USG防火墙故障定位汇总选读.docxVIP

文档名称文档密级  TIME \@ yyyy-M-d 2017-8-12华赛机密，未经许可不得扩散第PAGE15页, 共 NUMPAGES \* Arabic \* MERGEFORMAT 15页 USG防火墙故障定位主要命令汇总 故障定位 在现网出现故障时，如何排除和定位防火墙是否转发报文或者丢弃报文，可采用以下方法按顺序进行，总的原则就是先确定是否是防火墙丢包，然后再定位报文是否到达防火墙。 1. 查看会话 使用场合 针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。 命令介绍 display firewall session table [ verbose ] [ source { inside ip-address | global ip-address } ] [ destination { inside ip-address | global ip-address } ] [ source-vpn-instance { vpn-instance-name | public } ] [ dest-vpn-instance { vpn-instance-name | public } ] [ applicationprotocol–name1 ] [ protocolprotocol–name2 ] [ nat ][ source-portsource-port ] [ destination-portdestination-port ] [ long-link ] 使用方法 首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echo request和echo reply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立，并且一直有后续报文命中刷新(有报文命中时，Left会被刷新成与TTL相同的值)，基本可以排除防火墙的问题。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。 Global：表示在做NAT时转换后的IP； Inside：表示在做NAT时转换前的IP。对于现网不做NAT的场景，选择inside和global参数都一样。 使用示例 USG display firewall session table verbose destination inside 10.110.40.76Current total sessions : 1  sqlnet VPN:public -- public Zone: untrust-- trust TTL: 11:06:40 Left: 10:57:00 Interface: GigabitEthernet9/0/0 NextHop: 0.0.0.0 MAC: 00-00-00-00-00-00 --packets:2 bytes:88 --packets:3 bytes:410 10.127.67.34:49161--10.110.40.76:1521 上面显示目的地址为10.110.40.76的报文的会话，该会话为sqlnet数据库连接会话。关键信息解释如下所示： Zone: untrust - trust 源域为untrust，目的域为trust（源域 - 目的域） TTL: 11:06:40 Left: 10:57:00 TTL表示会话的老化时间，Left表示还剩余多少时间该会话老化 Interface: GigabitEthernet9/0/0 正向会话出接口--packets:2 bytes:88 反向会话的报文数和字节数 --packets:3 bytes:410 正向会话的报文数和字节数 10.127.67.34:49161--10.110.40.76:1521 --表示首包方向 使用限制 对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP报文，无法使用该方法排查。 2. 检查接口状态 使用场合 在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。 命令介绍 display interface brief 使用方法 查看接口物理层和协议层状态，正常情况下接口物理层（Physical）和协议层（Protocol）都是up，如果有down现象，检查连线、光纤、光模块、网线是否有问题，更换光纤、光模块、网线尝试。 使用示例 USG display