园区出口防火墙故障排查是一项系统工程，需要清晰的方法论和步骤。一旦出口防火墙出现故障，通常意味着整个园区的互联网访问中断，影响面巨大，因此需要快速、精准地定位问题。

下图清晰地展示了园区出口防火墙故障排查的标准流程，它强调了从宏观到微观、从底层到高层的逻辑顺序：

第一步：信息收集与快速判断

在登录设备之前，先快速回答几个问题，这能帮你缩小排查范围：

1. 影响范围是多大？

   • 全网中断：所有用户都无法上网。→ 问题可能出在出口链路、防火墙本身、核心路由或全局策略。
   • 部分中断：某个部门或VLAN无法上网，但其他区域正常。→ 问题可能出在针对该网段的策略、路由或NAT配置。
   • 个别应用异常：如微信能发消息但网页打不开。→ 问题可能出在DNS、或针对特定端口的策略。

2. 故障现象是什么？

   • 是完全 ping 不通外网（如 114.114.114.114），还是能 ping 通但打不开网页？
   • 是时断时续，还是完全中断？

3. 最近是否有过变更？

   • 是否修改过防火墙策略、路由配置或进行过系统升级？

第二步：分层分段排查（自底向上）

这是最核心的排查方法，请严格按照以下顺序进行。

1. 物理层与设备状态检查（基础中的基础）

• 链路状态：

  • 检查：防火墙的外网接口和内网接口的物理状态是否 UP？
  • 命令：

    <FW> display interface brief
    # 查看接口的`Status`和`Protocol`是否为`UP`。
    

  • 操作：检查接口指示灯，联系运营商确认外网线路是否正常。

• 设备健康度：

  • 检查：防火墙的CPU和内存利用率是否过高（如持续超过80%）。
  • 命令：

    <FW> display cpu-usage
    <FW> display memory-usage
    

  • 分析：CPU/内存过高可能导致策略处理缓慢或丢包，引发“网络卡顿”。

2. 网络层检查（路由与地址转换）

• 路由表：

  • 检查：防火墙是否有通往互联网的默认路由？下一跳是否正确？
  • 命令：

    <FW> display ip routing-table
    # 查看是否有 `0.0.0.0/0` 的路由，并指向运营商的网关地址。
    

• 会话表与NAT：

  • 检查：内网用户上网时，防火墙是否成功创建了会话并进行了NAT转换？这是最关键的一步！
  • 命令：

    # 查看是否有来自内网IP的会话信息
    <FW> display firewall session table source-ip <内网用户IP>
    # 或者查看整个NAT会话表
    <FW> display firewall nat session
    

  • 分析：
    • 如果会话不存在：说明流量没有到达防火墙或被策略拒绝。
    • 如果会话存在且NAT转换正常：说明防火墙已放行流量，问题可能在外网线路或运营商侧。
    • 如果会话存在但NAT失败：可能是NAT配置错误。

3. 安全策略检查（防火墙的核心）

• 策略命中分析：

  • 检查：内网用户的上网流量是否命中了正确的允许策略？
  • 命令：

    # 开启策略命中数统计（如果未开启）
    [FW] firewall statistic system enable
    # 查看安全策略的命中次数
    <FW> display security-policy rule all
    

  • 分析：找到那条 trust -> untrust 的允许策略，看 HitCount 是否在增加。如果为0，可能是策略顺序问题，流量被前面的策略拒绝。

• 策略匹配顺序：

  • 要点：防火墙策略是从上到下逐条匹配的。如果第一条策略是 拒绝所有，那么后面的允许策略永远不会生效。
  • 操作：检查策略列表，确保允许上网的规则在拒绝规则之前。

第三步：常见故障场景与快速处置

核心排查命令（华为/华三防火墙）

• display interface brief： 快速查看所有接口状态。
• display ip routing-table： 检查路由信息。
• display firewall session table source-ip <IP>： 检查特定IP的会话和NAT状态。
• display security-policy rule all： 查看所有安全策略及命中次数。
• display cpu-usage / display memory-usage： 检查设备健康度。
• display logbuffer： 查看系统日志，寻找错误或告警信息。

总结与最佳实践

1. 保持冷静，遵循流程：从物理层开始，一层一层向上排查，避免混乱。
2. 善用显示命令：防火墙提供的 display 命令是排查故障的最有力工具。
3. 做好备份：在进行任何配置修改前，先备份当前配置。
4. 变更管理：任何对出口防火墙的变更，都应在业务低峰期进行，并做好回退预案。
5. 记录归档：故障解决后，详细记录问题现象、原因、解决步骤，形成知识库。

最后，如果所有自查步骤都无效，请及时联系防火墙厂商的技术支持中心（TAC），他们可以提供更深层次的技术支持。