偶发断网复现不出来：防火墙报文捕获把现场录下来
整理自华为官方发布的典型配置案例。
有一种故障最磨人：业务白天偶发断一下，等你远程上去看，一切正常，日志里也没线索。会话表能告诉你流量走到了哪一步，但报文长什么样、在哪个环节变了样，得靠抓包。华为防火墙在 Web 界面里自带五元组抓包功能，不用外接设备，把接口上的报文按源地址、目的地址、协议、源端口、目的端口筛出来录下来，故障再来时现场就留住了。
先把三个参数架好
在"监控 > 五元组抓包"里单击"开始抓包"，先定三个量：
- 抓包总数：最多抓多少个包，取值 1-100000，缺省 1000——偶发故障建议放宽，免得故障还没来配额先用完；
- 报文最大长度：每个包抓前多少字节，取值 20-1600，缺省 64，看协议头足够；
- 抓包限速：每秒抓多少个包，取值 50-3000、默认 128。实际流量超过这个速率时只抓取部分报文，设备自己不被拖垮。
选接口、定方向、挑报文
新建接口抓包时最多配 4 个接口，入方向（收到的）和出方向（发出的）可同时勾选；报文种类在 IPv4、IPv6、非 IP 包、所有包里挑。注意设备的管理口 MEth 不能作为抓包接口；选 ALL 等于全局抓包，选了 ALL 就不能再叠加指定接口。
rule 把范围收窄到故障流量
真正省事的是 rule 列表：按源地址、目的地址、协议（TCP/UDP 时还可配源端口、目的端口）建规则，最多 10 条、按配置顺序依次匹配。还有个实用技巧——想抓"除了某几个地址之外"的所有包：先配一条源、目的、协议均为 any 且动作为允许的规则，再把不想抓的条件配成动作为禁止的规则即可。
现场留住之后
抓包过程中界面实时显示"接收报文数"和"接收百分比"；报文列表里有序号、精确到毫秒的时间、源目的地址、协议摘要和长度，点开单条还能看详细信息。确认抓完单击"停止抓包"（不手动停，达到抓包总数设备也会自动停），需要离线细看时单击"下载"把报文数据导出——这一步仅系统管理员级别的账号可以做。
几个容易踩的点
- 挑业务量小的时段抓：官方提示配置抓包会在一定程度上影响设备性能，操作失误可能引起业务中断，务必避开业务高峰；
- 停止后重抓会清空：中途停止再重新开始，之前抓到的报文会被清除，导出再重抓；
- Down 状态的接口抓不到报文：抓之前确认接口是 Up 的；
- 抓完记得关：抓包是诊断手段不是常开监控，拿到现场就停，把性能还给业务。
偶发故障治的就是"没有现场"这四个字。欢迎搜索关注贵州诚鑫致达科技，疑难网络故障的定位与整改可以按次上门。
企业存储选型参考｜贵州诚鑫致达
做高可用与业务不间断保障，群晖机型参考：PAS7700 · RS2423RP+ · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。
服务区域｜贵州诚鑫致达
贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。凯里（黔东南）、都匀（黔南）：企业存储方案与 IT 运维。