zhiliao_Gixe
九段
在H3C F100防火墙上查内网哪个IP访问过目标IP 45.32.185.122，可通过会话表或日志实现。
方法一：查会话表（实时在线连接）
display session table ipv4 destination-ip 45.32.185.122 verbose
输出中查看“Source”字段即为内网源IP。若目标IP属于某网段，可查该网段：
display session table ipv4 destination-ip 45.32.185.0 24 verbose
方法二：查日志（历史访问记录）
若已配置会话日志或流量日志，在日志主机或设备本地查看：
display logbuffer | include 45.32.185.122
若日志已外发到日志服务器，在服务器上按目标IP过滤即可。
方法三：配置ACL临时抓包（无日志时）
若以上无结果，可配置ACL匹配目标IP并开启debug或流日志：
acl advanced 3000
rule 5 permit ip destination 45.32.185.122 0
quit
interface GigabitEthernet1/0/1 //内网口
ip netstream inbound
或使用包过滤调试：
debugging ip packet acl 3000
terminal debugging
注意debug会影响性能，抓完立即关闭。
建议优先用会话表，若连接已断开则查日志。
方法一：查会话表（实时在线连接）
display session table ipv4 destination-ip 45.32.185.122 verbose
输出中查看“Source”字段即为内网源IP。若目标IP属于某网段，可查该网段：
display session table ipv4 destination-ip 45.32.185.0 24 verbose
方法二：查日志（历史访问记录）
若已配置会话日志或流量日志，在日志主机或设备本地查看：
display logbuffer | include 45.32.185.122
若日志已外发到日志服务器，在服务器上按目标IP过滤即可。
方法三：配置ACL临时抓包（无日志时）
若以上无结果，可配置ACL匹配目标IP并开启debug或流日志：
acl advanced 3000
rule 5 permit ip destination 45.32.185.122 0
quit
interface GigabitEthernet1/0/1 //内网口
ip netstream inbound
或使用包过滤调试：
debugging ip packet acl 3000
terminal debugging
注意debug会影响性能，抓完立即关闭。
建议优先用会话表，若连接已断开则查日志。
暂无评论
一、访问还在进行，会话活跃（优先执行）
命令行查看会话表，过滤目的 IP
#过滤目的IP45.32.185.122，查看五元组，能看到内网原始源IP
display session table ipv4 destination‑ip 45.32.185.122 verbose
输出里面SourceAddr就是内网发起访问的真实 IP，DestAddr为 45.32.185.122；
如果做源 NAT，NAT 转换后公网地址看
display nat session destination‑ip 45.32.185.122，可以看到内网源 IP 与转换后公网 IP 对应关系H3C。
Web 页面路径：【系统】‑【会话管理】‑【会话表】，增加过滤条件：目的 IP=45.32.185.122，直接查看源 IP。
二、访问已经断开，查历史记录（重点 F100‑C‑A 系列限制）
⚠️F100‑C‑A1/A2/A3 这类桌面款，机身无硬盘：本地不会留存完整全部流量历史审计日志，会话老化断开之后，本地会话表直接清除，设备本地查不到很久之前历史访问记录H3C。
可行方案
- 已经配置日志服务器（syslog/seccenter）
防火墙把安全日志、会话日志外发到日志服务器，去日志服务器检索
目的IP=45.32.185.122，获取内网源 IP，这是查历史唯一可靠方式。 - 没有外置日志服务器，临时抓包溯源 如果需要后续抓到是谁访问，配置 ACL + 信息中心，把匹配去往 45.32.185.122 的报文输出日志，或者接口抓包：
acl number 3000
rule permit ip any destination 45.32.185.122 0
#调试抓包（业务低峰）
debugging packet filter acl 3000
terminal debugging
terminal monitor
该方式只能抓后续新产生的访问，不能回溯已经发生过的旧访问。
重要限制
- 设备本地 logfile 日志存储空间很小（默认 10M），只会记录部分安全事件，不会保存全部普通业务五元组访问记录，会话老化之后本地无法回溯历史访问源 IPH3C。
- 不要指望设备本地日志查到几天前普通外网访问记录，无硬盘的 F100‑A 系列做不到。
三、快速排查操作总结
- 先执行
display session table ipv4 destination‑ip 45.32.185.122 verbose，有输出直接看到内网 IP； - 无输出说明会话已经断开；
- 有 syslog/secCenter：去日志服务器检索；
- 无日志服务器：只能配置调试 ACL 抓之后新的访问，旧访问无法回溯。
暂无评论
编辑答案
➤
✖
亲~登录后才可以操作哦!
确定
✖
✖
你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
✖
举报
×
侵犯我的权益
>
对根叔社区有害的内容
>
辱骂、歧视、挑衅等（不友善）
侵犯我的权益
×
侵犯了我企业的权益
>
抄袭了我的内容
>
诽谤我
>
辱骂、歧视、挑衅等（不友善）
骚扰我
侵犯了我企业的权益
×
您好，当您发现根叔知了上有关于您企业的造谣与诽谤、商业侵权等内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到 pub.zhiliao@h3c.com 邮箱，我们会在审核后尽快给您答复。
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
抄袭了我的内容
×
原文链接或出处
诽谤我
×
您好，当您发现根叔知了上有诽谤您的内容时，您可以向根叔知了进行举报。 请您把以下内容通过邮件发送到pub.zhiliao@h3c.com 邮箱，我们会尽快处理。
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
我们认为知名企业应该坦然接受公众讨论，对于答案中不准确的部分，我们欢迎您以正式或非正式身份在根叔知了上进行澄清。
对根叔社区有害的内容
×
垃圾广告信息
色情、暴力、血腥等违反法律法规的内容
政治敏感
不规范转载
>
辱骂、歧视、挑衅等（不友善）
骚扰我
诱导投票
不规范转载
×
举报说明
暂无评论