Pour les partenaires
Vous êtes déjà partenaire?
ConnexionAvez-vous un compte?
Ce document explique pourquoi les entrées xlate avec des valeurs inactives sont plus longues que les délais d'attente configurés. Il fournit également des informations sur la manière dont vous pouvez corréler et voir les valeurs conn et xlate.
Pour plus d'informations sur les conventions utilisées dans ce document, reportez-vous à Conventions relatives aux conseils techniques Cisco.
A. Voici un exemple qui montre les entrées xlate avec des valeurs d'inactivité supérieures aux délais d'attente configurés :
ASA#show xlate 26 in use, 16665 most used Flags: D - DNS, e - extended, I - identity, I - dynamic, r - portmap, s - static, T - twice, N - net-to-net TCP PAT from inside:10.20.33.2/54676 to outside: 192.0.2.3/54676 flags ri idle 1:48:12 timeout 0:00:30 TCP PAT from inside:10.20.33.2/54397 to outside: 192.0.2.3/54397 flags ri idle 2:03:59 timeout 0:00:30 TCP PAT from inside:10.20.33.2/54369 to outside: 192.0.2.3/54369 flags ri idle 2:04:26 timeout 0:00:30 TCP PAT from inside:10.20.33.3/56695 to outside: 192.0.2.3/56695 flags ri idle 0:09:22 timeout 0:00:30 TCP PAT from inside:10.20.33.3/55880 to outside: 192.0.2.3/55880 flags ri idle 0:33:12 timeout 0:00:30 TCP PAT from inside:10.20.33.3/54431 to outside: 192.0.2.3/54431 flags ri idle 2:03:23 timeout 0:00:30Si une connexion est soumise à une traduction (xlate) sur l'ASA, d'abord la traduction est construite, puis la connexion est construite, et enfin, la connexion est associée à cette traduction. Le délai d'inactivité xlate ne démarre que lorsque toutes les connexions associées à xlate sont terminées.
Si vous corrélez les résultats de show xlate et show conn, vous pouvez voir que les valeurs conn correspondent aux valeurs xlate qui ont été inactives pendant plus longtemps que le délai d'attente configuré.Voici un exemple.
Entrez la commande Port Address Translation (PAT) show xlate :
ASA# show xlate local port 54676 TCP PAT from inside:10.20.33.2/54676 to outside:192.0.2.3/54676 flags ri idle 1:48:12 timeout 0:00:30Ensuite, spécifiez le port dans la commande show conn pour rechercher l'entrée de connexion associée :
ASA# show conn port 54676 TCP outside 192.168.22.3:443 events inside:10.20.33.2:54676, idle 0:03:52, bytes 1807, flags UIOCette connexion est associée à la traduction. Le port local 54676 est le même pour la connexion et l'entrée de traduction. Cette connexion TCP est présente jusqu'à ce qu'elle soit fermée par le protocole (FIN TCP ou paquets de réinitialisation), ou jusqu'à ce qu'elle expire par l'ASA (après le délai par défaut d'une heure). Lorsque la connexion est arrêtée, la traduction est également supprimée, mais cette suppression est retardée de « délai d'attente » secondes.