华为USG防火墙运维命令大全

华为USG防火墙运维命令大全

工查会话

使用场合

针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来磔定报文是否正常通过防火墙。

命令介绍（命令类）

displayfirewallsessiontable[verbose]{source{insideX.X.X.X|globalX.X.X.X}|destination{insideX.X.X.X

IglobalX.X.X.X}}[source-vpn-instance{STRING<1-19>|public}|dest-vpn-instance{STRING<1-19>|public}]

[application{gtp|ftp|h323|http|hwcc|ras|mgcp|dns|pptp|qq|rtsp|ils|smtp|sip|nbt|stun

Irpc|sqlnet|mms}][nat][destination-portINTEGER<l-65535>][long-link]

使用方法（工具类）

首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echorequest和echoreply建会话）/GRE/ESP/AI的报文防火墙

会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立，并且•直有后续报文命中刷新，基本可以排除防

火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排

杳方法。

Global：表示在做NAT时转换后的IP。

Inside：表示在做NAT时转换前的IP。

使用示例

<USG536O>displayfircwal1sessiontableverbosesourceinside

10.160.30.2

14:29:512010/07/01

Currenttotalsessions:

1

icmpVPN:public

->pu?lic

Zone:trust->localTIL:00:00:20Left:

00:09:20

Interface:10Nexthop:127.0.0.1MAC:

oo-oo-oo-oo-oo-oo

<-packets:4462bytes:374808—>packets:4461

bytes:374724

10.160.30.17:43986<—10.160.30.2:43986

这里显示源地址为10.160.30.2的报文的会话。这条会话为icmp会话。以下是关键信息的解释:

Zone:trust->local

首包会话方向源域为trust,目地域为local（源域目的域）

TTL:00:00:20Left:00:00:20

表示会话表老化时间，1”（表示会话表剩余多少时间老化

Interface:10Nexlhop:127.0.0.1MAC:00-00-00-00-00-00

会话首包方向出接口、下一跳IP地址和MAC地址

<-packets:4462bytes:374808—>packets:4461bytes:374724

<一代表会话inbound方向的字节数和报文数，一》代表会话outbound方向/同域的字节数和报文数

10.160.30.17:43986<—10.160.30.2:43986

〈一表示会话首包是inbound,—>表示会话首包是outbound或者同域

使用限制

对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话,其它比如SCTP/OSPF/VRRP无法使用该方法排查。

2检查接口状态

使用场合

在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。

命令介绍

displayipinterfacebrief

使用方法

查看接口物理层和协议层状态，正常情况P三层接口物理层（Physical）和协议层（Protocol）都是up,如果有down现象，检

查网线连接和网线（光纤，光模块）本身是否有问题，更换网线（光纤，光模块）尝试。

使用示例

[USG5360]displayipinterfacebrief

*dowi:administrativelydown

(1):loopback

(s):spoofing

InterfaceIPAddressPhysicalProtocolDescription

Giga)itEthernetO/O/O192.168.1.124upupHuawei,USG5000

Giga)itEihernetO/0/110.160.30.17upupHuawei,USG5000

GigaJitEthernetO/O/22.1.1.2upupHuawei,USG5C00

GigabitEthernetO/O/33.1.1.2downdownHuawei,USG5000

GigabitEthernetl/O/OurassigneddowndownHuawei,USG5000

Giga)itEthernet1/0/1urassignedupdownHuawei,USG5000

如上显示，GigabitEthernetO/O/3和GigabitEthernetl/O/O的物理层是down,其中GigabitEthernelO/O/3已经配置了IP地址,而

Giga)itEthernetl/O/O未配置，物理层dcwn可能是因为网线被拔出或网线出问题，或者是与其对接的接口down,需要检查线路。

GigaoitEthernet1/0/1的协议层down是因为没有配置ip地址。

3检查接口统计信息

使用场合

在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计信息，确认接口是否有丢包。

命令介绍

displayinterface[interface-type[interface-number]]

使用方法

查看接口下是否有error,确认CRC/collisions有无增长，如果有增长确认接口双工模式和速率是否与对端设的•致.

AlignErrors：对齐错误，即传送的包中存在不完整的字节，包括前导码和帧间隙。

CollisionErrors：碰撞钳误。

runts：超短包，长度小于64字节但CRC值正确的数据包.

giants：超长包，长度大于1618(如果带vlan是1622)字节的CRC值正确的数据包。

CRC(Input)：长度为64至1618字节之间但CRC值不正确的数据包。(路由器中长度为64至1618字节之间的Alignment、

类中统计)。

Error(Input)：PHY层发现的错包。

Overrun(Input)：接收队列满失败包。

LateCollision(Output)：发送64字节后发生碰撞的错误包。

jg看出入接口统计是否计数正在增加，如果有增加则说明该接口链路正常，如果只有余流则可以确定报文是否进入防火墙。

查看接口协商的情况，包括协商速率，全双工/半双工等。

关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。

使用示例

Giga)itEthernet1/0/0currentstate:

UP

Lineprotocolcurrentstate:

UP

GigajitEthernet1/0/0currentfirewal1zone:

trust

Description:Huawei,USG5000Series,GigabitEthernet1/0/0

Interface

TheMaximumTransmitUnitis1500bytes,Holdtimeris

10(sec)

InternetAddressis

11.110.30.17/24

IPSendingFrames'FormatisPKTEMTETHNT_2,Hardwareaddressis

0018-82fd-9d3b

Mediatypeistwistedpniv,loopbneknotset,promiscuousmodenot

set

1000i!b/s-speedmode,Full-duplexmode,linktypeisauto

negotiation

flowcontrolis

disable

Outputqueue:(Urgentqueue:

Size/Length/Discards)0/50/0

Outputqueue:(Protocolqueue:Size/Length/Discards)

0/1090/0

Outputqueue:(FIFOqueuing:

Size/Length/Discards)0/75/0

Last5minutesinputrate1083bytes/sec,

11packets/sec

Last5minutesoutputrate1019bytcs/scc,

10packcts/scc

Input:15901905packets,3060644220

bytes

180broadcasts,19745

multicasts

5920errors,0runts,0giants,0

throttles,

0CRC,0frames,5920overruns,0align

errors

Output:10641815packets.1764395150

bytes

200broadcasts,0

multicasts

0ei-rors,0underruns,0collisions,0late

collisions,

0deferred,0lestcarrier,0nocarrier

如上显示，Input方向出现了5920个overruns,很有可能之前出现了瞬间很大的流量，导致overruns丢包。

4查看防火墙系统统计

使用场合

通过查看防火墙系统统计，可以得到各种报文的统计值，以及各种丢包情况等信息。

命令介绍

displayfirewallstatisticsystem

使用方法

查看当前系统总会活数，TcpSessioiKUDPSessioiKICMPsession这三项统计值的和

查看TCP半连接数，CurHalfCon统计值就是半连接数，通过该值可以确认半连接数是否过多，是否受到syn-flood攻击

查看防火墙转发TCP业务是否丢包，便用RcHCPpkts、RcvTCPbytes.PassTCPpkts.PassTCPOcls统计值，正常情况下Pass和

Rev不会相差很多

会话创建是否失败

根据发送报文的类别查看是否存在丢包，从这个统计可以查看出是否存在因攻击防范，包过滤等引起的丢包，以及根据收到

ICMP./UDP/TCP报文个数和转发的个数计算被防火墙丢弃的个数。

5查看设备的运行状况

使用场合

在发现设备的告警灯亮时或者其他如接口无法UP等异常情况时，可以查看设备的运行状况，看主控板、接口卡等电否运行正常。

如果有器件显示故障，需尽快分析。

命令介绍

displaydevice

使用方法

直接执行displaydevice。

使用示例

<Eud?mon>display

device

SccowayUSG5360*sDevice

status:

Slot

#TypeOnlineStatus

0RPUPresentNormal

22GEPresentNormal

3PWR(AC)PresentAbnormal

4PWR(AC)PresentNormal

5FANPresentNormal

报告

电梯直达I-J

小小车1.3C9发表于2015-3-2713:57:30

只看该作者£

6查看告警信息

使用场合

在发现设备的告警灯亮时或者在H志中发现如风扇灯硬件相关信息时，可以查看告警信息来确定问题，具体告警的信息参见

《USG5300和E200告警.xls》。

命令介绍

displayalarmurgent

使用方法

直接执行displaydiagnostic-informalion<>

使用示例

<Eudemon>displayalarm

urgent

Alarm

IDSlotDateTimeParalPara2

4310/7

/711:28:41255

4310/7

/710:19:8255

7查看内存使用率

使用场合

当防火墙自身某些业务运行不稳定时，可以查看一下内存使用率，看是否是内存消耗过多导致。内存占有率不应过高。超过80%

时需要分析当时的路由表容量和其他防火墙自身相关业务。

命令介绍

displaymemory-usage

使用方法

在系统视图下执行displaymemory-usage*

使用示例

[Eudemon]display

memory-usage

Memoryutilizationstatisticsat2010-07-0719:27:3850

ms

SystemTotalMemoryIs:2147483648

bytes

TotalMemoryUsedIs:1013878696

bytes

MemoryUsingPercentageIs:

47%

8查看CPU使用率

使用场合

CPU占有率应正常，与当前开展的业务类型和转发流量相符。超过60%应分析当时的业务流量。USG5300是由转发平面转发的,

通常CPU使用率与流量关系不大，只与业务类型有关，一般的来说，软件IPSEC/L2TP/ASPF/NATALG对CPU资源消耗较大。

命令介绍

displaycpu-usagc-for-uscr

使用方法

直接执行displaycpu-usagc-for-uscr0

使用示例

<Eudemon>tlisplay

cpu-jsage-for-user

=====CurrentCPUusageinfo

CPUAverageUsage(5seconds):6%

CPUAverageUsage(30seconds):6%

CPUAverageUsage(5minutes):6%

9检查各器件温度信息和电压信息

使用场合

在发生硬件故障时，可以查看各器件温度信息和电压信息等，判断是否是温度或电压的异常引起的问题。

命令介绍

displayenvironment

使用方法

直接执行displayenvironment*

使用示例

<Eud?mon>display

environment

Environment

information:

Temperature

information:

localCurrentTemperatureLowLimitHighLimitStatus

(Celsius)(Celsius)(Celsius)

(OK/FIL)

CPU44085OK

VENT29065OK

Voltage

information:

CheckpointReferenceVolRangeCurrentVolStatus

DD?1.8V1710"1890

1790mVOK

10-12.5V2362"2613

2494mVOK

10-23.3V3126"3455

3299mVOK

t〜___

10-31.8V1710t1890

1820mVOK

CPU1.ov950'1050

mVlOOOmVOK

FAN9.OV8520'9420

mV8940mVOK

US35.OV4732'5226

mV5044mVOK

10查看日志

使用场合

在发生故障以后，可以杳看日志，杳找之前发生过的和当前故障相关的信息，从而定位故障原因。从日志中能看到，接口UP/fX)WN\

主备切换、攻击事件、命令行执行记录等信息。

命令介绍

displaylogbuffer

使用方法

直接执行displaylogbuffer。

使用示例

<USG33G0>displaylogbuffer

Loggingbufferconfigurationand

contents:enabled

Allowedmaxbuffersize:

1024

Actualbuffersize:

512

Channelnumber:4,Channelname:

logbuffer

Droppedmessages:

0

Overwrittenmessages:

0

Currentmessages:

58

2010-07-1910:31:58USG5360%%01SHELL/5/CMD(l):task:co0ip:**user:**vrf:public

command:displaylogbuffer

2010-07-1910:30:48USG5360%%01SHELL/5/L0GIN(l):vrf:publicuser:Consoleloginfrom

conO

2010-07-1910:28:24USG5360%%01PHY/2/PHY(l):GigabitEthernetD/0/2:changestatusto

up

2010-07-1910:28:19USG5360%%01PHY/2/PHY(l):GigabitEthernetD/0/2:changestatusto

down

2010-07-1910:27:22USG5360%%01PHY/2/PHY(l):GigabitEthernetD/0/2:changestatusto

up

2010-07-1910:25:42USG5360%%01SHELL/5/CMD(l):task:co0ip:**user:**vrf:publiccommand:undodebugging

all

2010-07-1910:25:42USG5360%%01SHELL/5/L0G0UT(l):vrf:publicuser:Consolelogoutfrom

conO

2010-07-1910:25:41USG5360%%01HWCM/5/EXIT(l):exitfromconfiguremode

包迪支持（）反对（）

报告

小小李1.3CO发表于201532713:58:01

只看该作者■

回复2楼

江查看丢包统计，确定是否丢包

使用场合

在无法确认报文是否经过防火墙，防火墙是否丢包时，可以查看丢包统计，并对每种丢包统计查询丢包手册，得到发生问题的可

能性，

命令介绍

displaydataplanediscard

[undo]firewalldebug_statisticacl〈3000-3999〉enable

displayfirewalldebug_statistic

使用方法

报文进入防火墙创建会话之前大部分丢包位置都进行了记录，可以通过下面方式查看。进入隐臧模式，按照下面的顺序查看：

1)[Eudemon_VC-A-hidecmdJresetdataplanediscard〃清除当前丢包统计

2)[Eudemon_VC-A-hidecmd]disp1aydataplanediscard〃显示丢包函数

DP_FW_Rcv:100

DP_FW_FirstRcv:0

DP_FW_DefaultRcv:0

DP_FW_FragRcv:0

3)[Eudemon_VC-A-hidecmd]disp1aydatap1anediscardDP_FW_Rcvverbose〃根据丢包函数具体查看丢包位

置，

18:00:102009/06/10

DP_FW_Rcv:exit

0:0

DP_FW_Rcv:exit

1:0

DP_FW_Rcv:exit

2:0

DP_FW_Rcv:exit

3:100

DP_FW_Rcv:exit

4:0

DP_FW_Rcv:exit

5:0

4)根据上面查看到的函数，在《USG5300丢包原因查看手册》查询丢包原因。

如果丢包位置较多，无法确定具体丢包位置，则可以通过下面方法调试。

[USG5360]acl3333

[USG5360-ac1-adv-3333]rulepermitipsource172.16.133.300

destination172.16.202.120〃规则越精确越好,保证debug统计的数据流

尽量少，否则对设备性能影响比较大

[USG5360-hidecmd]firewal1debugstatisticacl3333enable〃进入

狱模式

[CSG5360-hidecrad]disp1ayfirewalldebugstatistic〃查看结果

；USG5360-hidecmd]undofirewalldebug_statisticacl3333

enable〃测试完成后，取消调试命令，否则对设备性能存在一定的消耗

根据具体的原因采取相应的措施，如果未查找到丢包，则就继续后面的检查。

使用限制

基于流的丢包统计建议在非业务高峰进行

12使用远程抓包抓取报文

使用场合

在发生故障后，通过检查配置和统计信息无法定位时，可以通过近程抓包抓取指定流的报文进行分析。

命令介绍

见使用方法

使用方法

通过防火墙的远程抓包功能可以抓取经过防火墙和上送防火墙处理的报文，抓满后将其发送给pc,pc上面通过

Fi：©口1^2。1<€1丫261\€戏工具接收，保存为cap格式，可以通过抓包工具打开分析报文的正确性。

[U[USG5000]acl3333

[USG5000-acl-adv-3333]ruleperiritipsource172.16.133.300

destination172.16.202.120〃源和目的ip越精确越好,否则对设备性能影

响比较大

[U[USG5000]interfaceGigabitEthernet0/0/0//进入需要抓包的接口视图

[U[USG5000-GigabitEthernetO/O/O]firewal1packet-capture3333queue0//

指定acl规则和队列

SG[USG5000-GigcibilEtheme10/0/0]quiI

2.[USG5000]firewallpacket-capturestartupdifficult300//开始抓包。

simple:报文长度小于lOObyte,difficult:不限制大小

3.[USG5000]firewallpacket-capturesendqueue0ip1.1.1.1//抓满后，

使用命令将报文发送给PC,PC需要打开软件接收。

1.1.1.1指的是打开Firewall_Packetyzer.exe工具的PC.

[USG5000]displayfirewallpacket-capturestatistic〃显示抓包情

况和统计

[USG5000]displayfirewallpacket-capturequeue0〃显示队列是情

况和统计

[USG5000]undofirewallpacket-capturestartup//'测试完成后，关闭

抵包功能，否则对设备性能存在一定的消耗

------〉远程抓包客户端，在PC上面运行接收防火墙发送的

抓包内容

使用限制

vpn报文或者防火墙自身发送的报文远程抓包功能是抓不到的，建议在非业务高峰进行。

旦检查ARP表项

使用场合

在设备接口UP时，如果ping对端设备不通，可以检查arp表项是否正常。

命令介绍

displayarp（路由模式下显示arp衣项）

displayarpbridge（透明模式下显示arp表项）

displayfirewalltransparent-modeadcress-table（透明模式下显示MAC转发表）

debuggingarppacket

使用方法

查看防火墙上下行设备的ARP表项是否正确，如果不正确或者经常变化请检查网络是否存在多个设备回应ARP应容情况。可以使

用debuggingarppacket调试命令检查设备的ARP请求和应答情况。

使用示例

<USG5360>display

arp

14:17:412010/07/02

IPADDRESSMACADDRESSEXPIRE(M)TYPE

INTERFACEVPN-INSTANCE

VLAN

PVC

10.11.20022-al00-18csIGE0/0/3

10.1.1.1OOcO-fcOO-OOOc7DGE0/0/3

2.1,1.20022al00I8c9IGEO/O/2

10.160.30.170022-al00-18e8IGE0/0/1

10.160.30.20022-al00-18a018DGE0/0/1

192.168.1.1240022-al00-18e7IGE0/0/0

Total:6Dynamic:2Static:0Interfaced

<USG5360>debuggingarp

packet

14:18:492010/07/02

<USG5360>t

d

14:18:502010/07/02

Displaythedebugginginformationtoterminalmnyusealargenumberofepuresourceandresu11insystem'sreboot!

Continue?[Y/N]:y

%Currentterminaldebuggingison

<USG5360>

0.9980433USG5360%%01ARP/7/arp_rcv(c):ReceiveanARPPacket,operation:1,sender_eth_addr:00e0-fc00-000c,

sender.ip_addr:10.

1.1.1,target_eth_addr:0000-0000-0000,target.ip_addr:

10.11.2

0.9980683USG5360%%01ARP/7/arp_send(d):SendanARPPacket,operation:2,sender_eth_addr:

0022-al00-18ea,sender_ip_addr:10.1.1

.2,target_eth_addr:00e0-fc00-000c,target_ip_addr:10.1.1.1

使用限制

displayarp只对三层口有意义。

以检查路由

使用场合

在设备接口UP时，但如果ping远端设备或PC不通，可以检杳一下路由表项毡否正常。

命令介绍

displayfib

displayiprouting-tabic

使用方法

使用命令displayfib或displayiprouting-tabic查看防火墙fib表是否有相应的路由,并检查是否正确。针对动态路由请使

用displayospfpeer、displayospfbrief等ospf命令检查ospf是否正常；针对静态路由，使用displaycurrentconfiguration

Iincludeiproutestatic命令检查是否添加相应的静态P音由。

使用示例

<USG5360>displayfib

14:20:572010/07/02

Destination/MaskNexthopFlag

TimeStampInterface

0.0.0.0/010.160.3C.2GSUt[0]GigabitEthernetO/O/1

0.0.0.0/0192.168.1.156GSUt[0]GigabitEthernetO/O/O

0.0.0.0/010.1.1.1GSUt[0]GigabitEthernetO/O/3

10.11.2/32127.0.0.1GHUt[0]InLoopBackO

10.1.1.0/2410.1.1.2Ut[0]GigabitEthcrnct0/0/3

218.0.0.0/810.160.30.2GSUt[0]GigabitEthcrnct0/0/1

10.160.30.0/2410.160.30.17Ut[0]GigahitEthcrnctO/O/1

192.168.1.0/24192.168.1.124Ut[0]GigabitEthcrnctO/O/O

5.1.1.1/32127.0.0.1GHUt[0]InLoopBackO

2.1.1.2/32127.0.0.1GHUt[0]InLoopBackO

10.160.30.17/32127.0.0.1GUIt[0]InLoopBackO

192.168.1.124/32127.0.0.1GHlt[0]InLoopBackO

5.1.1.0/245.1.1.1ut[0]LoopBackO

127.0.0.0/8127.0.0.1ut[0]InLoopBackO

<USG5360>displayip

routing-table

14:21:322010/07/02

RoutingTabic:public

net

Dcstination/MaskProtocol

PreCostNexthopInterface

0.0.0.0/0STATIC60010.1.1.IGE0/0/3

10.160.30.2GE0/0/

1

192.168.1.15eGEO/O/O

5.1.1.0/24DIRECT005.1.1.1LoopBackO

5.1.1.1/32DIRECT00127.0.0.1InLoopBackO

10.1.1.0/24DIRECT00101.1.2GE0/0/3

10.11.2/32DIRECT00127.0.0.1InLoopBackO

10.160.30.0/24DIRECT0010.160.30.17GEO/O/1

10.160.30.17/32DIRECT00127.0.0.1InLoopBackO

127.0.0.0/8DIRECT00127.0.0.1InLoopBackO

127.0.0.1/32DIRECTC0127.0.0.1InLoopBackO

192.168.1.0/24DIRECT00192.168.1.124GEO/O/O

192.168.1.124/32DIRECT00127.0.01InLoopBackO

218.0.0.0/8STATIC60010.160.30.2GE0/0/1

15检查IPSEC统计

使用场合

如果配置了IPSEC,可以先检查IPSEC统计，看报文在IPSEC中是否能正常处理。

命令介绍

displayipsecstatistics

使用方法

使用displayipsecstatistics查看防火墙IPSEC隧道相关的统计，统计里面标记出了具体的IPSEC报文的丢包原因，根据这个

可以确定是否是因为IPSEC原因引起的丢包。

使用示例

[USG5360]displayipsec

statistics

15:55:412010/07/01

thesecuritypacket

statistics:

input/outputsecuritypackets:

100/100

input/outputsecuritybytes:

8000/8000

input/outputdroppedsecuritypackets:

65/0

droppedsecuritypacket

detail:

noenoughmemory:

0

can'tfindSA:

0

queueisfull:

0

authenticationisfailed:

0

wronglength:

0

replaypacket:

0

toolongpacket:

0

wrongSA:

0

encryfail:

0

decryfail:

0

checkaclcar:

0

speedlimitcar:

0

pre-checkfaiI:

65

succced-chcckfai1:

0

otherreasons:0

如上显示precheckfail统计值为65,说明这里发生了前反查欠败的情况，需要检查对端是「行需要IPSEC封装的报文宜接将原始报

文发送过来了。并检查ACL,看是否两端的ACL不致。

点评回好支持（）反对（）

报告

小小生1.3C3发表于2U15-3-2713:!）«:2K

只有该作者£

回复3楼

至检查IP/ICMP统计

使用场合

当经过防火墙的业务发生延迟或者下降时，也可以查看ip报文统计信息来定位问题原因。

命令介绍

displayipstatistics

displayicmpstatistics

使用方法

查看noroute/TTLexceeded等异常计数是否在增长，如果增长比较快，使用debuggingipicmp调试命令查看输出的调试信息

是否与发生中断的业外有关。

使用示例

内网用户通过E200做NATOutbound访问Internet.发现E200的CPI使用率很高，经常达到100%。查看icmp统计:

<Eudemon>displayicmp

statistics

Iiput:badformats0bad

checksum0

echo0destination

unreachable0

source

quench0redirects0

echoreply0parameter

problem0

timestamp0information

request0

maskrequests0mask

replies0

time

exceeded0

Output:echo0destination

unreachable3327150

source

quench0redirects86

echoreply0parameter

problem0

timestamp0information

reply0

maskrequests0mask

replies0

timeexceeded0

出现大量目的不可达。一般是有"大地:访问防火墙自身的流量。出现这种情况：一是，有大量针对防火墙的攻击流量；二姑，防火

墙MT地址池地址使用防火墙接口地址，有大量无会话访问NAT地址池地址的流量。规避这个问题的方法是配置严格的到防火搞自身

的包过滤。

出现大量重定向。一般是出现了路由乐路。出现路由环路一般是有大量无会话访问NAT地址池地址的流量，但NAT地址池地址不

是防火墙接口地址。以NAT地址池地址为目的地址的报文，防火墙杳路由，仍向外网口发送，但防火墙下行设备认为该地址的目的路

由在防火墙上，将报文又发【可到防火墙，从而导致路由环路。规避这个问题的方法是对NAT地址池地址配置黑洞路由。

工Z打开IP调试开关调试

使用场合

访问防火墙白身的地址时，可以通过打开ip调试开关，来确定报文是否到达防火墙，以及是否从防火墙发出。

命令介绍

debuggingippacket[acl<2000-3999)]

使用方法

检查防火墙是否收到相应的报文，在现网设备上配置一条未使用的ACL,假定发生中断的业务源IP地址为3.4.0.23,目的IP地

址为防火墙自身[P,协议类型为ICMP,未使用的ACL编号为ACL3999,

使用示例

[Eudemonjacl3999

[Eudemon-acl-adv-3999]rulepermiticmpsource3.4.0.230

[Eudemon-acl-adv-3999]rulepermiticmpdestination3.4.0.230

然后在用户视图卜输入以卜命令打开IP调试开关调试

<Eud?mon>debuggingippacketacl3999

<Eud?mon>terminalmonitor

<Eudemon>terminaldebugging

查看调试信息，调试信息如果类似如下，则可以排除防火墙问题。

2009-06-1311:23:26USG5360%%01IP/8/debug_case(d):

Receiving,interface=GigabitEthcrnctO/0/0,version=4,headlen=20,tos=0,

pktlen=60,pktid=42962,offset=0,ttl=128,protocol=1,

checksum=36046,s=3.4.0.23,d=2.4.0.2

pronnt:ReceivingIPpacketfromGiggbitEthcrnctO/0/0

2009-06-1311:23:26USG5360%%01IP/8/debug_case(d):

Delivering,interface=,version=4,headlen=20,tos=0,

pktlen=60,pktid=42962,offset=0,ttl=128,protocol=1,

checksum=36046,s=3.4.0.23,d=2.4.0.2

prompt:IPpacketisdelivering

up!

2009-06-1311:23:26USG5360%%01IP/8/debug_case(d):

Sending,interface=GigabitEthernetG/0/0,version=4,headlen=20,tos=0,

pktlen=60,pktid=5,offset=0,ttl=255,protocol=1,

checksum=46491,s=3.4.0.2,d=3.4.0.23

promot:SendingthepacketfromlocalatGigabitEthernet0/0/0

使用限制

只有到防火墙自身的报文或从防火墙自身发出的报文才能通过debuggingippacket查看到。

西检查防火墙双机热备配置

使用场合

双机热备组网发生故障时，需要先检杳VRRP进而HRP的状态，再进•步定位问题。

命令介绍

displayhrpstate

displayvrrp

使用方法

对于双机热笛组网，检查两台防火瑜、用T、HRP配置是否正常，使用displayhrpstate,display检查两台防火墙主备状

志。对丁两台设备相对应的VRRF备份组，不能出现双主状态，否则影响上下行设侪的ARF学习。如果状态不对，请修改并检查故障

是否消除（再查看会话表和丢包统计）。

使用示例

主设备匕

IIRP_M<Eudemon>displayhr