Contenido

Introducción

¿Cuál es el indicador de conexión 'x' en el resultado show xlate en ASA versión 9.0(1) y posteriores?

Información Relacionada

Introducción

Este documento describe el indicador de conexión 'x' que aparece en la salida del comando show xlate en ASA versión 9.0(1) y posteriores.

Consulte Convenciones de Consejos TécnicosCisco para obtener más información sobre las convenciones del documento.

P. ¿Cuál es el indicador de conexión 'x' en el resultado show xlate en ASA versión 9.0(1) y posteriores?

A. El indicador 'x' indica que la conexión utiliza una xlate PAT 'por sesión'.

Aquí tiene un ejemplo:

ASA# show conn address 10.107.84.210

55 in use, 108 most used

TCP outside  10.107.84.210:443 dmz  10.36.103.86:53613,

idle 0:00:30, bytes 18155, flags UxIO

TCP outside  10.107.84.210:80 dmz  10.36.103.86:52723,

idle 0:00:57, bytes 2932, flags UxIO

ASA#

En ASA versión 9.0(1) y posteriores, la traducción PAT que la conexión utilizada se elimina inmediatamente de la tabla xlate de forma predeterminada cuando se cierra cualquier conexión DNS basada en TCP o UDP. Este comportamiento difiere de las versiones de software anteriores a la 9.0(1) en las que la xlate dinámica permanecería en la tabla durante un período de tiempo de espera adicional de 30 segundos después de que la conexión se desactivara.

Los comandos predeterminados que habilitan este comportamiento se pueden ver en la configuración con el comando show run all xlate:

ASA# show run all xlate

xlate per-session permit tcp any4 any4

xlate per-session permit tcp any4 any6

xlate per-session permit tcp any6 any4

xlate per-session permit tcp any6 any6

xlate per-session permit udp any4 any4 eq domain

xlate per-session permit udp any4 any6 eq domain

xlate per-session permit udp any6 any4 eq domain

xlate per-session permit udp any6 any6 eq domain

ASA#

Si ASA se actualiza de una versión de software anterior a la 9.0(1) a la versión 9.0(1) o posterior, se mantiene el comportamiento de tiempo de espera de 30 segundos heredado agregando reglas de denegación específicas xlate por sesión en la configuración.

Un ASA que ejecuta la versión 9.0(1) o posterior que no se actualizó tendrá las reglas predeterminadas aplicadas (como se muestra en el ejemplo de salida anterior). Un ASA que se ha actualizado a la versión 9.0(1) o posterior incluirá las reglas explícitas de xlate no predeterminadas aplicadas como se muestra en este ejemplo de salida:

ASA# show run xlate

xlate per-session deny tcp any4 any4

xlate per-session deny tcp any4 any6

xlate per-session deny tcp any6 any4

xlate per-session deny tcp any6 any6

xlate per-session deny udp any4 any4 eq domain

xlate per-session deny udp any4 any6 eq domain

xlate per-session deny udp any6 any4 eq domain

xlate per-session deny udp any6 any6 eq domain

Los comandos xlate que se muestran en este ejemplo de salida se agregan durante una actualización a la versión 9.0(1) para inhabilitar xlates por sesión y conservar el comportamiento de la versión anterior.

Información Relacionada

- Soporte Técnico y Documentación - Cisco Systems