防火墻用戶手冊

USG6550防火墻

用戶手冊

目錄

前言...................................................錯誤!未定義書簽。

1查看類................................................................1

1.1查看設備運行狀態(tài)....................................................2

1.2查看接口流量........................................................9

1.3查看ESN和系列號(USG6000).............................................15

1.4查看ESN和系列號(USG9500).............................................15

1.5查看光模塊信息.....................................................17

1.6查看會話表.........................................................19

1.7查看日志...........................................................23

1.8查看報表...........................................................25

1.9查看VPN狀態(tài).......................................................26

2配置類...............................................................29

2.1創(chuàng)建新的管理員.....................................................29

2.2修改管理員密碼.....................................................32

2.3修改Web服務端口號.................................................32

2.4更新License............................................................33

2.5備份配置文件.......................................................36

2.6配置IP-MAC綁定...................................................38

2.7配置NAT...............................................................40

3故障類...............................................................44

3.1復原管理員密碼....................................................44

3.2復原出廠配置.......................................................45

3.3復原配置文件.......................................................48

3.4升級特征庫.........................................................49

3.5升級系統(tǒng)軟件.......................................................59

3.6采集故障信息.......................................................60

4附錄.................................................................62

4.1危急操作一覽表.....................................................62

1JL查看類

關于本章

i.i查看設備運行狀態(tài)

介紹查看設備運行狀態(tài)的相關操作。

1.2查看接口流量

介紹查看接口流量的相關操作。

1.3查看ESN和系列號(USG6000)

通過displayesn吩咐可以查看設備與各部件的ESN。

1.4查看ESN和系列號(USG9500)

通過displayesn吩咐可以查看設備與各部件的ESN。

1.5查看光模塊信息

通過displayesninterface吩咐可以查看光模塊信息。

1.6查看會話表

會話表是設備轉發(fā)報文的關鍵表項。所以當出現業(yè)務故障時，通?？?/p>

以通過Web查看會話表信息，大致定位發(fā)生故障的模塊或階段。

1.7查看日志

1.8查看報表

介紹查看報表的相關操作。

1.9查看VPN狀態(tài)

1.1查看設備運行狀態(tài)

介紹查看設備運行狀態(tài)的相關操作。

通過Web方式查看設備部件狀態(tài)

選擇“面板>設備資源信息”，查看CPU運用率、內存運用率、CF卡

運用率，如圖1T所示。

圖皿設備資源信息

設備資源信息

CPU使用率：9%內存使用率：41%CF卡使用率：25%

參數說明

CPU運用率以標度盤和百分比顯示當前CPU的運用狀況。

當儀表盤指針移到黃色區(qū)域，表示當前CPU運

用率達到預警狀態(tài)。當儀表盤指針移到紅色區(qū)

域，表示當前CPU運用率達到警告狀態(tài)。

CPU運用率代表當前設備處理業(yè)務的繁忙程

度，假如CPU運用率始終居高不下，可能是設

備處理實力達到極限，不滿意當前網絡的部署

需求，建議更換高處理性能的設備。

內存運用率以標度盤和百分比顯示當前內存的運用狀況。

當儀表盤指針移到黃色區(qū)域，表示當前內存運

用率達到預警狀態(tài)。當儀表盤指針移到紅色區(qū)

域，表示當前內存運用率達到警告狀態(tài)。

CF卡運用率以標度盤和百分比顯示當前CF卡的運用狀況。

當儀表盤指針移到黃色區(qū)域，表示當前CF卡運

用率達到預警狀態(tài)。當儀表盤指針移到紅色區(qū)

域，表示當前CF卡運用率達到警告狀態(tài)。

在軟件或特征庫等升級前，請確定剩余空間大

參數說明

小是否可存放待升級的文件。假如空間不足，

須要清理無用文件以保證存儲空間滿意新須

要。

通過CLI方式查看設備部件狀態(tài)

查看設備狀態(tài)。通常在發(fā)覺某單板運行不正常時查看該單板狀態(tài)。

<FW>displaydevice

USG6380'sDevicestatus:

SlotSubTypeOnlinePowerRegister

StatusRole

0RPUPresentPowerOnRegistered

NormalMaster

1FIBAPresentPowerOnRegistered

NormalNA

5-PWRPresentPowerOnRegistered

NormalNA

7FANPresentPowerOnRegistered

NormalNA

<FW>displaydevice

USG9560'sDevicestatus:

Slot#TypeOnlineRegisterStatus

Primary

-—————-

1LPUPresentRegisteredNormalNA

2SPUPresentRegisteredNormalNA

6LPUPresentRegisteredNormalNA

8SPUPresentRegisteredNormalNA

9MPUPresentNANormal

Master

10MPUPresentRegisteredNormal

Slave

12SFUPresentRegisteredNormalNA

13SFUPresentRegisteredNormalNA

14CLKPresentRegisteredNormal

Master

15CLKPresentRegisteredNormal

Slave

16PWRPresentRegisteredAbnormalNA

17PWRPresentRegisteredNormalNA

18FANPresentRegisteredNormalNA

19FANPresentRegisteredNormalNA

項目描述

Slot當前在位設備的槽位號

Sub子卡槽位號

Type設備類型

Online設備是否在線

?Present表示設備在線

?Absent表示設備不在線

Power設備是否上電

?PowerOn表示設備上電

?PowerOff表示設備下電

Register設備是否注冊勝利，NA表示FW啟

動必需運行的設備，沒有這些設備

FW就不能啟動

Status設備的狀態(tài)

Primary當前設備是否有備份設備，NA表示

Role該設備沒有主備之分

其中Status狀態(tài)為Abnormal說明狀態(tài)異樣。可能的故障緣由為：

1.設備的該槽位不支持這種接口卡。

2.接口卡損壞。

3,背板或主板上的插針損壞，如不正確的單板安裝方式導致插針傾

斜。

4.假如是FAN狀態(tài)為Abnormal,則可能為風扇故障或不在位。

查看設備的健康檢查信息

用戶在隨意視圖下執(zhí)行吩咐displayhealth吩咐查看設備的健康檢

查信息，包括CPU占用率和內存占用率。

#顯示USG9500單板的健康檢查信息。

<FW>displayhealth

SlotCPUUsageMemoryUsage(Used/Total)

SimulateCPU

9MPU(Master)10%51%907MB/1746MB

None

1LPU14%18%384MB/2099MB

None

2SPU-CPUO65%16%84MB/500MB

0%

2SPU-CPU164%16%84MB/500MB

0%

2SPU-CPU264%16%84MB/500MB

0%

2SPU-CPU364%16%84MB/500MB

0%

2SPU-CPU62%15%61MB/398MB

None

6LPU16%18%386MB/2099MB

None

8SPU-CPU265%16%84MB/500MB

0%

8SPU-CPU362%16%84MB/500MB

0%

8SPU-CPU62%15%60MB/398MB

None

10MPU(Slave)4%24%870MB/3602MB

None

SPUCPUAverageUtilization:Management64%Dateplane3%

表1-1displayhealth吩咐的輸出信息描述

項目描述

Slot單板槽位號。

displayhealthverbose吩咐可以顯示

從核CPU利用率運用狀況。例如

?LPU(VCPUO)為多核0號，(VCPU1)為多

核1號，以此類推

?LPU為單核

CPUUsageCPU利用率。

MemoryUsage全部注冊狀態(tài)板的內存運用狀況。

(Used/Total)?Total：單板上當前可用的內存。

?Used：單板上可用內存中已經被占用的

內存。

#顯示USG6000的健康檢查信息。

<FW>displayhealth

SlotCardSensorSensorNameStatusCurrent(V)

Lower(V)Upper(V)

001.1V_CORENormal1.1000

1.04001.1500

—13.3VNormal3.3000

3.12003.4500

—22.5VNormal2.5200

2.37002.6100

—31.5VNormal1.4900

1.42001.5700

—41.IVNormal1.0900

1.04001.1500

—50.75V_DDRNormal0.7400

0.71000.7800

—612VNormal11.8800

11.400012.6000

105.0VNormal4.9500

4.74005.2500

—12.5VNormal2.5000

2.36002.6200

—21.OVNormal0.9900

0.95001.0500

—31.8VNormal1.7800

1.71001.8900

40.9VNormal0.9000

0.85000.9400

—53.3VNormal3.2800

3.12003.4600

—612VNormal11.9400

11.400012.6000

SlotCardSensorStatusCurrent(C)Lower(C)

Upper(C)

00Normal36063

—1Normal51090

10Normal31063

PowerIDOnlineModeStateCurrent(A)Voltage(V)

RealPwr(W)

5PresentACSupply14.212

170

6Absent-

FanlDFanNumOnlineRegisterSpeedMode

Airflow

FANO[3]PresentRegistered1(6880)AUTO

Left-to-Right

FAN1[2]PresentRegistered1(6880)AUTO

Left-to-Right

SystemMemoryUsageInformation:

Systemmemoryusageat2015-03-2616:25:01

SlotTotalMemory(MB)UsedMemory(MB)Used

PercentageUpperLimit

03789226559%

95%

SystemCPUUsageInformation:

Systemcpuusageat2015-03-2616:25:01

SlotCPUUsageUpperLimit

032%80%

DiskUsageInformation:

Systemdiskusageat2015-03-2616:25:02

SlotDeviceTotalMemory(MB)UsedMemory(MB)

UsedPercentage

0hdal:1172725

61%

1.2查看接口流量

介紹查看接口流量的相關操作。

通過Web方式查看接口流量

選擇“面板>設備狀態(tài)圖”，將鼠標光標停留在某接口上，可查看該

接口的具體信息，如圖1-2所示。單擊“刷新”后能夠查看到接口的

最新信息。

圖1-2接口信息

設備狀態(tài)圖

3

□R

接口名稱GE1/0/1

接口狀態(tài)Down/UneDown

安全區(qū)域trust

IP地址/施碼

速率1000Mbit/s

模式至雙工

輸入而■OBytes

輸入錯包數0

輸出而■OBytes

輸出錯包數0

參數說明

接口狀態(tài)顯示該接口的物理狀態(tài)/鏈路狀態(tài)。

?Up/LineUp：接口物理/鏈路處于正常啟動

的狀態(tài)。

?Down/LineDown：接口物理層出現故障。

?AdministrativelyDown/LineDown：說明

該接口已被禁用。

參數說明

平安區(qū)域顯示該接口所在平安區(qū)域。

IP地址/掩碼顯示該接口的IP地址與子網掩碼。

速率顯示該接口的速率。

模式顯示接口的雙工模式。

輸入/出流量顯示該接口接收/發(fā)送的流量大小。

輸入/出錯包數顯示該接口接收/發(fā)送的流量中的錯包數。

通過CLI方式查看接口信息

該吩咐可以查看接口的IP地址、物理層與協議層狀態(tài)、接口描述。下

面以USG6370系列為例。

<FW>displayinterfaceGigabitEthernet1/0/1

GigabitEthernet1/0/1currentstate:UP

Lineprotocolcurrentstate:UP

GigabitEthernet1/0/1currentfirewallzone:untrust

Description:Huawei,USG6370Series,GigabitEthernet1/0/1

Interface

RoutePort,TheMaximumTransmitUnitis1500bytes,Hold

timeris10

IPSendingFrames'FormatisPKTFMT_ETHNT_2,Hardwareaddress

is0022-al00-al01

Mediatypeistwistedpair,loopbacknotset,promiscuous

modenotset

100Mb/s-speedmode,full-duplexmode,linktypeisauto

negotiation

Max-bandwidth:100000Kbps

Lastphysicaluptime:-

Lastphysicaldowntime:2015-05-0720:33:13

Currentsystemtime:2015-05-1110:08:18

Last300secondsinputrate8bytes/sec,0packets/sec

Last300secondsoutputrate8bytes/sec,0packets/sec

Input:1149packets,99478bytes

12unicasts,4broadcasts,1133multicasts,0

pauses

0overruns,0runts,0jumbos,0FCSerrors

0lengtherrors,0codeerrors,0alignerrors

0fragmenterrors,0giants,0jabbererrors

0dribbleconditiondetected,0othererrors

Output:1104packets,94646bytes

7unicasts,10broadcasts,1087multicasts,0

pauses

0underruns,0runts,0jumbos,0FCSerrors

0fragmenterrors,0giants,0jabbererrors

0collisions,0latecollisions

0ex.collisions,0deferred,*othererrors

Inputbandwidthutilization:0%

Outputbandwidthutilization:0%

顯示信息說明

GigabitEthernetl顯示該接口的物理狀態(tài)。

/0/1current?UP：接口物理層處于正常啟動的狀態(tài)。

state:UP

?DOWN：接口物理層出現故障。建議做如下檢

查：

-線纜是否連接到正確的接口

-運用speed吩咐修改了接口速率，且兩端

不一樣。

運用duplex吩咐修改了雙工模式，且兩

端不一樣。

-更換連接線纜，確認是否線纜故障。

?Administrativelydown：說明該接口下執(zhí)

行了shutdown吩咐，可以通過undo

shutdown取消配置。

Lineprotocol顯示該接口的協議狀態(tài)。

currentstate:?UP：接口的協議層正常啟動。

UP

?DOWN：接口的鏈路或協議層出現故障。

?UP(s)：當邏輯接口狀態(tài)為UP后。

GigabitEthernetl顯示該接口所屬平安區(qū)域。

/0/1current

firewallzone:

untrust

顯示信息說明

Description:Description后邊顯示該接口的Description

信息，該信息可以運用description進行配置

和修改。

RoutePort說明該接口的端口類型為路由端口，假如顯示

為SwitchPort則說明為交換端口。端口類型

可以運用portswitch吩咐進行切換。

TheMaximum接口的最大傳輸單元（MTU）。長度大于接口

TransmitUnitisMTU的報文，將會被分片后再發(fā)送。假如IP報

文內設置了不分片，大于接口MTU的報文會被

丟棄。

通常在設備之間可以建立連接，但是無法傳輸

數據（比如FTP可以登錄但傳輸不了文件）

時，檢查接口MTU是否設置過小。

Holdtimeris報文的生命周期。報文假如在生命周期內沒有

被發(fā)送出去，則將被丟棄。

InternetAddress接口的IP地址和掩碼，可以是靜態(tài)配置或者通

is過DHCP等動態(tài)方式獲得到的IP地址。假如沒

有IP地址則顯示“Internetprotocol

processing:disabled”。

IPSending接口發(fā)送的Ethernet幀的格式。Ethernet_2

Frames'Format為缺省的幀格式。Ethernet在接收幀時，可以

is識別如下幾種幀格式：

?Ethernet_2

?Ethernet_SNAP

?802.2

?802.3

Hardwareaddress接口的硬件地址，即接口MAC地址。

is

Mediatypeis顯示線纜類型是雙絞線。

twistedpair

full-duplexmode顯示該接口的雙工模式是全雙工。以太網兩端

的雙工模式須要一樣。

顯示信息說明

linktype顯示接口的雙工模式為自協商模式，假如用戶

手工指定為half/full顯示為forcelink。

Max-bandwidth接口可用的最大帶寬是1000000Kbps,運用

speed吩咐會影響顯示的帶寬。

Lastphysicalup接口上次狀態(tài)為UP的時間。

time

Lastphysical接口上次狀態(tài)為UDOWN的時間。

downtime

Currentsystem當前系統(tǒng)時間。

time

Last300seconds該接口最近5分鐘的報文收發(fā)速率，可以視察

input/output到接口的近期報文發(fā)送統(tǒng)計，在發(fā)生故障的第

一時間查看效果比較明顯。

Input接收報文的統(tǒng)計信息。

?unicasts：單播報文數。

?broadcasts：廣播報文數。

?multicasts：組播報文數。

?pauses：接收到Pause幀個數。

?overruns：當接口的接收速率超過接收隊列

的處理實力時，設備丟棄的報文數。

?runts：超短報文數。

,jumbos：在jumbo使能的狀況下，大于1518

字節(jié)小于jumbo的最大長度的幀。

?FCSerrors：接收到長度正常，但CRC校驗

錯誤的幀的個數。

?lengtherrors：802.3以太網報文結構中，

長度字段(lengthfield)不在46至1500

字節(jié)范圍內的報文數。

?codeerrors：編碼錯誤的報文數。

?alignerrors：對齊錯誤的報文數。

?fragmenterrors：接收長度小于64字節(jié)，

顯示信息說明

且CRC不正確的報文數。

?giants：超長報文數。

?jabbererrors：大于1518字節(jié)的CRC錯誤

報文數。

?dribbleconditiondetected：報文經過

CRC校驗后出現4bit數據的非正常報文數。

?othererrors：其他錯誤報文數和丟失報文

數。

output發(fā)送報文的統(tǒng)計信息。

?unicasts：單播報文數。

?broadcasts：廣播報文數。

?multicasts：組播報文數。

?pauses：發(fā)送Pause幀的個數。

?underruns：當接口的發(fā)送速率超過了發(fā)送

隊列的處理實力，被丟棄的報文數。

?runts：超短報文數。

?jumbos：在jumbo使能的狀況下,大于1518

字節(jié)小于jumbo的最大長度的幀的個數。

?FCSerrors：發(fā)送CRC校驗錯誤，長度正常

的幀的個數。

?fragmenterrors：發(fā)送長度小于64字節(jié)，

且CRC不正確的報文數。

,giants：超長報文數。

?jabbererrors：大于1518字節(jié)的CRC錯誤

的報文數。

?collisions：碰撞錯誤，發(fā)送報文的時候正

好遇到沖突檢測。

?latecollisions：后碰撞錯誤，發(fā)送報文

時（還沒有發(fā)送完畢），發(fā)生沖突檢測。

?ex.collisions：超期錯誤，一個報文因為

發(fā)生超過16次碰撞仍舊沒有發(fā)送勝利，報

文丟棄。

?deferred：延遲發(fā)送，發(fā)送的時候進行延

顯示信息說明

遲，不包含碰撞錯誤。

?othererrors：其他錯誤報文數。

1.3查看ESN和系列號(USG6000)

通過displayesn吩咐可以查看設備與各部件的ESN。

查看設備ESN

用戶可以通過查看設備的后面板獲得設備ESN編號，以

USG6306/6308/6330/6350/6360機型為例，ESN位置如圖1-3所示。

圖1-3USG6306/6308/6330/6350/6360后面板

SN

#查看USG6000的ESNo

<sysname>displayesn

ESNofmaster:210235G6QD2xxxxxxxx

1.4查看ESN和系列號(USG9500)

通過displayesn吩咐可以查看設備與各部件的ESN。

查看背板ESN

用戶可以登錄到設備在隨意視圖下執(zhí)行吩咐displayesn,查看設備

的ESN編號。

<FW>displayesn

ESNofmaster:210235G6QD10xxxxxxxx

其中210235G6QD10xxxxxxxx為背板的ESN編號。

查看設備部件ESN

用戶在隨意視圖下執(zhí)行吩咐displayesnall,查看設備各部件的

ESN編號。

<FW>displayesnall

Slot-PicTypeS/N

P/N

1-1ETH_24xGF_B_CARD030PMN10xxxxxxxx

0303xxxx

2SPU210305G09Q1Oxxxxxxxx

0305xxxx

2-0SPU_CARD_TYPE_SPCB210305G09S10xxxxxxxx

0305xxxx

2-1SPU_CARD_TYPE_SPCB02G36N10xxxxxxxx

0302xxxx

6-0LAN_WAN_6x10GF_B_CARD030QDE1Oxxxxxxxx

0303xxxx

6-1ETH_24xGF_B_CARD030PMN10xxxxxxxx

0303xxxx

8SPU210305G09Q10xxxxxxxx

0305xxxx

8-1SPU_CARD_TYPE_SPCB02G36N1Oxxxxxxxx

0302xxxx

9MPU030KSR1Oxxxxxxxx

0303xxxx

10MPU210305G08N1Oxxxxxxxx

0305xxxx

17PWR21021205606Txxxxxxxx

0212xxxx

18FAN21021205626Txxxxxxxx

0212xxxx

19FAN21021205626Txxxxxxxx

0212xxxx

/BackPlane210235G6QD10xxxxxxxx

0235xxxx

項目描述

Slot-Pic槽位號。

如為子卡，則增加顯示子卡號，例如『0表示1號

槽位0號子卡。

Type表示板卡類型。

如為子卡，則表示子卡類型。

S/NESN編號信息。

P/NITEM編號信息。

1.5查看光模塊信息

通過displayesninterface吩咐可以查看光模塊信息。

用戶在隨意視圖下執(zhí)行吩咐displayesninterface,查看USG6000

各接口光模塊的ESN編號。

<FW>displayesninterface

InterfaceVendorNamePN

SNDateCertified

GigabitEthernet1/0/4huawei3410xxxx

PR31xxx2014-01-17YES

GigabitEthernet1/0/5huawei0231xxxx

AD1342xxxxx2013-10-23YES

GigabitEthernet3/0/0FINISARCORP.FTLF1619xxxxx-HW

PR7xxxx2014-02-21NO

GigabitEthernet3/0/lHGGENUINEMXPD-xxxMD

HA140xxxxxxxx2014-02-08NO

GigabitEthernet3/0/2JDSUPLRXPLVCSxxxxHW

CE06xxxxx2014-02-08NO

GigabitEthernet3/0/3OCLARO,INCTRSxxxxEN-SPOl

T14Dxxxxx2014-04-10NO

GigabitEthernet3/0/4SOURCEPIIOTONICSFTMxxxxCSL40GHW

E5C20xxxxx2014-04-14NO

GigabitEthernet3/0/5SumitomoElectricSPPxxxxZR-Hl

42D710Nxxxxx2014-02-12NO

GigabitEthernet3/0/6NEOPHOTONICSPTxxxx-51-EW-KHW

A01146xxxxx2014-01-24NO

GigabitEthernet3/0/7SOURCEPHOTONICSFTM-xxxxC-SL50G

E4620xxxxx2014-03-08NO

用戶在隨意視圖下執(zhí)行吩咐displayesninterface,查看USG9500

各接口光模塊的ESN編號。

<FW>displayesninterface

InterfaceVendorNamePN

SN

Date

GigabitEthernet3/l/0FINISARCORP.

FTLX1471Dxxxx-HWASCxxxx

2014-12-19

GigabitEthernet3/l/4AVAGOHBCU-xxxxR

AN09xxxxx

D2009-03-03

項目描述

Interface光模塊所屬接口。

VendorName光模塊制造商的名稱。

PN光模塊的產品編號。

SN光模塊的ESN編號。

Date光模塊的出廠日期。

Certified標示該光模塊是否為華為定制的。

?“YES”表示是華為定制的，“VendorName”會顯

示為“HUAWEI”。

?“NO”表示非華為定制的。針對該接口執(zhí)行

displayinterface吩咐時，顯示信息中會有如

下提示：

Note:Thetransceiverinstalledisnot

certifiedbyHuaweiEnterpriseBusinessGroup

1.6查看會話表

會話表是設備轉發(fā)報文的關鍵表項。所以當出現業(yè)務故障時，通常可

以通過Web查看會話表信息，大致定位發(fā)生故障的模塊或階段。

當某個業(yè)務發(fā)生問題，例如流量不通或者斷斷續(xù)續(xù)時，通過查看會話

表可以得出以下信息：

?假如該項業(yè)務已經建立了正確的會話表項，并且依據平安策略允

許了該業(yè)務的轉發(fā)。假如業(yè)務此時仍舊不通，有以下幾種可能緣

由：

-出接口發(fā)生了硬件故障（例如接口卡損壞，網線接觸不良等）

-下行設備丟棄了相關報文

-路由配置有錯誤

-出接口發(fā)送的報文有錯誤

-其他業(yè)務層面的丟包（例如帶寬管理、攻擊防范功能導致的丟

包）

-其他配置方面的問題

?假如該項業(yè)務沒有建立會話表項，有以下幾種可能緣由：

由于上游設備的問題或者是路由配置的問題，導致報文沒有正

確轉發(fā)到FW上

-設備上配置的平安策略不允許該報文的轉發(fā)，例如平安策略動

作被配置為“拒絕”，源IP被加入了黑名單等

-入接口發(fā)生了硬件故障（例如接口卡損壞，網線接觸不良等）

-攻擊防范方面，除黑名單之外，可能還有其他功能導致丟包

-帶寬管理功能可以限制會話數，當會話數超過閾值時，導致會

話無法建立而干脆丟包

-其他配置方面的問題

通過Web方式查看會話表的方法如下：

1.選擇“監(jiān)控>會話表”。

2.顯示“會話表”界面，查看會話表信息。

會話表在某一時間段的顯示如下：

注蜴信且協議源安全區(qū)域目的安全區(qū)*源地址目的地址目的咕…剩余時間出按口下一跳

□alhttpstrustlocal331018.74.2951433844300:09:48inLoopBackO

Qhttpstrustlocal172.1610.1761018.7429598098443000953InLoopBackO1270.0.1

ahttpstrustlocal172.1610.1331018.74.2951440844300:10:00InLoopBackO