h3c防火墙在哪里看拦截的端口

登录H3C防火墙Web管理界面后，防火很多人第一反应是墙里找“日志”或“监控”菜单，翻半天却看不到具体端口。看拦其实拦截端口的端口记录分散在两个地方：一是会话日志里的“丢包”条目，二是防火安全策略命中计数。直接说结论——想看哪个端口被拦，墙里最快的看拦方法是查“安全日志”下的“攻击防御日志”和“会话日志”，前提是端口你已经开了日志功能。

上周帮一个客户排查，防火他们内网一台服务器突然连不上外网某IP的墙里8080端口。我登进防火墙，看拦点“监控”>“日志管理”>“安全日志”，端口筛选“动作=丢弃”，防火时间范围设最近十分钟。墙里列表里立刻跳出一条记录：源IP 192.168.1.100，看拦目的IP 203.0.113.5，目的端口8080，协议TCP，丢弃原因“ACL规则匹配”。这就直接定位了——安全策略里有一条针对8080端口的拒绝规则。

具体路径：Web界面下三个关键位置

第一个位置：“监控” → “日志管理” → “安全日志”。这里能看到所有被安全策略丢弃的流量，包括源/目的端口。注意，如果日志级别设成“警告”以上，很多丢包不会记录。建议临时调到“信息”级别，复现问题后再调回去。

第二个位置：“策略” → “安全策略” → 点开具体策略 → 查看“命中计数”。这招适合你已经怀疑某条策略在拦端口。比如你写了一条拒绝TCP 445的规则，点进去看“统计”标签，如果命中数在涨，说明确实有流量被它拦了。但这里看不到具体源IP和端口，只能确认策略生效。

第三个位置：“网络” → “会话表”。直接搜目的端口，比如“8080”，如果会话状态显示“Discard”或“Deny”，说明被拦了。不过会话表刷新快，适合实时抓现行。我习惯用命令行看，更直接。

命令行方式：display firewall session table 和 display firewall log

SSH登录防火墙，敲 display firewall session table destination-port 8080。如果端口被拦，会话表里压根不会出现这条——因为会话还没建立就被丢了。所以更准的是查日志：display firewall log，或者 display logbuffer。输出里找“Drop”关键字，后面跟着五元组信息。有一次客户环境里日志缓冲区满了，新日志覆盖旧日志，导致看不到拦截记录。后来改成输出到syslog服务器才解决。

还有个坑：H3C防火墙默认不记录被ACL丢弃的流量，除非你在域间策略里开了“记录日志”选项。Web界面下，编辑那条安全策略，勾选“启用日志记录”。命令行下是 security-policy ip 里面加 logging。没开这个，你查半天也查不到端口。

一个真实案例：端口没被拦，但就是不通

去年遇到一个怪事，客户说防火墙拦截了UDP 500端口。我查安全日志，确实有大量UDP 500被丢弃，源是外网VPN网关。但客户内网根本没有IPsec VPN服务。后来发现是安全策略里一条默认拒绝规则在起作用——那条规则没指定端口，但命中了所有未匹配流量。端口500只是恰好被扫到了。所以看拦截端口时，别只看端口号，要看整条策略的匹配条件。

如果你在Web界面死活找不到日志，检查两个开关：“系统” → “日志设置” → “日志缓冲”是否开启，以及“安全策略” → “全局配置” → “日志记录”是否勾选。这两个不开，界面再熟也白搭。

最后说个野路子：临时在防火墙外面接个镜像口，用Wireshark抓包。看防火墙是不是回了TCP RST或者ICMP端口不可达。如果是RST，说明防火墙主动拒绝；如果是超时无响应，可能是路由或会话问题。这比翻日志快，但需要物理 access。