请问安全设备调试session会话怎么开

在H3C安全设备上调试并查看会话，核心思路是：先用 display session table 快速筛选，如果找不到，再用 debugging 命令配合精确的 ACL 来跟踪报文处理流程。

 第一步：优先使用 display 命令快速筛查

display 命令对设备性能影响最小，是首选。

执行 display session table 时，务必加上 verbose 参数，才能看到完整的源/目的IP、端口、协议以及命中的安全策略。

 第二步：启用 debugging 调试开关

如果 display 命令查不到预期的会话，说明报文可能在更早的阶段就被丢弃了，需要用 debugging 来跟踪。

1. 开启终端显示功能
这是让调试信息能输出到终端的前提。

2. 创建精确匹配的 ACL
这是调试的关键。必须用 ACL 来限定只捕获你关心的流量，否则海量输出会直接刷屏，影响设备性能。

3. 开启调试命令
根据你的排查重点，选择以下一条或多条命令：

开启调试后，在终端上执行你的测试操作（如 ping），观察输出的调试信息，其中会包含源/目的IP、端口、协议以及具体的处理动作（如 permitted、denied、dropped 等）。

 调试输出解读示例

调试信息会明确告诉你报文的状态。例如，安全策略的调试输出如下：

这表示源IP为 1.1.1.1、目的IP为 2.2.2.2 的 ICMP 报文被策略放行了。如果看到 denied 或 dropped，就说明被拦截了。

 关键注意事项

• 调试后务必关闭：调试会产生大量日志，对设备CPU有影响。排查完成后，务必执行 undo debugging all 关闭所有调试开关。

• ACL要精确：ACL 的 source 和 destination 后的掩码建议使用 0（精确匹配），避免匹配过多无用流量。

• VPN实例：如果接口绑定了 VPN 实例，ACL 规则中需要增加 vpn-instance 参数，否则可能匹配不到。

两种方式：①静态查询会话表（推荐，日常排查）；②debug 调试实时打印新建 / 删除会话（仅故障临时使用，业务高峰期严禁开启）

一、优先：display 查看源目 IP 会话（不用开 debug）

输出直接看到：源 IP / 端口、目的 IP / 端口、协议、会话状态、老化时间、NAT 转换前后地址。

二、开启 debugging 实时打印会话新建 / 删除（你问的调试 session 会话）

⚠️警告：生产环境慎用，会产生大量日志、拉高 CPU，只在业务低峰期临时调试，用完立刻关闭

三、备选：会话日志（长期记录会话创建销毁，非实时 debug）

全局开启会话日志，记录新建 / 删除会话到日志中心：

日志会记录源目 IP、端口，可在日志中心查看，相比 debug 更安全。

四、推荐故障定位神器：报文示踪（packet trace）

V7 防火墙自带报文示踪，跟踪报文从入到出，看是否创建会话、被哪个模块丢弃，比 debug 更友好：Web【系统→诊断中心→报文示踪】，配置源目 IP 抓报文处理全过程。

五、关键注意事项

1. debugging session event只打印会话创建、销毁事件，不打印每一个数据包；想看数据包内容用debugging packet或者报文捕获。
2. 开启 debug 一定要加 ACL 过滤，否则整机所有会话事件刷屏，CPU 飙升。
3. 调试完成必须执行undo debugging all，不要残留 debug 开关。
4. Web 路径：策略→会话表，也可以可视化查看实时会话五元组。