Pourquoi l'ASA a-t-elle des entrées de xlate avec des valeurs de veille plus longues que les délais d'attente configurés ?

Introduction

Ce document explique pourquoi les entrées de xlate avec des valeurs de veille sont plus longues que les délais d'attente configurés. Il fournit également des informations comment vous pouvez corréler et voir les conn. et les valeurs de xlate.

Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.

Q. Pourquoi l'appliance de sécurité adaptable (ASA) a-t-elle des entrées de xlate avec des valeurs de veille plus longues que les délais d'attente configurés ?

A. Voici un exemple qui affiche les entrées de xlate avec des valeurs de veille plus longues que les délais d'attente configurés :

ASA#show xlate
26 in use, 16665 most used
Flags: D - DNS, e - extended, I - identity, 
   I - dynamic, r - portmap, s - static,  
   T - twice, N - net-to-net
TCP PAT from inside:10.20.33.2/54676 to outside: 
   192.0.2.3/54676 flags ri idle 1:48:12  
   timeout 0:00:30
TCP PAT from inside:10.20.33.2/54397 to outside: 
   192.0.2.3/54397 flags ri idle 2:03:59  
   timeout 0:00:30
TCP PAT from inside:10.20.33.2/54369 to outside: 
   192.0.2.3/54369 flags ri idle 2:04:26  
   timeout 0:00:30
TCP PAT from inside:10.20.33.3/56695 to outside: 
   192.0.2.3/56695 flags ri idle 0:09:22  
   timeout 0:00:30
TCP PAT from inside:10.20.33.3/55880 to outside: 
   192.0.2.3/55880 flags ri idle 0:33:12  
   timeout 0:00:30
TCP PAT from inside:10.20.33.3/54431 to outside: 
   192.0.2.3/54431 flags ri idle 2:03:23  
   timeout 0:00:30

Si une connexion est soumise à la traduction (xlate) sur l'ASA, d'abord la traduction est établie, alors la connexion est établie, et en conclusion, la connexion est associée avec cette traduction. Les débuts de délai d'attente d'inactif de xlate seulement quand toutes les connexions associées pour ce xlate sont terminées.

Si vous corrélez la sortie du show xlate et du show conn, vous pouvez voir que les conn. évaluent les valeurs de xlate de correspondance qui ont été de veille pour plus long que le délai d'attente configuré. Voici un exemple.

Sélectionnez la commande de show xlate de translation d'adresses d'adresse du port (PAT) :

ASA# show xlate local port 54676 
TCP PAT from inside:10.20.33.2/54676 to outside:192.0.2.3/54676 flags ri 
   idle 1:48:12 timeout 0:00:30

Puis, spécifiez le port dans la commande de show conn de trouver l'entrée associée de connexion :

ASA# show conn port 54676
TCP outside 192.168.22.3:443 events inside:10.20.33.2:54676, idle 0:03:52, 
   bytes 1807, flags UIO

Cette connexion est associée avec la traduction. Le port local 54676 est identique pour la connexion et l'entrée de traduction. Cette connexion TCP est présente jusqu'à ce qu'elle soit fermée par le protocole (des FINS de TCP ou des paquets de remise), ou jusqu'à elle chronomètre par l'ASA (après le délai d'attente par défaut de 1 heure). Quand la connexion est prise vers le bas, la traduction est également supprimée, mais cette suppression est retardée pendant des secondes de « délai d'attente ».

Informations connexes

• Pare-feu de nouvelle génération de gamme de Cisco ASA 5500
• Support et documentation techniques - Cisco Systems