ASAのTCP接続フラグの確立と解放

はじめに

このドキュメントでは、適応型セキュリティアプライアンス(ASA)のTCP接続フラグについて説明します。

前提条件

要件

次の項目に関する知識があることが推奨されます。

• TCP 通信プロトコルの基礎知識

• ASA CLI の基本的な知識

使用するコンポーネント

このドキュメントの情報は、ASA バージョン 8.4 に基づくものです。

このドキュメントの情報は、特定のラボ環境にあるデバイスに基づいて作成されました。このドキュメントで使用するすべてのデバイスは、クリアな（デフォルト）設定で作業を開始しています。本稼働中のネットワークでは、各コマンドによって起こる可能性がある影響を十分確認してください。

ASA の TCP 接続フラグ

適応型セキュリティアプライアンス(ASA)経由でTCP接続のトラブルシューティングを行う場合、各TCP接続に対して表示される接続フラグによって、ASAへのTCP接続の状態に関する豊富な情報が得られます。この情報を使用して、ASA の問題、およびネットワークの別の場所の問題を解決できます。

show conn protocol tcp コマンドの出力は次のとおりです。これは ASA でのすべての TCP 接続の状態を示します。この接続は、show conn コマンドでも調べることができます。

ASA# show conn protocol tcp
101 in use, 5589 most used.
TCP outside 10.23.232.59:5223 inside 192.168.1.3:52419, idle 0:00:11, bytes 0, flags saA
TCP outside 192.168.3.5:80 dmz 172.16.103.221:57646, idle 0:00:29, bytes 2176, flags UIO
TCP outside 10.23.232.217:5223 inside 192.168.1.3:52425, idle 0:00:10, bytes 0, flags saA
TCP outside 10.23.232.217:443 inside 192.168.1.3:52427, idle 0:01:02, bytes 4504, flags UIO
TCP outside 10.23.232.57:5223 inside 192.168.1.3:52412, idle 0:00:23, bytes 0, flags saA
TCP outside 10.23.232.116:5223 inside 192.168.1.3:52408, idle 0:00:23, bytes 0, flags saA
TCP outside 10.23.232.60:5223 inside 192.168.1.3:52413, idle 0:00:23, bytes 0, flags saA
TCP outside 10.23.232.96:5223 inside 192.168.1.3:52421, idle 0:00:11, bytes 0, flags saA
TCP outside 10.23.232.190:5223 inside 192.168.1.3:52424, idle 0:00:10, bytes 0, flags saA

次の図は、TCPステートマシンのさまざまな段階でのASA TCP接続フラグを示しています。接続フラグは、ASA で show conn コマンドを使用して調べることができます。

TCP 接続フラグの値

また、可能なすべての接続フラグを表示するには、コマンドラインで show connection detail コマンドを実行します。

ASA5515-X# show conn detail
35 in use, 199 most used
Flags: A - awaiting inside ACK to SYN, a - awaiting outside ACK to SYN,
       B - initial SYN from outside, b - TCP state-bypass or nailed,
       C - CTIQBE media, c - cluster centralized,
       D - DNS, d - dump, E - outside back connection, F - outside FIN, f - inside FIN,
       G - group, g - MGCP, H - H.323, h - H.225.0, I - inbound data,
       i - incomplete, J - GTP, j - GTP data, K - GTP t3-response
       k - Skinny media, M - SMTP data, m - SIP media, n - GUP
       O - outbound data, P - inside back connection, p - Phone-proxy TFTP connection,
       q - SQL*Net data, R - outside acknowledged FIN,
       R - UDP SUNRPC, r - inside acknowledged FIN, S - awaiting inside SYN,
       s - awaiting outside SYN, T - SIP, t - SIP transient, U - up,
       V - VPN orphan, W - WAAS,
       X - inspected by service module,
       x - per session, Y - director stub flow, y - backup stub flow,
       Z - Scansafe redirection, z - forwarding stub flow