华为USG防火墙运维命令大全
华为USG防火墙和H3C三层交换机设备组网配置简述
VLAN102为 172.26.12.254 port 9-12 与客户机连接
VLAN103为 172.26.13.254 port13-18与视频服务器连接
VLAN104为 172.26.14.254 port 19-24 备用
Authorization-attribute level 3
Service-type ssh telnet
VLAN 100
Port G1/0/1 TO G1/0/2
Quit
Vlan 101
Port g1/0/3 to g1/0/8
Quit
VLAN 102
Port G1/0/9 TO G1/0/12
Quit
Vlan 103
Port g1/0/13 to g1/0/18
Quit
Vlan 104
Port g1/0/19 to g1/0/24
Quit
Interface Vlan-interface 100
Ip address 172.26.10.253 255.255.255.0
Quit
Interface Vlan-interface 101
Ip address 172.26.11.254 255.255.255.0
Quit
Interface Vlan-interface 102
Ip address 172.26.12.254 255.255.255.0
Quit
Interface Vlan-interface 103
Ip address 172.26.13.254 255.255.255.0
1.笔记本连接三层交换机配置口，进入命令行配置模式
华为防火墙配置使用手册(自己写)[4]
![华为防火墙配置使用手册(自己写)[4]](https://img.taocdn.com/s3/m/2085ce1fcdbff121dd36a32d7375a417866fc10f.png)
华为防火墙配置使用手册(自己写)华为防火墙配置使用手册一、概述二、防火墙基本概念包过滤防火墙：它只根据数据包的源地址、目的地址、协议类型和端口号等信息进行过滤，不对数据包的内容进行分析。
它的优点是处理速度快，开消小，但是安全性较低，不能阻挠应用层的攻击。
状态检测防火墙：它在包过滤防火墙的基础上，增加了对数据包的连接状态的跟踪和记录，可以识别出非法的连接请求和数据包，并拒绝通过。
它的优点是安全性较高，可以阻挠一些常见的攻击，但是处理速度较慢，开消较大。
应用代理防火墙：它对数据包的内容进行深度分析，可以识别出不同的应用协议和服务，并根据应用层的规则进行过滤。
它的优点是安全性最高，可以阻挠复杂的攻击，但是处理速度最慢，开消最大。
访问控制：它可以根据源地址、目的地址、协议类型、端口号、应用类型等信息对网络流量进行分类和过滤，实现对内外网之间访问权限的控制和管理。
虚拟专网：它可以建立安全隧道，实现不同地域或者组织之间的数据加密传输，保证数据的机密性、完整性和可用性。
内容安全：它可以对网络流量中携带的内容进行检查和过滤，如、网页、文件等，并根据预定义的规则进行拦截或者放行。
用户认证：它可以对网络访问者进行身份验证，如用户名、密码、证书等，并根据不同的用户或者用户组分配不同的访问权限和策略。
流量管理：它可以对网络流量进行统计和监控，如流量量、流量速率、流量方向等，并根据预定义的规则进行限制或者优化。
日志审计：它可以记录并保存网络流量的相关信息，如源地址、目的地址、协议类型、端口号、应用类型、过滤结果等，并提供查询和分析的功能。
三、防火墙配置方法命令行界面：它是一种基于文本的配置方式，用户可以通过控制台或者远程终端访问防火墙，并输入相应的命令进行配置。
它的优点是灵便性高，可以实现细致的配置和管理，但是需要用户熟悉命令的语法和逻辑。
图形用户界面：它是一种基于图形的配置方式，用户可以通过浏览器或者客户端软件访问防火墙，并通过或者拖拽等操作进行配置。
华为常用命令及用法
华为常用命令及用法一、基础命令1. 查看和配置IP地址•查看接口信息：display interface brief•进入接口配置模式：interface <interface_name>•配置IP地址：ip address <ip_address> <mask>•结束接口配置：quit•保存配置：save2. 查看和配置VLAN•查看VLAN信息：display vlan brief•进入VLAN配置模式：vlan <vlan_id>•配置VLAN名称：name <name>•添加端口到VLAN：port <interface_name> <vlan_mode> <vlan_id>（vlan_mode为access或trunk）•删除端口从VLAN：undo port <interface_name>3. 查看和配置静态路由•查看路由表：display ip routing-table•进入路由配置模式：ip route-static <destination_network> <mask> <next_hop>•撤销静态路由：undo ip route-static <destination_network> <mask> <next_hop>二、高级命令1. 配置OSPF•进入OSPF进程配置模式：ospf <process_id>•配置区域：area <area_id>•配置区域内路由器：network <network> <mask> [advertise]•配置区域间路由器：area-range <start_address> <end_address>•配置重分布：import-route <protocol> <process_id>•退出OSPF进程配置模式：quit2. 配置ACL•进入ACL配置模式：acl number <acl_number>•配置规则：rule <rule_id> [deny|permit] <source> <destination> [service]•应用ACL：traffic-filter <acl_number> [<in|out>]•退出ACL配置模式：quit3. 配置QoS•进入策略模式：traffic classifier <classifier_name>•配置分类规则：if-match <acl_number>•进入行为模式：traffic behavior <behavior_name>•配置动作：remark <remark_value>•配置队列：queue <queue_id>•应用策略：traffic policy <policy_name>•退出策略模式：quit4. 配置NAT•启用NAT：nat enable•进入NAT地址池配置模式：nat address-group <group_id>•配置地址池：address <start_address> <end_address> [mapping <mapping_address>]•进入ACL配置模式：acl number <acl_number>•配置规则：rule <rule_id> [source <source>] [destination <destination>] [service <service>] [action <action>]•应用NAT：nat policy <acl_number>•退出ACL配置模式：quit三、故障排除命令1. 查看日志•查看系统日志：display logbuffer•根据等级过滤日志：display logbuffer filter-error•清除日志缓冲：clear logbuffer2. 查看接口状态•查看接口状态：display interface <interface_name>•查看接口统计信息：display interface <interface_name> statistics3. 查看路由信息•查看路由表：display ip routing-table•查看OSPF邻居信息：display ospf neighbor•查看BGP邻居信息：display bgp peer4. 远程诊断•进入远程诊断模式：ping•Ping测试：ping <destination_address>•Traceroute测试：tracert <destination_address>•退出远程诊断模式：quit四、安全命令1. 查看用户•查看当前用户：display users•查看用户权限：display aaa2. 配置SSH•进入SSH配置模式：ssh server•启用SSH服务：telnet server enable•配置最大用户数：user-max <max_user>•退出SSH配置模式：quit3. 配置防火墙•开启防火墙：firewall enable•进入防火墙规则配置模式：acl number <acl_number>•配置入站规则：rule <rule_id> [source <source>] [destination <destination>] [service <service>] [action <action>]•配置出站规则：rule <rule_id> [destination <destination>] [source <source>] [service <service>] [action <action>]•应用防火墙策略：firewall policy <acl_number>•退出防火墙规则配置模式：quit以上是华为常用命令及用法的简要介绍，通过掌握这些命令，可以有效地进行网络设备的配置和故障排除工作。
华为 USG6712E USG6716E 第一代防火墙说明书
Huawei USG6712E/USG6716ENext-Generation FirewallsWith the continuous digitalization and cloudification of enterprise services, networks play an important rolein enterprise operations, and must be protected. Network attackers use various methods, such as identityspoofing, website Trojan horses, and malware, to initiate network penetration and attacks, affecting thenormal use of enterprise networks.Deploying firewalls on network borders is a common way to protect enterprise network security. However,firewalls can only analyze and block threats based on signatures. This method cannot effectively handleunknown threats and may deteriorate device performance. This single-point and passive method doesnot pre-empt or effectively defend against unknown threat attacks. Threats hidden in encrypted traffic inparticular cannot be effectively identified without breaching user privacy.Huawei's next-generation firewalls provide the latest capabilities and work with other security devicesto proactively defend against network threats, enhance border detection capabilities, effectively defendagainst advanced threats, and resolve performance deterioration problems. Network Processors providefirewall acceleration capability, which greatly improves the firewall throughput.Product AppearancesUSG6712E/USG6716EProduct HighlightsComprehensive and integrated protection• Integrates the traditional firewall, VPN, intrusion prevention, antivirus, data leak prevention, bandwidth management, URL filtering, and online behavior management functions all in one device.• Interworks with the local or cloud sandbox to effectively detect unknown threats and prevent zero-day attacks.• Implements refined bandwidth management based on applications and websites, preferentially forwards key services, and ensures bandwidth for key services.More comprehensive defense• The built-in traffic probe of a firewall extracts traffic information and reports it to the CIS, a security big data analysis platform developed by Huawei. The CIS analyzes threats in the traffic, without decrypting the traffic or compromising the device performance. The threat identification rate is higher than 90%.• The deception system proactively responds to hacker scanning behavior and quickly detects and records malicious behavior, facilitating forensics and source tracing.High performance• Uses the network processing chip based on the ARM architecture, improving forwarding performance significantly.• Enables chip-level pattern matching and accelerates encryption/decryption, improving the performance for processing IPS, antivirus, and IPSec services.• The throughput of a 1U device can reach 160 Gbit/s.High port density• The device has multiple types of interfaces, such as 100G, 40G, and 10G interfaces. Services can be flexibly expanded without extra interface cards.DeploymentData center border protection• Firewalls are deployed at egresses of data centers, and functions and system resources can be virtualized.The firewall has multiple types of interfaces, such as 100G, 40G, and 10G interfaces. Services can be flexibly expanded without extra interface cards.• The 18-Gigabit intrusion prevention capability effectively blocks a variety of malicious attacks and delivers differentiated defense based on virtual environment requirements to guarantee data security.• VPN tunnels can be set up between firewalls and mobile workers and between firewalls and branch offices for secure and low-cost remote access and mobile working.Enterprise border protection• Firewalls are deployed at the network border. The built-in traffic probe extracts packets of encrypted trafficand sends the packets to the CIS, a big data analysis platform. In this way, threats in encrypted traffic are monitored in real time. Encrypted traffic does not need to be decrypted, protecting user privacy and preventing device performance deterioration.• The deception function in enabled on the firewalls to proactively respond to malicious scanning behaviorand associate with the CIS for behavior analysis to quickly detect and record malicious behavior, protecting enterprise against threats in real time.• The policy control, data filtering, and audit functions of the firewalls are used to monitor social networkapplications to prevent data breach and protect enterprise networks.Hardware1. HDD/SSD Slot2. 20 x 10GE (SFP+)3. 4 x 40GE (QSFP+)4. 2 x HA (SFP+)5. 1 x USB3.06. 1 x GE (RJ45) management port7. 2 x 100GE (QSFP28)8. Console port USG6712E/USG6716ESoftware FeaturesSpecificationsSystem Performance and Capacity1. P erformance is tested under ideal conditions based on RFC2544, 3511. The actual result may vary with deployment environments.2. Antivirus, IPS, and SA performances are measured using 100 KB HTTP files.3. F ull protection throughput is measured with Firewall, SA, IPS, Antivirus and URL Filtering enabled. Antivirus, IPS and SA performances are measured using 100 KB HTTP files.4. F ull protection throughput (Realworld) is measured with Firewall, SA, IPS, Antivirus and URL Filtering enabled, Enterprise Mix Traffic Model.5. SSL inspection throughput is measured with IPS-enabled and HTTPS traffic using TLS v1.2 with AES128-GCM-SHA256.6. SSL VPN throughput is measured using TLS v1.2 with AES128-SHA.*SA: Service Awareness.Note: All data in this document is based on USG V600R006.Hardware Specifications1. S ome 10G ports and 100G ports are mutually exclusive. The ports can be configured as follows: 2 * 100G (QSFP28) + 2 * 40G (QSFP+) + 12 * 10GE (SFP+) + 2 * 10GE (SFP+) HA or 4 * 40G (QSFP+) + 20 * 10GE (SFP+) + 2 * 10GE (SFP+) HACertificationsRegulatory, Safety, and EMC ComplianceOrdering GuideAbout This PublicationThis publication is for reference only and does not constitute any commitments or guarantees. All trademarks, pictures, logos, and brands mentioned in this document are the property of Huawei Technologies Co., Ltd. or a third party.For more information, visit /en/products/enterprise-networking/security.Copyright©2019 Huawei Technologies Co., Ltd. All rights reserved.。
华为交换机维护基础-常用维护命令
vlan-vpn vid vlan-id uplink interface-type interface-number [ untagged ]
必选
配置对指定内层标签的报文添加外层VLAN Tag
raw-vlan-id inbound vlan-id-list
必选
8500配置步骤 进入系统视图 进入以太网端口视图 system-view
命令 -
说明
interface interface-type interface-number
下发三层流分类规则的 命令形式
traffic-redirect inbound ip-group { acl-number | acl-name } [ rule rule [ system-index index ] ] nested-vlan nested-vlanid
维护基础－常用维护命令 Display version：查看设备使用的版本 Display cpu：查看设备的CPU使用率是否正常（一般超过40％就为不 正常） Display memory：查看内存使用率 Display device：看看到底配置了哪些单板 Display environment：关键是设备温度有问题吗 Display interface：查看端口状态 Display debug：查看debug开关 Display logbuffer：看看日志中有什么异常告警吗 Display trapbuffer：看看日志中有什么异常告警吗 Display mac-address:查看mac表 Display diagnostic-information ：非常全面的诊断信息，是800和研发 分析问题的重要依据。
对匹配ACL流规 则的报文 设置外层 VLAN Tag
常用网络防火墙管理命令与技巧(五)
常用网络防火墙管理命令与技巧随着网络安全威胁的不断增加，网络防火墙成为保护企业和个人信息安全的关键设备之一。
网络防火墙管理命令和技巧是网络安全人员必备的知识和技能。
本文将介绍一些常用的网络防火墙管理命令和技巧，以帮助读者更好地保护网络安全。
一、防火墙基础知识在介绍网络防火墙管理命令和技巧之前，我们首先来了解一些防火墙的基础知识。
防火墙是一种网络安全设备，通过过滤和控制网络流量来保护网络免受未经授权的访问和攻击。
防火墙的主要功能包括网络流量过滤、访问控制、入侵检测和阻止、虚拟专用网络（VPN）等。
二、常用管理命令1. 查看防火墙状态：通过命令"show firewall"或"showsecurity policy"可以查看当前防火墙的状态，包括已配置的策略、连接状态和其他相关信息。
2. 添加和删除防火墙策略：通过命令"set firewall policy"可以添加或修改防火墙策略，通过命令"delete firewall policy"可以删除已有的防火墙策略。
3. 配置网络地址转换（NAT）：通过命令"set firewall nat"可以配置网络地址转换，将内部IP地址映射为外部可公开访问的IP地址，以保护内部网络的安全。
4. 管理入侵检测系统（IDS）：通过命令"set security ips"可以配置入侵检测系统，对网络中的异常流量进行识别和阻止，以防止潜在的攻击。
三、常用管理技巧1. 命令行快捷键：在配置防火墙时，使用命令行界面是一个高效的方式。
掌握一些常用的命令行快捷键，如Tab键自动补全命令、Ctrl+C中断执行、Ctrl+Z挂起执行等，可以提高工作效率。
2. 使用正则表达式：正则表达式是一种强大的文本模式匹配工具，在防火墙管理中可以用于配置策略、过滤日志等。
例如，通过使用正则表达式可以迅速过滤出指定源IP或目标端口的网络流量。
华为防火墙NAT配置命令
私网用户通过NAPT方式访问Internet（备注：在这种环境中，外网只能ping通外网口，公网没有写入到内网的路由，所以前提是内网只能ping通外网口，但走不到外网口以外的网络，做了NAT之后，内网可以通外网任何网络，但是外网只能ping到本地内网的外网口。
）本例通过配置NAPT功能，实现对少量公网IP地址的复用，保证公司员工可以正常访问Internet。
组网需求如图1所示，某公司内部网络通过USG9000与Internet相连，USG9000作为公司内网的出口网关。
由于该公司拥有的公网IP地址较少（202.169.1.21～202.169.1.25），所以需要利用USG9000的NAPT功能复用公网IP地址，保证员工可以正常访问Internet。
图1 配置私网用户通过NAPT方式访问Internet组网图配置思路1.完成设备的基础配置，包括配置接口的IP地址，并将接口加入安全区域。
2.配置安全策略，允许私网指定网段访问Internet。
3.配置NAT地址池和NAT策略，对指定流量进行NAT转换，使私网用户可以使用公网IP地址访问Internet。
4.配置黑洞路由，防止产生路由环路。
操作步骤1.配置USG9000的接口IP地址，并将接口加入安全区域。
# 配置接口GigabitEthernet 1/0/1的IP地址。
<USG9000> system-view[USG9000] interface GigabitEthernet 1/0/1[USG9000-GigabitEthernet1/0/1] ip address 10.1.1.10 24[USG9000-GigabitEthernet1/0/1] quit# 配置接口GigabitEthernet 1/0/2的IP地址。
[USG9000] interface GigabitEthernet 1/0/2[USG9000-GigabitEthernet1/0/2] ip address 202.169.1.1 24[USG9000-GigabitEthernet1/0/2] quit# 将接口GigabitEthernet 1/0/1加入Trust区域。
usg6325e使用手册800字左右
usg6325e使用手册800字左右标题：USG6325E使用手册简介尊敬的用户，感谢您选择华为USG6325E下一代防火墙。
本手册旨在帮助您了解和掌握USG6325E的基本操作和功能配置。
手册的内容涵盖了从设备的安装、初始化到日常维护的所有环节，希望能为您的使用带来便利。
一、产品概述华为USG6325E是一款高性能、多功能的企业级防火墙，它集成了传统防火墙、入侵防御系统、反病毒、URL过滤等多种安全功能。
同时，USG6325E还支持丰富的网络特性，如路由、NAT、QoS等，能满足企业用户的多样化需求。
二、设备安装在安装USG6325E时，请确保电源供应稳定，环境温度适中，避免设备过热。
按照手册中的指示连接电源线和网线，并确认设备正常启动。
三、初始配置首次使用USG6325E，需要进行初始化配置。
您可以使用Web界面或命令行方式进行配置。
我们建议您使用Web界面进行配置，因为它更加直观易用。
四、基本操作USG6325E提供了丰富的管理功能，包括用户管理、策略管理、日志管理等。
您可以根据实际需求，灵活配置这些功能。
五、高级功能USG6325E除了提供基础的安全防护功能外，还支持多种高级功能，如应用识别、深度包检测、SSL加密流量检测等。
这些功能可以帮助您更深入地了解网络状况，提高网络安全防护能力。
六、故障处理如果在使用过程中遇到问题，您可以查阅手册中的故障处理部分。
这部分内容详细列出了可能出现的问题及其解决方案，帮助您快速解决问题。
七、维护与升级为了保证USG6325E的正常运行，我们建议您定期进行设备维护和软件升级。
手册中提供了详细的维护和升级指导。
总结，华为USG6325E下一代防火墙是一款功能强大、易于使用的网络安全设备。
希望本手册能帮助您更好地理解和使用这款产品。
如果您在使用过程中有任何问题，欢迎随时联系我们的技术支持团队。
华为防火墙配置使用手册(自己写)[5]
华为防火墙配置使用手册(自己写)一、网络拓扑一台华为USG6000E防火墙，作为网络边界设备，连接内网、外网和DMZ区域。
一台内网交换机，连接内网PC和防火墙的GE0/0/1接口。
一台外网路由器，连接Internet和防火墙的GE0/0/2接口。
一台DMZ交换机，连接DMZ区域的WWW服务器和FTP服务器，以及防火墙的GE0/0/3接口。
一台内网PC，IP地址为10.1.1.2/24，作为内网用户，需要通过防火墙访问Internet和DMZ区域的服务器。
一台WWW服务器，IP地址为192.168.1.10/24，作为DMZ区域的Web 服务提供者，需要对外提供HTTP服务。
一台FTP服务器，IP地址为192.168.1.20/24，作为DMZ区域的文件服务提供者，需要对外提供FTP服务。
Internet用户，需要通过防火墙访问DMZ区域的WWW服务器和FTP服务器。
图1 网络拓扑二、基本配置本节介绍如何进行防火墙的基本配置，包括初始化配置、登录方式、接口配置、安全区域配置等。
2.1 初始化配置防火墙出厂时，默认的管理接口为GE0/0/0，IP地址为192.168.1. 1/24，开启了DHCP服务。
默认的用户名为admin，密码为Admin123。
首次登录防火墙时，需要修改密码，并选择是否清除出厂配置。
步骤如下：将PC与防火墙的GE0/0/0接口用网线相连，并设置PC的IP地址为19 2.168.1.x/24（x不等于1）。
在PC上打开浏览器，并输入192.168.1.1访问防火墙的Web界面。
输入默认用户名admin和密码Admin123登录防火墙，并根据提示修改密码。
新密码必须包含大小写字母、数字和特殊字符，并且长度在8到32个字符之间。
选择是否清除出厂配置。
如果选择是，则会删除所有出厂配置，并重启防火墙；如果选择否，则会保留出厂配置，并进入Web主界面。
2.2 登录方式2.2.1 Web登录Web登录是通过浏览器访问防火墙的Web界面进行管理和配置的方式。
华为防火墙配置使用手册
华为防火墙配置使用手册摘要：一、华为防火墙配置概述二、华为防火墙基本配置1.登录华为防火墙2.配置管理IP地址3.配置接口地址4.配置路由5.配置访问控制列表（ACL）三、高级配置1.配置NAT2.配置DHCP3.配置防火墙策略4.配置安全策略5.配置入侵检测和防御四、故障排除与维护1.常见故障排除2.防火墙性能优化3.安全策略调整4.系统升级与维护五、总结正文：华为防火墙配置使用手册华为防火墙是一款高性能的网络防火墙，能够有效保护企业网络免受各种网络攻击。
本文将详细介绍华为防火墙的配置使用方法。
一、华为防火墙配置概述华为防火墙配置主要包括基本配置和高级配置两部分。
基本配置包括管理IP地址、接口地址、路由等设置；高级配置包括NAT、DHCP、防火墙策略等设置。
二、华为防火墙基本配置1.登录华为防火墙使用Console口或Telnet方式登录华为防火墙。
2.配置管理IP地址进入系统视图，设置管理IP地址。
例如：```[Huawei-GigabitEthernet0/0/1]ip address 192.168.1.1255.255.255.0```3.配置接口地址进入接口视图，设置接口地址。
例如：```[Huawei-GigabitEthernet0/0/0]ip address 192.168.1.2255.255.255.0```4.配置路由设置路由表，使防火墙能够进行路由转发。
例如：```[Huawei-ip route-table]ip route 192.168.1.0 24 192.168.1.2```5.配置访问控制列表（ACL）设置ACL，以限制网络流量。
例如：```[Huawei-GigabitEthernet0/0/0]acl number 2000[Huawei-GigabitEthernet0/0/0]acl 2000 rule 0 permit ip source 192.168.1.1 0```三、高级配置1.配置NAT设置NAT地址转换，使内部网络设备能够访问外部网络。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
华为USG防火墙运维命令大全 1查会话 使用场合 针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。 命令介绍（命令类） display firewall session table [ verbose ] { source { inside | global } | destination { inside | global } } [ source-vpn-instance { STRING<1-19> | public } | dest-vpn-instance { STRING<1-19> | public } ] [ application { gtp | ftp | h323 | http | hwcc | ras | mgcp | dns | pptp | qq | rtsp | ils | smtp | sip | nbt | stun | rpc | sqlnet | mms } ] [ nat ] [ destination-port INTEGER<1-65535> ] [ long-link ] 使用方法（工具类） 首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echo request和echo reply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立，并且一直有后续报文命中刷新，基本可以排除防火墙的问题，除非碰到来回路径不一致情况，需要关闭状态检测。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。 Global：表示在做NAT时转换后的IP。 Inside：表示在做NAT时转换前的IP。 ? 使用示例 display firewall session table verbose source inside ???????????????????????????????????????????????????????????? 14:29:51? 2010/07/01???????????????????????????????????????????????????????????????????????????????????????? ??????????????????????? Current total sessions : 1????????????????????????????????????????????????????????????????????????????????????????????????????????? ? icmp? VPN: public ->public????????????????????????????????????????????????????????????????????? ????????????????????????????????? ? Zone: trust -> local? TTL: 00:00:20? Left: 00:00:20?????????????????????????????????????????????????????????????????????????????? ? Interface: I0? Nexthop: ? MAC: 00-00-00-00-00-00????????????????????????????? ??????????????????????????????????????????? ? <-- packets:4462 bytes:374808?? --> packets:4461 bytes:374724???????????????????????????????????????????????????????????????????? ? :43986<--:43986? ?????????????????????????????????????????????????????????????????????? 这里显示源地址为的报文的会话。这条会话为icmp会话。以下是关键信息的解释： Zone: trust -> local 首包会话方向源域为trust，目地域为local（源域 -> 目的域） TTL: 00:00:20? Left: 00:00:20 ttl表示会话表老化时间，left表示会话表剩余多少时间老化 Interface: I0? Nexthop: ? MAC: 00-00-00-00-00-00 会话首包方向出接口、下一跳IP地址和MAC地址 <-- packets:4462 bytes:374808?? --> packets:4461 bytes:374724 <--代表会话inbound方向的字节数和报文数，-->代表会话outbound方向/同域的字节数和报文数 :43986<--:43986 <--?表示会话首包是inbound，--> 表示会话首包是outbound或者同域 使用限制 对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP无法使用该方法排查。 ?
2检查接口状态 使用场合 在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。 命令介绍 display ip interface brief 使用方法 查看接口物理层和协议层状态，正常情况下三层接口物理层（Physical）和协议层（Protocol）都是up，如果有down现象，检查网线连接和网线(光纤，光模块)本身是否有问题，更换网线(光纤，光模块)尝试。 使用示例 [USG5360]display ip interface brief *down: administratively down (l): loopback (s): spoofing Interface?????????????????? IP Address????? Physical Protocol Description GigabitEthernet0/0/0??????? ?? up?????? up?????? Huawei, USG5000 GigabitEthernet0/0/1??????? ??? up ??????up?????? Huawei, USG5000 GigabitEthernet0/0/2??????? ???????? up?????? up?????? Huawei, USG5000 GigabitEthernet0/0/3??????? ????? ???down???? down???? Huawei, USG5000 GigabitEthernet1/0/0??????? unassigned????? down???? down???? Huawei, USG5000 GigabitEthernet1/0/1??????? unassigned????? up?????? down???? Huawei, USG5000 如上显示，GigabitEthernet0/0/3和GigabitEthernet1/0/0的物理层是down，其中GigabitEthernet0/0/3已经配置了IP地址，而GigabitEthernet1/0/0未配置，物理层down可能是因为网线被拔出或网线出问题，或者是与其对接的接口down，需要检查线路。GigabitEthernet1/0/1的协议层down是因为没有配置ip地址。 ? 3检查接口统计信息 使用场合 在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计信息，确认接口是否有丢包。 命令介绍 display interface [ interface-type [interface-number] ] 使用方法 查看接口下是否有error，确认CRC/ collisions有无增长，如果有增长确认接口双工模式和速率是否与对端设备一致。
Align?Errors：对齐错误，即传送的包中存在不完整的字节，包括前导码和帧间隙。 Collision Errors：碰撞错误。 runts：超短包，长度小于64字节但CRC值正确的数据包。 giants：超长包，长度大于1618(如果带vlan是1622)字节的CRC值正确的数据包。 CRC?（Input）：长度为64至1618字节之间但CRC值不正确的数据包。（路由器中长度为64至1618字节之间的Alignment、Dri类中统计）。 Error（Input）：PHY层发现的错包。 Overrun（Input）：接收队列满失败包。 Late Collision?（Output）：发送64字节后发生碰撞的错误包。 查看出入接口统计是否计数正在增加，如果有增加则说明该接口链路正常，如果只有一条流则可以确定报文是否进入防火墙。 查看接口协商的情况，包括协商速率，全双工/半双工等。 关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。 使用示例 GigabitEthernet1/0/0 current state : UP????????????????????????????????????? ??????????????????????????????????????????????????????? Line protocol current state :