网络不通就怪防火墙：会话表看清流量走到了哪一步

整理自华为官方发布的典型配置案例。

业务一断，第一反应常是"防火墙挡了吧"。到底是不是它挡的，官方文档给了一个直接的判断工具：会话表。会话表是防火墙转发报文的关键表项，一条业务流量有没有被放行、走到了哪一步，表里一目了然。流量不通或者断断续续的时候，先看会话表，就能把故障定位到具体模块，不用凭感觉挨个试。

第一步：看会话建没建起来

display firewall session table

简要表项一行一条：协议类型加源目的地址对。对照故障业务，先回答一个问题——这条业务的会话表项在不在。

第二步：表项在，业务还不通，往后查

会话已经建立、安全策略也放行了，业务仍然不通，官方列了几种可能：出接口硬件故障（接口卡损坏、网线接触不良）、下行设备丢包、路由配置错误、出接口发出的报文本身有错，或是带宽管理、攻击防范等业务层面的丢包。这时要看详细信息：

display firewall session table verbose

详细表项里有出接口和下一跳，路由配错在这一步就露馅；再配合 display interface 看接口统计计数是否正常，把硬件问题也排掉。

第三步：表项都没有，往前查

没有会话表项，说明报文压根没走通前半程。可能原因按链路顺序排：上游设备或路由问题导致报文没到这台设备；安全策略动作配了拒绝、源地址被拉进黑名单；入接口硬件故障；会话数超过阈值被带宽管理功能直接丢弃。逐项对照，哪里断的一目了然。

两个高频坑

会话表满。简要表第一行是当前会话总数，原有连接正常、新连接却建不起来时，先看这个数是不是顶到规格上限了——典型症状是"老的能用了新的不行"。解法是把会话老化时间调低，让不用的会话早点释放。

条目太多看不过来。设备上的会话表动辄成千上万条，查询命令支持按地址、端口等参数过滤，比如按源地址、按转换前的目的地址筛，几条组合下去，只看和故障相关的那几条，定位时间从翻表变成翻页。

会话表在，故障排查就从"猜"变成"读"。欢迎搜索关注贵州诚鑫致达科技，网络故障定位、防火墙策略梳理都交给专人来做。

企业存储选型参考｜贵州诚鑫致达

老机型数据迁移与扩容（DS218+/DS420+/DS3622xs+ 等），群晖机型参考：可衔接 SA3410 · UC3400 · RS2423RP+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。遵义、六盘水、安顺：群晖 NAS 部署与企业存储技术服务。