华为侧排错命令怎么用
华为 VRP 的排错输出走 debugging 系列命令，按模块和级别开启，与 Cisco 的 debug 思路一致但命令体系不同。开之前要先解决一个前提：终端要能收到日志，需要在用户界面下打开 terminal monitor 与 terminal logging，否则命令执行了却看不到任何输出，很容易误以为模块没有日志。开的时候按层次来，先开协商过程，再看数据面细节，配合 display 命令交叉验证。与 Cisco 一样，输出量大时要注意设备 CPU 与日志缓冲区容量，任务完成立刻用 undo debugging all 收尾。
基本信息
| 平台 | 华为 VRP |
|---|---|
| 协商过程 | debugging ike all 或按消息级别开启 |
| 数据面 | debugging ipsec all 观察加解密与策略匹配 |
| 终端显示 | terminal monitor 与 terminal logging 必须打开 |
| 收尾 | undo debugging all，避免长期开启 |
| 交叉验证 | display ike sa、display ipsec sa |
典型使用场景
- IKE 阶段一协商失败：看提议交换与拒绝原因
- 认证不通过：确认是密钥、身份标识还是证书问题
- SA 建立但流量不通：核对数据面策略匹配情况
- 偶发断连：结合日志时间线与 DPD 状态判断原因
- 与第三方对接联调：快速定位拒绝发生在哪一步
受控排错流程
受控排错流程
! 1. 打开终端输出，否则看不到 debugging 结果
terminal monitor
terminal logging
! 2. 按层次开启，先协商后数据面
debugging ike all
debugging ipsec packet
! 3. 复现问题后观察输出
display ike sa
display ipsec sa
! 4. 收尾，避免长期占用 CPU
undo debugging all输出线索读法
| 线索 | 含义 | 下一步 |
|---|---|---|
| 无提议匹配 | 两端参数不一致 | 逐项核对算法与 DH 组 |
| 认证失败 | 密钥、身份或证书不匹配 | 核对 PSK 与 identity 配置 |
| SA 建立失败 | 阶段二协商异常 | 检查 ESP 提议与 PFS 设置 |
| 数据面无匹配 | 策略或 ACL 不一致 | 核对流量选择符 |
| 命令无输出 | terminal monitor 未开 | 先在用户界面打开终端显示 |
debugging 会显著增加 CPU 与日志量：在生产设备上应限制开启时间与范围，并准备好收尾命令。
命令无输出时先怀疑终端显示未开，这是华为侧最常见的「debugging 不生效」原因。