Por que o ASA tem entradas de xlate com valores ociosos maiores que os tempos limite configurados?

Introduction

Este documento explica por que as entradas xlate com valores ociosos são maiores que os tempos limite configurados. Ele também fornece informações sobre como você pode correlacionar e ver os valores conn e xlate.

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

P. Por que o Adaptive Security Appliance (ASA) tem entradas xlate com valores ociosos maiores que os tempos limite configurados?

R. Aqui está um exemplo que mostra as entradas xlate com valores ociosos maiores que os tempos limite configurados:

ASA#show xlate
26 in use, 16665 most used
Flags: D - DNS, e - extended, I - identity, 
   I - dynamic, r - portmap, s - static,  
   T - twice, N - net-to-net
TCP PAT from inside:10.20.33.2/54676 to outside: 
   192.0.2.3/54676 flags ri idle 1:48:12  
   timeout 0:00:30
TCP PAT from inside:10.20.33.2/54397 to outside: 
   192.0.2.3/54397 flags ri idle 2:03:59  
   timeout 0:00:30
TCP PAT from inside:10.20.33.2/54369 to outside: 
   192.0.2.3/54369 flags ri idle 2:04:26  
   timeout 0:00:30
TCP PAT from inside:10.20.33.3/56695 to outside: 
   192.0.2.3/56695 flags ri idle 0:09:22  
   timeout 0:00:30
TCP PAT from inside:10.20.33.3/55880 to outside: 
   192.0.2.3/55880 flags ri idle 0:33:12  
   timeout 0:00:30
TCP PAT from inside:10.20.33.3/54431 to outside: 
   192.0.2.3/54431 flags ri idle 2:03:23  
   timeout 0:00:30

Se uma conexão é sujeita à tradução (xlate) no ASA, primeiro a tradução é criada, então a conexão é criada e, finalmente, a conexão é associada a essa tradução. O tempo limite de ociosidade do xlate só é iniciado quando todas as conexões associadas a esse xlate são terminadas.

Se você correlacionar a saída de show xlate e show conn, poderá ver que os valores conn correspondem aos valores xlate que estiveram ociosos por mais tempo do que o tempo limite configurado.Exemplo:

Insira o comando show xlate da Conversão de endereço de porta (PAT):

ASA# show xlate local port 54676 
TCP PAT from inside:10.20.33.2/54676 to outside:192.0.2.3/54676 flags ri 
   idle 1:48:12 timeout 0:00:30

Em seguida, especifique a porta no comando show conn para localizar a entrada de conexão associada:

ASA# show conn port 54676
TCP outside 192.168.22.3:443 events inside:10.20.33.2:54676, idle 0:03:52, 
   bytes 1807, flags UIO

Esta conexão está associada à tradução. A porta local 54676 é a mesma para a conexão e para a entrada de conversão. Essa conexão TCP está presente até ser fechada pelo protocolo (TCP FINs ou pacotes de reinicialização) ou até que o tempo limite do ASA (após o tempo limite padrão de 1 hora). Quando a conexão é desativada, a tradução também é excluída, mas essa exclusão é atrasada por segundos de "tempo limite".

Informações Relacionadas

• Firewalls de próxima geração Cisco ASA 5500 Series
• Suporte Técnico e Documentação - Cisco Systems