ASA TCP-Verbindungs-Flags für Auf- und Abbau

Einleitung

In diesem Dokument werden Informationen zu TCP-Verbindungsflags der Adaptive Security Appliance (ASA) beschrieben.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

• Grundkenntnisse des TCP Communications Protocol

• Grundkenntnisse der ASA CLI

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf ASA Version 8.4.

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

ASA TCP-Verbindungsflags

Wenn Sie die Fehlerbehebung für TCP-Verbindungen über die Adaptive Security Appliance durchführen, liefern die für jede TCP-Verbindung angezeigten Verbindungsflags eine Fülle von Informationen über den Status der TCP-Verbindungen zur ASA. Diese Informationen können zur Fehlerbehebung bei ASA-Problemen sowie bei Problemen an anderen Stellen im Netzwerk verwendet werden.

Hier sehen Sie die Ausgabe des Befehls show conn protocol tcp, der den Status aller TCP-Verbindungen über die ASA anzeigt. Diese Verbindungen können auch mit dem Befehl show conn angezeigt werden.

ASA# show conn protocol tcp
101 in use, 5589 most used.
TCP outside 10.23.232.59:5223 inside 192.168.1.3:52419, idle 0:00:11, bytes 0, flags saA
TCP outside 192.168.3.5:80 dmz 172.16.103.221:57646, idle 0:00:29, bytes 2176, flags UIO
TCP outside 10.23.232.217:5223 inside 192.168.1.3:52425, idle 0:00:10, bytes 0, flags saA
TCP outside 10.23.232.217:443 inside 192.168.1.3:52427, idle 0:01:02, bytes 4504, flags UIO
TCP outside 10.23.232.57:5223 inside 192.168.1.3:52412, idle 0:00:23, bytes 0, flags saA
TCP outside 10.23.232.116:5223 inside 192.168.1.3:52408, idle 0:00:23, bytes 0, flags saA
TCP outside 10.23.232.60:5223 inside 192.168.1.3:52413, idle 0:00:23, bytes 0, flags saA
TCP outside 10.23.232.96:5223 inside 192.168.1.3:52421, idle 0:00:11, bytes 0, flags saA
TCP outside 10.23.232.190:5223 inside 192.168.1.3:52424, idle 0:00:10, bytes 0, flags saA

Dieses Bild zeigt die ASA TCP Connection-Flags in verschiedenen Phasen des TCP-Statuscomputers. Die Verbindungs-Flags werden mit dem Befehl show conn auf der ASA angezeigt.

TCP-Verbindungs-Flag-Werte

Um alle möglichen Verbindungsflags anzuzeigen, geben Sie den Befehl show connection detail (Verbindungsdetails anzeigen) in der Befehlszeile ein:

ASA5515-X# show conn detail
35 in use, 199 most used
Flags: A - awaiting inside ACK to SYN, a - awaiting outside ACK to SYN,
       B - initial SYN from outside, b - TCP state-bypass or nailed,
       C - CTIQBE media, c - cluster centralized,
       D - DNS, d - dump, E - outside back connection, F - outside FIN, f - inside FIN,
       G - group, g - MGCP, H - H.323, h - H.225.0, I - inbound data,
       i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
       k - Skinny media, M - SMTP data, m - SIP media, n - GUP
       O - outbound data, P - inside back connection, p - Phone-proxy TFTP connection,
       q - SQL*Net data, R - outside acknowledged FIN,
       R - UDP SUNRPC, r - inside acknowledged FIN, S - awaiting inside SYN,
       s - awaiting outside SYN, T - SIP, t - SIP transient, U - up,
       V - VPN orphan, W - WAAS,
       X - inspected by service module,
       x - per session, Y - director stub flow, y - backup stub flow,
       Z - Scansafe redirection, z - forwarding stub flow