Inhalt

Einführung

Warum verfügt die Adaptive Security Appliance (ASA) über erweiterte Einträge mit Leerlaufwerten, die länger als die konfigurierten Timeouts sind?

Zugehörige Informationen

Einführung

In diesem Dokument wird erläutert, warum Xlate-Einträge mit Leerwertwerten länger sind als die konfigurierten Timeouts. Sie enthält außerdem Informationen darüber, wie Sie die Werte conn und Xlate korrelieren und anzeigen können.

Weitere Informationen zu Dokumentkonventionen finden Sie unter Cisco Technical Tips Conventions (Technische Tipps zu Konventionen von Cisco).

F. Warum verfügt die Adaptive Security Appliance (ASA) über erweiterte Einträge mit Leerlaufwerten, die länger als die konfigurierten Timeouts sind?

Im folgenden Beispiel werden die Xlate-Einträge mit Leerwertwerten angezeigt, die länger als die konfigurierten Timeouts sind:Antwort:

ASA#show xlate

26 in use, 16665 most used

Flags: D - DNS, e - extended, I - identity,

I - dynamic, r - portmap, s - static,

T - twice, N - net-to-net

TCP PAT from inside:10.20.33.2/54676 to outside:

192.0.2.3/54676 flags ri idle 1:48:12

timeout 0:00:30

TCP PAT from inside:10.20.33.2/54397 to outside:

192.0.2.3/54397 flags ri idle 2:03:59

timeout 0:00:30

TCP PAT from inside:10.20.33.2/54369 to outside:

192.0.2.3/54369 flags ri idle 2:04:26

timeout 0:00:30

TCP PAT from inside:10.20.33.3/56695 to outside:

192.0.2.3/56695 flags ri idle 0:09:22

timeout 0:00:30

TCP PAT from inside:10.20.33.3/55880 to outside:

192.0.2.3/55880 flags ri idle 0:33:12

timeout 0:00:30

TCP PAT from inside:10.20.33.3/54431 to outside:

192.0.2.3/54431 flags ri idle 2:03:23

timeout 0:00:30

Wenn eine Verbindung auf der ASA übersetzt (übersetzen) wird, wird zuerst die Übersetzung erstellt, dann wird die Verbindung aufgebaut und schließlich wird die Verbindung mit der Übersetzung verknüpft. Das Timeout für Leerlaufzeiten im Xlate beginnt nur, wenn alle zugehörigen Verbindungen für diesen Xlate beendet werden.

Wenn Sie die Ausgabe von show xlate und show conn korrelieren, können Sie sehen, dass die CONN-Werte mit Xlate-Werten übereinstimmen, die länger als die konfigurierte Zeitüberschreitung im Leerlauf waren. Hier ein Beispiel.

Geben Sie den Befehl show xlate (Port Address Translation, PAT) ein:

ASA# show xlate local port 54676

TCP PAT from inside:10.20.33.2/54676 to outside:192.0.2.3/54676 flags ri

idle 1:48:12 timeout 0:00:30

Geben Sie dann den Port im Befehl show conn an, um den zugehörigen Verbindungsvertrag zu finden:

ASA# show conn port 54676

TCP outside 192.168.22.3:443 events inside:10.20.33.2:54676, idle 0:03:52,

bytes 1807, flags UIO

Diese Verbindung ist der Übersetzung zugeordnet. Der lokale Port 54676 ist sowohl für die Verbindung als auch für den Übersetzungseintrag identisch. Diese TCP-Verbindung ist vorhanden, bis sie durch das Protokoll geschlossen wird (TCP-FINs oder Reset-Pakete) oder bis sie von der ASA (nach der standardmäßigen Zeitüberschreitung von 1 Stunde) zu einer Zeitüberschreitung führt. Wenn die Verbindung unterbrochen wird, wird auch die Übersetzung gelöscht, aber der Löschvorgang wird um "Timeout"-Sekunden verzögert.

Zugehörige Informationen

- Cisco Firewalls der nächsten Generation der Serie ASA 5500

- Technischer Support und Dokumentation - Cisco Systems