（word完整版）USG防火墙故障定位汇总

文档名称

文档密级

USG防火墙故障定位主要命令汇总

故障定位

在现网出现故障时，如何排除和定位防火墙是否转发报文或者丢弃报文，可采用以下方法按顺序进行，总的原则就是先确定是否是防火墙丢包，然后再定位报文是否到达防火墙。

1. 查看会话 使用场合

针对可以建会话的报文，可以通过查看会话是否创建以及会话详细信息来确定报文是否正常通过防火墙。

命令介绍

display firewall session table [ verbose ] [ source { inside ip-address |

global ip-address } ] [ destination { inside ip-address | global ip-address } ] [ source-vpn-instance { vpn-instance-name | public } ] [ dest-vpn-instance { vpn-instance-name | public } ] [ applicationprotocol–name1 ] [ protocolprotocol–name2 ] [ nat ][ source-portsource-port ] [ destination-portdestination-port ] [ long-link ]

使用方法

首先确定该五元组是否建会话，对于TCP/UDP/ICMP（ICMP只有echo request和echo reply建会话）/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP等报文防火墙不建会话。如果会话已经建立，并且一直有后续报文命中刷新(有报文命中时，Left会被刷新成与TTL相同的值)，基本可以排除防火墙的问题。如果没有对应的五元组会话或者对于不建会话的报文，继续后续排查方法。 Global：表示在做NAT时转换后的IP；

Inside：表示在做NAT时转换前的IP。对于现网不做NAT的场景，选择inside和global参数都一样。

使用示例

display firewall session table verbose destination inside 10.110.40.76

Current total sessions : 1 sqlnet VPN:public --> public

Zone: untrust--> trust TTL: 11:06:40 Left: 10:57:00 Interface: GigabitEthernet9/0/0 NextHop: 0.0.0.0 MAC: 00-00-00-00-00-00

2020-3-27

华赛机密，未经许可不得扩散 第1页, 共15页

文档名称

文档密级

<--packets:2 bytes:88 -->packets:3 bytes:410 10.127.67.34:49161-->10.110.40.76:1521

上面显示目的地址为10.110.40.76的报文的会话，该会话为sqlnet数据库连接会话。关键信息解释如下所示：

Zone: untrust -> trust 源域为untrust，目的域为trust（源域 -> 目的域） TTL: 11:06:40 Left: 10:57:00 TTL表示会话的老化时间，Left表示还剩余多少时间该会话老化

Interface: GigabitEthernet9/0/0 正向会话出接口 <--packets:2 bytes:88 反向会话的报文数和字节数 -->packets:3 bytes:410 正向会话的报文数和字节数

10.127.67.34:49161-->10.110.40.76:1521 -->表示首包方向

使用限制

对于TCP/UDP/ICMP/GRE/ESP/AH的报文防火墙会建会话，其它比如SCTP/OSPF/VRRP报文，无法使用该方法排查。

2. 检查接口状态 使用场合

在报文不通时，可以先检查接口状态，排除由于接口down而导致报文不通的情况。

命令介绍

display interface brief

使用方法

查看接口物理层和协议层状态，正常情况下接口物理层（Physical）和协议层（Protocol）都是up，如果有down现象，检查连线、光纤、光模块、网线是否有问题，更换光纤、光模块、网线尝试。

使用示例

display interface brief PHY: Physical

*down: administratively down (s): spoofing

InUti/OutUti: input utility/output utility

Interface PHY Protocol InUti OutUti inErrors outErrors

Eth-Trunk0 up up 0.01% 0.01% 0 0 GigabitEthernet0/0/1 up up 0.06% 0.02% 0 0

GigabitEthernet0/0/2 up up 0.06% 0.02% 0 0

GigabitEthernet0/0/3 down down 0% 0% 0 0

2020-3-27

华赛机密，未经许可不得扩散 第2页, 共15页

文档名称

文档密级

GigabitEthernet0/0/4 down down 0% 0% 0 0 GigabitEthernet0/0/0 up up 0.01% 0.01% 0 0

GigabitEthernet0/0/5 down down 0% 0% 0 0 GigabitEthernet0/0/6 down down 0% 0% 0 0 GigabitEthernet0/0/7 down down 0% 0% 0 0 GigabitEthernet0/0/8 down down 0% 0% 0 0 GigabitEthernet1/0/0 down down 0% 0% 0 0 GigabitEthernet1/0/1 down down 0% 0% 0 0 GigabitEthernet1/0/2 down down 0% 0% 0 0 GigabitEthernet1/0/3 down down 0% 0% 0 0 GigabitEthernet1/0/4 down down 0% 0% 0 0 GigabitEthernet1/0/5 down down 0% 0% 0 0 GigabitEthernet1/0/6 down down 0% 0% 0 0 GigabitEthernet1/0/7 down down 0% 0% 0 0 GigabitEthernet8/0/0 up up 0.01% 0.07% 23 0

GigabitEthernet8/0/1 up up 0.07% 0.01% 0 0

GigabitEthernet9/0/0 up up 0.01% 0.02% 0 0

GigabitEthernet9/0/1 up up 0.02% 0.01% 0 0

NULL0 up up(s) 0% 0% 0 0 Vlanif1557 up up -- -- 0 116

使用限制

无

3. 检查接口统计信息 使用场合

在发现报文传输有性能下降或者ping有丢包时，可以检查接口统计信息，确认接口是否有丢包。

命令介绍

display interface [ interface-type [interface-number] ]

使用方法

1、查看接口下是否有error，确认FCS / collisions有无增长，如果有增长，则需要确认接口双工模式和速率是否与对端设备一致。

Align Errors：对齐错误，即传送的包中存在不完整的字节，包括前导码

和帧间隙。 Collision Errors：半双工时，发生碰撞的错误包。

runts：超短包，长度小于64字节但CRC值正确的数据包。

2020-3-27

华赛机密，未经许可不得扩散

第3页, 共15页

文档名称

文档密级

giants：超长包，长度大于1618(如果带vlan是1622)字节的CRC值正确

的数据包。 FCS/CRC （Input）：长度为64至1618字节之间但CRC值不正确的数据

包。（路由器中长度为64至1618字节之间的Alignment、Dribble错包也在此类中统计）。 Error（Input）：PHY层发现的错误包。 Overrun（Input）：接收队列满而丢弃的包。

Late Collision ：半双工时，发送64字节后发生碰撞的错误包。 Defferred ：包被滞后发送错误。 Lost Carrier : 载波扩展错误。 No Carrier : 无载波错误。

2、查看接口出入方向统计是否正在增加，如果有增加则说明该接口链路正常。

3、查看接口协商的情况，包括协商速率，全双工/半双工等。

4、关注接口五分钟流量统计与正常时的差别，关注业务经过设备的两个方向出入接口流量是否差不多。

使用示例

display interface GigabitEthernet 1/0/0

GigabitEthernet1/0/0 current state : UP Line protocol current state : UP GigabitEthernet1/0/0 current firewall zone : trust Description : USG Series, GigabitEthernet1/0/0 Interface The Maximum Transmit Unit is 1500 bytes, Hold timer is 10(sec) Internet Address is 11.110.30.17/24 IP Sending Frames' Format is PKTFMT_ETHNT_2, Hardware address is 0018-82fd-9d3b

Media type is twisted pair, loopback not set, promiscuous mode not set 1000Mb/s-speed mode, Full-duplex mode, link type is auto negotiation flow control is disable Output queue : (Urgent queue : Size/Length/Discards) 0/50/0 Output queue : (Protocol queue : Size/Length/Discards) 0/1000/0 Output queue : (FIFO queuing : Size/Length/Discards) 0/75/0 Last 5 minutes input rate 1083 bytes/sec, 11 packets/sec Last 5 minutes output rate 1019 bytes/sec, 10 packets/sec Input: 15901905 packets, 3060644220 bytes 180 broadcasts, 19745 multicasts 5920 errors, 0 runts, 0 giants, 0 throttles, 0 CRC, 0 frames, 5920 overruns, 0 align errors Output: 10641815 packets, 1764395150 bytes 200 broadcasts, 0 multicasts 0 errors, 0 underruns, 0 collisions, 0 late collisions, 0 deferred, 0 lost carrier, 0 no carrier

如上显示，Input方向出现了5920个overruns，很有可能之前出现了瞬间很大的流量，导致overruns丢包。

2020-3-27

华赛机密，未经许可不得扩散

第4页, 共15页