防火墙。1. 查看会话使用场合针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信 息来确定报文是否正常通过防火墙。命令介绍display firewall session table verbose source inside ip-address | global ip-address destination inside ip-address | global ip-address sour
2、ce-vpn-instance vpn-instance-name| public dest-vpn-instance vpn-instance-name | public applicationprotocol - namel protocol protocol - name2 nat source-port source-port destination-portdestination-port long-link 使用方法首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echo request和echo reply建会话）/GRE/ESP/AH的报文防火墙会建会话，
3、 其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立， 并且一直有后续报文命中刷新（有报文命中时，Left会被刷新成与TTL相 同的值），基本可以排除防火墙的问题。如果没有对应的五元组会话或者 对于不建会话的报文，继续后续排查方法。Global：表示在做NAT时转换后的IP；Inside：表示在做NAT时转换前的IP。对于现网不做NAT的场景， 选择inside和global参数都一样。使用示例 display firewall session table verbose destination insideCurrent total sessions : 1sqlne
4、t VPN:public - publicZone: untrust- trust TTL: 11:06:40 Left: 10:57:00Interface: GigabitEthernet9/0/0 NextHop: MAC: 00-00-00-00-00-00packets:3 bytes:410:49161-:1521上面显示目的地址为的报文的会话，该会话为sqlnet数据库连接会 话。关键信息解释如下所示：Zone: untrust - trust 源域为untrust，目的域为trust （源域- 目的域）TTL: 11:06:40 Left: 10:57:00 TTL表示会话的老
5、化时间，Left表示还剩余多少时间该 会话老化Interface: GigabitEthernet9/0/0 正向会话出接口packets:3 bytes:410正向会话的报文数和字节数:49161-:1521 -表示首包方向使用限制对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如 SCTP/OSPF/VRRP报文，无法使用该方法排查。2. 检查接口状态使用场合在报文不通时，可以先检查接口状态，排除由于接口 down而导致报 文不通的情况。命令介绍display interface brief使用方法查看接口物理层和协议层状态，正常情况下接口物理层（Physic
6、al） 和协议层（Protocol）都是up，如果有down现象，检查连线、光纤、光 模块、网线是否有问题，更换光纤、光模块、网线尝试。使用示例 display interface briefPHY: Physical*down: administratively down（s）: spoofingInUti/OutUti: input utility/output utilityInterfacePHYProtocolInUtiOutUtiinErrorsoutErrorsEth-Trunk0upup% %00GigabitEthernet0/0/1upup% %00GigabitEther
7、net0/0/2upup% %00GigabitEthernet0/0/3downdown0%0%00GigabitEthernet0/0/4downdown0%0%00GigabitEthernet0/0/0upup% %00GigabitEthernet0/0/5downdown0%0%00GigabitEthernet0/0/6downdown0%0%00GigabitEthernet0/0/7downdown0%0%00GigabitEthernet0/0/8downdown0%0%00GigabitEthernet1/0/0downdown0%0%00GigabitEthernet1
8、/0/1downdown0%0%00GigabitEthernet1/0/2downdown0%0%00GigabitEthernet1/0/3downdown0%0%00GigabitEthernet1/0/4downdown0%0%00GigabitEthernet1/0/5downdown0%0%00GigabitEthernet1/0/6downdown0%0%00GigabitEthernet1/0/7downdown0%0%00GigabitEthernet8/0/0upup% %230GigabitEthernet8/0/1upup% %00GigabitEthernet9/0/
9、0upup% %00GigabitEthernet9/0/1upup% %00NULL0upup(s)0%0%00Vlanif1557upup-0116使用限制无3. 检查接口统计信息使用场合在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计 信息，确认接口是否有丢包。命令介绍display interface interface-typeinterface-numbej 使用方法1、查看接口下是否有error，确认FCS / collisions有无增长，如 果有增长，则需要确认接口双工模式和速率是否与对端设备一致。Align Errors :对齐错误，即传送的包中存在不完整的字
10、节，包 括前导码和帧间隙。Collision Errors：半双工时，发生碰撞的错误包。runts：超短包，长度小于64字节但CRC值正确的数据包。giants：超长包，长度大于1618（如果带vlan是1622）字节的 CRC值正确的数据包。FCS/CRC（Input）：长度为64至1618字节之间但CRC值不正确 的数据包。（路由器中长度为64至1618字节之间的Alignment. Dribble错包也在此类中统计）。Error （Input）： PHY层发现的错误包。Overrun （ Input）:接收队列满而丢弃的包。Late Collision :半双工时，发送64字节后发生碰撞
11、的错误包。Defferred :包被滞后发送错误。Lost Carrier :载波扩展错误。No Carrier :无载波错误。2、查看接口出入方向统计是否正在增加，如果有增加则说明该接口 链路正常。3、查看接口协商的情况，包括协商速率，全双工/半双工等。4、关注接口五分钟流量统计与正常时的差别，关注业务经过设备的 两个方向出入接口流量是否差不多。使用示例 display interface GigabitEthernet 1/0/0 GigabitEthernet1/0/0 current state : UP Line protocol current state : UP Gigabit
12、Ethernet1/0/0 current firewall zone : trust Description : USG Series, GigabitEthernet1/0/0 Interface The Maximum Transmit Unit is 1500 bytes, Hold timer is 10(sec) Internet Address is /24 IP Sending Frames Format is PKTFMT_ETHNT_2, Hardware address is 0018-82fd-9d3b Media type is twisted pair, loopb
13、ack not set, promiscuous mode not set 1000Mb/s-speed mode, Full-duplex mode, link type is auto negotiation flow control is disable Output queue : (Urgent queue : Size/Length/Discards) 0/50/0 Output queue : (Protocol queue : Size/Length/Discards) 0/1000/0 Output queue : (FIFO queuing : Size/Length/Di
14、scards) 0/75/0 Last 5 minutes input rate 1083 bytes/sec, 11 packets/sec Last 5 minutes output rate 1019 bytes/sec, 10 packets/sec Input: packets, 20 bytes 180 broadcasts, 19745 multicasts 5920 errors, 0 runts, 0 giants, 0 throttles, 0 CRC, 0 frames, 5920 overruns, 0 align errors Output: packets, 50 bytes 200 broadcasts, 0 multicasts 0 errors, 0 underruns, 0 collisions, 0 late collisions, 0 deferred, 0 lost carrier, 0 no carrier如上显示，Input方向出现了 5920个 ove
