Juniper防火墙常用查看命令有哪些？

Juniper防火墙作为企业级网络安全设备,其管理维护离不开高效的查看命令，掌握这些命令可以帮助管理员快速排查故障、监控设备状态及优化策略配置，以下从系统状态、接口信息、会话统计、策略路由及日志监控五个维度，详细介绍常用查看命令及其使用场景。

系统状态查看命令

系统状态是判断防火墙运行健康度的基础,可通过以下命令获取关键信息：

1. show system resources：实时查看CPU、内存使用率及磁盘占用情况。show system resources detail可显示各进程资源占用，帮助定位高负载进程。
2. show system uptime：显示设备运行时间、上次重启时间及重启原因，用于快速判断设备稳定性。
3. show system alarm：查看当前告警信息，如硬件故障、温度异常等，结合show system alarm history可追溯历史告警。
4. show version：显示系统版本、序列号、许可证状态及启动时间，版本兼容性排查时常用。

接口与流量监控命令

接口状态是网络连通性的核心,需重点关注链路状态、流量及错误包：

1. show interfaces terse：以简洁表格形式展示所有接口的物理状态（up/down）、速率及双工模式。
   | 接口名 | 状态 | 速率 | 双工模式 |
   |———-|——–|———|———-|
   | ge-0/0/0 | up | 1Gbps | full |
   | ae0 | down | N/A | N/A |
2. show interfaces ge-0/0/0 statistics：查看指定接口的收发包量、错误包及广播包数量，show interfaces ge-0/0/0 media可查看光模块参数。
3. show security flow session：实时监控当前会话数，show security flow session summary统计TCP/UDP会话分布，用于异常流量分析。

安全策略与NAT查看命令

策略匹配效率直接影响防火墙性能,需定期检查策略命中情况：

1. show security policies：显示所有策略的配置，包括源/目的地址、服务及动作。show security policies hit-count统计策略命中次数，可识别冗余或失效策略。
2. show security nat source：查看源NAT规则，show security nat destination查看目的NAT规则，结合show security flow session source-nat可验证NAT转换是否生效。
3. show security zones：显示安全区域及接口绑定关系，show security policies zone trust untrust查看特定区域间策略。

路由与VPN状态查看命令

路由表和VPN隧道状态是网络连通性的关键保障：

1. show route：查看完整路由表，show route protocol ospf过滤OSPF路由，show route destination 192.168.1.0/24查询特定路由下一跳。
2. show security ike security-associations：检查IKEv1/v2隧道状态，包括本地/远端IP、加密算法及协商状态。
3. show security ipsec security-associations：查看IPSA SA信息，包括流量加密统计（如输入/输出字节数），判断隧道是否正常传输数据。

日志与调试命令

日志是故障溯源的重要依据,需合理配置查看方式：

1. show log：查看系统日志，show log security过滤安全日志，show log flow查看流量日志。
2. show log messages | match "error"：通过正则表达式筛选错误日志，快速定位问题。
3. monitor start：实时监控日志输出，如monitor start show log security，动态跟踪事件。

相关问答FAQs

Q1: 如何判断防火墙CPU持续100%的原因？
A: 可通过以下步骤定位：

1. 执行show system resources detail，查看高CPU占用进程（如flowd或iked）；
2. 使用show security flow session | count检查会话数是否异常激增；
3. 若会话正常,通过debug flow basic-packet抓包分析，或检查是否有大量畸形策略匹配。

Q2: 防火墙VPN隧道建立失败，如何排查？
A: 排查步骤如下：

1. 检查IKE配置：show security ike security-associations确认协商状态；
2. 验证ACL规则：确保两端NAT策略与流量策略匹配；
3. 查看日志：show log security | match "ike"或show log ike，分析错误原因（如预共享密钥错误、MTU不匹配）；
4. 测试连通性：从防火墙侧ping隧道对端网关，结合monitor start实时观察日志。