所有超时值均采用 hh:mm:ss 格式，大多数情况下，最大持续时间为 1193:0:0。使用 clear configure timeout 命令将所有超时重置为其默认值。如果只想将一个计时器重置为默认值，请输入 timeout 命令，将该设置重置为默认值。

使用 0 值以禁用计时器。

可以配置以下全局超时。

• timeout conn hh:mm:ss - 连接关闭之前允许的空闲时间，该值介于 0:5:0 到 1193:0:0 之间。默认值为 1 小时 (1:0:0)。

• timeout half-closed hh:mm:ss - TCP 半闭连接关闭之前允许的空闲时间。如果同时收到 FIN 和 FIN-ACK，则连接会被认为是半关闭的。如果只看到了 FIN，则常规 conn 超时适用。最小值为 30 秒。默认值为 10 分钟。

• timeout udp hh:mm:ss - UDP 连接关闭之前允许的空闲时间。此持续时间必须为至少 1 分钟。默认值为 2 分钟。

• timeout icmp hh:mm:ss - ICMP 允许的空闲时间，该值介于 0:0:2 到 1193:0:0 之间。默认值为 2 秒 (0:0:2)。

• timeout icmp-error hh:mm:ss - ASA 在收到 ICMP 回应应答数据包后删除 ICMP 连接之前允许的空闲时间，该值介于 0:0:0 到 0:1:0 之间；或者为 timeout icmp 值，以较低者为准。默认为 0（禁用）。如果禁用此超时并启用 ICMP 检测，ASA 将在收到回应应答后立即删除 ICMP 连接；因此，针对该（现已关闭）连接生成的任何 ICMP 错误都将被丢弃。此超时可延迟删除 ICMP 连接，以便您可以接收重要的 ICMP 错误。

• timeout sunrpc hh:mm:ss - 释放 SunRPC 插槽之前允许的空闲时间。此持续时间必须为至少 1 分钟。默认值为 10 分钟。

• timeout H323hh:mm:ss - H.245 (TCP) 和 H.323 (UDP) 媒体连接关闭之前允许的空闲时间，该值介于 0:0:0 到 1193:0:0 之间。默认值为 5 分钟 (0:5:0)。由于 H.245 和 H.323 媒体连接上设置的连接标志相同，因此 H.245 (TCP) 连接与 H.323（RTP 和 RTCP）媒体连接共享空闲超时。

• timeout h225 hh:mm:ss - H.225 信令连接关闭之前允许的空闲时间。H.225 默认超时为 1 小时 (1:0:0)。要在所有呼叫清除之后立即关闭连接，建议将该值设置为 1 秒 (0:0:1)。

• timeout mgcp hh:mm:ss - 删除 MGCP 媒体连接之前允许的空闲时间，该值介于 0:0:0 到 1193:0:0 之间。默认值为 5 分钟 (0:5:0)

• timeout mgcp-pat hh:mm:ss - 删除 MGCP PAT 转换之前允许的绝对间隔，该值介于 0:0:0 到 1193:0:0 之间。默认值为 5 分钟 (0:5:0)。最短时间为 30 秒。

• timeout sctp hh:mm:ss - 流控制传输协议 (SCTP) 连接关闭之前允许的空闲时间，该值介于 0:1:0 到 1193:0:0 之间。默认值为 2 分钟 (0:2:0)。

• timeout siphh:mm:ss - SIP 信令端口连接关闭之前允许的空闲时间，该值介于 0:5:0 到 1193:0:0 之间。默认值为 30 分钟 (0:30:0)。

• timeout sip_mediahh:mm:ss - SIP 媒体端口连接关闭之前允许的空闲时间。此持续时间必须为至少 1 分钟。默认值为 2 分钟。SIP 媒体计时器用于具有 SIP UDP 媒体数据包的 SIP RTP/RTCP，而不是 UDP 非活动超时。

• timeout sip-provisional-mediahh:mm:ss - SIP 临时媒体连接的超时值，该值介于 0:1:0 到 0:30:0 之间。默认值为 2 分钟。

• timeout sip-invitehh:mm:ss - 关闭 PROVISIONAL 响应和媒体转换的针孔之前允许的空闲时间，该值介于 0:1:0 到 00:30:0 之间。默认值为 3 分钟 (0:3:0)。

• timeout sip-disconnecthh:mm:ss - 在 CANCEL 或 BYE 消息未收到 200 OK 的情况下，删除 SIP 会话之前允许的空闲时间，该值介于 0:0:1 到 0:10:0 之间。默认值为 2 分钟 (0:2:0)。

• timeout uath hh:mm:ss {absolute | inactivity} - 身份验证和授权缓存超时并且用户必须对下一连接重新进行身份验证之前经过的持续时间，该值介于 0:0:0 到 1193:0:0 之间。默认值为 5 分钟 (0:5:0)。默认计时器为 absolute ；可以通过输入 inactivity 关键字设置在非活动状态持续了特定时间后发生超时。未经授权的持续时间必须比转换持续时间短。设置为 0 表示禁用缓存。如果连接使用被动 FTP 或使用虚拟 http 命令进行 Web 身份验证，请勿使用 0。

• timeout xlatehh:mm:ss - 释放转换插槽之前允许的空闲时间。此持续时间必须为至少 1 分钟。默认值为 3 小时。

• timeout pat-xlatehh:mm:ss - 释放 PAT 转换插槽之前允许的空闲时间，该值介于 0:0:30 到 0:5:0 之间。默认值为 30 秒。如果上游路由器拒绝使用释放的 PAT 端口的新连接，您可能会想要增加超时，因为以前的连接在上游设备中可能仍处于开放状态。

• timeout tcp-proxy-reassemblyhh:mm:ss - 丢弃等待重组的缓冲数据包之前允许的空闲超时，该值介于 0:0:10 到 1193:0:0 之间。默认值为 1 分钟 (0:1:0)。

• timeout floating-connhh:mm:ss - 当多个具有不同指标的路由共存于一个网络时，ASA 在创建连接时使用指标最好的路由。如果有更好的路由变得可用，则此超时可让连接关闭，以便使用更好的路由重新建立连接。默认值为 0（连接永不超时）。为了可以使用更好的路由，请将超时设置为 0:0:30 至 1193:0:0 之间的值。

• timeout conn-holddownhh:mm:ss - 系统应在该连接使用的路由不再存在或处于非活动状态时维持连接的时间长度。如果在此等待期间内路由未处于活动状态，系统将释放该连接。配置连接等待计时器的目的是为了降低路由摆动的影响，其中路由可能会快速显示和断开。您可以减小等待计时器，以便更快地进行路由融合。默认值为 15 秒，范围介于 00:00:00 到 00:00:15 秒之间。

• timeout igp stale-routehh:mm:ss - 从路由器信息库中删除过时路由之前允许保留的时间长度。这些路由供内部网关协议（例如 OSPF）使用。默认值为 70 秒 (00:01:10)，范围介于 00:00:10 到 00:01:40 之间。

class-map name
match parameter

policy-map name
class name

在默认配置中，global_policy 策略映射会全局性分配到所有接口。如果要编辑 global_policy，请输入 global_policy 作为策略名称。对于类映射，请指定在本程序前面部分中创建的类。

• set connection embryonic-conn-max n - 允许的最大同时初期 TCP 连接数，该值介于 0 到 2000000 之间。默认值为 0，允许无限制连接。

• set connection per-client-embryonic-max n - 每个客户端允许的最大同步初期 TCP 连接数，该值介于 0 到 2000000 之间。默认值为 0，允许无限制连接。

• set connection syn-cookie-mss n - 在达到初期连接限制时为初期连接的 SYN-Cookie 设置服务器最大分段大小 (MSS)，范围为 48 到 65535。默认值为 1380。仅当配置 set connection embryonic-conn-max 或 per-client-embryonic-max 时，此设置才有意义。

service-policy policymap_name {global | interface interface_name}

threat-detection statistics tcp-intercept [ rate-interval minutes] [ burst-rate attacks_per_sec] [ average-rate attacks_per_sec]

其中：

• rate-interval minutes 设置历史监控窗口的大小，该值介于 1 到 1440 分钟之间。默认值为 30 分钟。在此间隔内，ASA 将对攻击数量抽样 30 次。

• burst-rate attacks_per_sec 设置生成系统日志消息的阈值，该值介于 25 到 2147483647 之间。默认值为每秒 400 条消息。超出突发速率时，将生成系统日志消息 733104。

• average-rate attacks_per_sec 设置生成系统日志消息的平均速率阈值，该值介于 25 到 2147483647 之间。默认值为每秒 200 条消息。超出平均速率时，将生成系统日志消息 733105。

• show threat-detection statistics top tcp-intercept [all | detail] - 查看遭受攻击的前 10 名受保护服务器。all 关键字显示所有被跟踪服务器的历史数据。detail 关键字显示历史采样数据。在该速率间隔内，ASA 会对攻击数量抽样 30 次，所以对于默认的 30 分钟期间，统计信息每 60 秒收集一次。

• clear threat-detection statistics tcp-intercept - 清除 TCP 拦截统计信息。

• check-retransmission - 防止 TCP 重新传输出现不一致。此命令默认禁用。

• checksum-verification - 验证 TCP 校验和，丢弃验证失败的数据包。此命令默认禁用。

• exceed-mss {allow | drop} - 允许或丢弃数据长度超出 TCP 最大分段大小的数据包。默认为允许数据包。

• invalid-ack {allow | drop} - 允许或丢弃具有无效 ACK 的数据包。默认丢弃该类数据包，但 WAAS 连接除外，因为系统允许 WAAS 连接。可能会在以下实例中看到无效 ACK：

  • 在 TCP 连接 SYN-ACK 已接收状态下，如果已接收的 TCP 数据包的 ACK 号与正在发送的下一个 TCP 数据包的序列号不完全相同，则是无效 ACK。

  • 如果已收到 TCP 数据包的 ACK 号大于发送的下一个 TCP 数据包的序列号，则为无效 ACK。

• queue-limit pkt_num [timeout seconds] - 设置 TCP 连接可缓冲并可按顺序排列的最大无序数据包数量，该值介于 1 到 250 个数据包之间。默认值为 0，表示禁用此设置，而且使用的默认系统队列限制取决于流量类型：

  • 对于用于应用检查（inspect 命令）、 和 TCP 检查重传（TCP 映射 check-retransmission 命令）的连接，队列限制为 3 个数据包。如果 ASA 收到具有不同窗口大小的 TCP 数据包，则队列限制会动态变化以符合传送的设置。

  • 对于其他 TCP 连接，无序数据包会按原样通过。

  如果将 queue-limit 命令设置为 1 或以上，则允许用于所有 TCP 流量的无序数据包的数量与此设置匹配。例如，对于应用检查 和 TCP 检查重发流量，来自 TCP 数据包的所有通告设置将被忽略，以支持 queue-limit 设置。对于其他 TCP 流量，现在会缓冲无序数据包并将其按顺序排列，而不是按原样通过。

  timeout seconds 参数设置无序数据包可停留在缓冲区的最长时间，介于 1 至 20 秒之间；如果这些数据包在超时期间内未按顺序排列并通过，则将被丢弃。默认值为 4 秒。如果 pkt_num 参数设置为 0，则不能更改任何流量的超时；需要将该限制设置为 1 或更大的值，timeout 关键字才会生效。

• reserved-bits {allow | clear | drop} - 为 TCP 报头保留位设置操作。可以 allow 数据包（不更改保留位），clear 保留位并允许数据包，或者 drop 数据包。

• seq-past-window {allow | drop} - 为具有超出窗口序列号的数据包设置操作，即已收到 TCP 数据包的序列号超出 TCP 接收窗口的右边。仅当 queue-limit 命令设置为 0（禁用）时，才可以 allow 数据包。默认为丢弃数据包。

• synack-data {allow | drop} - 允许或丢弃含有数据的 TCP SYNACK 数据包。默认为丢弃数据包。

• syn-data {allow | drop} - 允许或丢弃含有数据的 SYN 数据包。默认为允许数据包。

• tcp-options {md5 | mss | selective-ack | timestamp | window-scale | range lower upper} action - 设置包含 TCP 选项的数据包的操作。这些选项被命名为：md5 、mss 、selective-ack （选择性确认机制）、timestamp 和 window-scale （窗口缩放机制）。对于其他选项，可按 range 关键字中的编号指定它们，其中的范围限制为 6-7、9-18 和 20-255。要按编号定位单一选项，请对范围下限和上限输入相同的编号。可以在映射中多次输入命令来定义完整的策略。请注意，如果 TCP 连接已检测，则不论您的配置如何，都会清除除 MSS 和选择性确认 (SACK) 选项以外的所有选项。可能的操作如下：

  • allow [multiple] - 允许包含单一此类型选项的数据包。这是所有已命名选项的默认设置。如果要允许数据包，即便其中包含该选项的多个实例亦不例外，请添加 multiple 关键字。（multiple 关键字不适用于 range 。）

  • maximum limit - 仅适用于 mss 。将最大分段大小设置为所示的限制，范围为 68-65535。默认 TCP MSS 在 sysopt connection tcpmss 命令中定义。

  • clear - 从报头中删除此类型的选项并允许该数据包。这是所有已编号选项的默认设置。请注意，清除时间戳选项将禁用 PAWS 和 RTT。

  • drop - 丢弃包含此选项的数据包。此操作仅适用于 md5 和 range 。

• ttl-evasion-protection - 为连接设置最大 TTL 数，由初始数据包中的 TTL 确定。后续数据包的 TTL 可以减少，但不能增加。系统会将 TTL 重置为该连接之前看到过的最低 TTL。这样有助于防御 TTL 回避攻击。默认启用 TTL 逃逸防护，因此只需要输入此命令的 no 形式。

  例如，攻击者可能发送一个使用极短 TTL 通过策略的数据包。当 TTL 变为零时，ASA 与终端之间的路由器将丢弃该数据包。攻击者可能在此时发送包含长 TTL 的恶意数据包，在 ASA 看来则像是重新传输数据包并进行传送。但到达终端主机时，它是攻击者收到的第一个数据包。在这种情况下，攻击者可以成功绕过防范攻击的安全措施。

• urgent-flag {allow | clear} - 为具有 URG 标志的数据包设置操作。可以 allow 数据包，或者 clear 标志并允许数据包。默认为清除标志。

  URG 标志用于指示数据包包含优先级高于流内其他数据的信息。TCP RFC 对 URG 标记的确切解释比较模糊，因此终端系统以不同的方式处理紧急偏移，这可能使终端系统容易受到攻击。

• window-variation {allow | drop} - 允许或丢弃意外更改其窗口大小的连接。默认为允许连接。

  窗口大小机制允许 TCP 通告一个大窗口，随后通告一个不接受过多数据的较小窗口。根据 TCP 规范，强烈反对“缩小窗口”。检测到这种情况时，连接可能会断开。

class-map name
match parameter

有关匹配语句的信息，请参阅为通过流量创建第 3/4 层类映射。

policy-map name
class name

在默认配置中，global_policy 策略映射会全局性分配到所有接口。如果要编辑 global_policy，请输入 global_policy 作为策略名称。对于类映射，请指定在本程序前面部分中创建的类。

默认情况下，没有连接限制。如果实施了限制，系统就必须开始跟踪它们，这可能会增加 CPU 和内存的使用量，导致系统（尤其是集群中的系统）在负载较重的情况下出现运行问题。

• set connection conn-max n -（TCP、UDP、SCTP。）整个类允许的最大同时连接数，该值介于 0 到 2000000 之间。默认值为 0，允许无限制连接。对于 TCP 连接，这仅适用于已建立的连接。

  • 如果有两台服务器被配置为允许同时连接，则连接限制单独适用于每个配置的服务器。

  • 由于限制适用于一个类，一台攻击主机可占用所有连接而且使其余所有主机无法与该类匹配。

• set connection per-client-max n -（TCP、UDP、SCTP。）每个客户端允许的最大同时连接数，该值介于 0 到 2000000 之间。默认值为 0，允许无限制连接。此参数限制与类匹配的每台主机所允许的最大同步连接数。对于 TCP 连接，这包括已建立、半开和半闭的连接。

• set connection embryonic-conn-max n - 允许的最大同时初期 TCP 连接数，该值介于 0 到 2000000 之间。默认值为 0，允许无限制连接。通过设置非零限制启用 TCP 拦截，从而防止内部系统受到 DoS 攻击（这种攻击使用 TCP SYN 数据包对接口发起泛洪攻击）。另外，请设置每客户端选项，以防止 SYN 泛洪。

• set connection per-client-embryonic-max n - 每个客户端允许的最大同时初期 TCP 连接数，该值介于 0 到 2000000 之间。默认值为 0，允许无限制连接。

• set connection syn-cookie-mss n - 在达到初期连接限制时为初期连接的 SYN-Cookie 设置服务器最大分段大小 (MSS)，范围为 48 到 65535。默认值为 1380。仅当配置 set connection embryonic-conn-max 或 per-client-embryonic-max 时，此设置才有意义。

• set connection random-sequence-number {enable | disable} - 启用还是禁用 TCP 序列号随机化。默认情况下启用随机化。

下述默认值假设未使用 timeout 命令更改这些行为的全局默认值；全局默认值覆盖此处所述的值。输入 0 禁用计时器，以便连接永不超时。

• set connection timeout embryonic hh:mm:ss - TCP 初期（半开）连接关闭之前的超时时间，该值介于 0:0:5 到 1193:00:00 之间。默认值为 0:0:30。

• set connection timeout idle hh:mm:ss [reset] - 空闲超时期间，该期间过后建立的任何协议连接均将关闭，该值介于 0:0:1 到 1193:0:0 之间。默认值为 1:0:0。对于 TCP 流量，在连接超时情况下，reset 关键字会向 TCP 终端发送重置消息。

  默认 udp 空闲超时为 2 分钟。默认 icmp 空闲超时为 2 秒。默认 esp 和 ha 空闲超时为 30 秒。对于所有其他协议，默认空闲超时为 2 分钟。

• set connection timeout half-closed hh:mm:ss - - 半闭连接关闭前的空闲超时期间，该值介于 0:5:0（适用于 9.1(1) 和更早版本）或 0:0:30（适用于 9.1(2) 和更高版本）到 1193:0:0 之间。默认值为 0:10:0。半闭连接不受 DCD 影响。另外，当半闭连接断开时，ASA 不会发送重置。

• set connection timeout dcd [retry-interval [max_retries]] - 启用失效连接检测 (DCD)。在空闲连接过期前，ASA 会探测终端主机来确定连接是否有效。如果两台主机均响应，系统会保留连接，否则会释放连接。在透明防火墙模式下运行，必须为终端配置静态路由。不能在同时分流的连接上配置 DCD，因此要确保 DCD 和流量分流流量类别不重叠。使用 show conn detail 命令跟踪发起方和响应方发送的 DCD 探测数量。

  retry-interval 以 hh:mm:ss 格式设置每个未响应的 DCD 探测在发送另一个探测之前等待的时间段，该值介于 0:0:1 到 24:0:0 之间。默认值为 0:0:15。max-retries 设置 DCD 在宣称连接为失效连接之前可连续失败重试的次数。最小值为 1，最大值为 255。默认值为 5。

  对于在集群或高可用性配置中运行的系统，我们建议您不要将间隔设置为小于一分钟 (0:1:0)。如果需要在系统之间移动连接，则所需的更改需要花费超过 30 秒，并且连接可能会在完成更改之前被删除。

要允许跟踪路由通过 ASA（作为其中一跳显示 ASA），需要使用此命令连同 icmp unreachable 命令。

高级选项指在正常情况下无需使用的专用配置。使用 set connection advanced-options 命令进行配置。

• set connection advanced-options tcp_map_name - 通过应用 TCP 映射自定义 TCP 规范器行为。有关详细信息，请参阅自定义异常 TCP 数据包处理（TCP 映射、TCP 规范器）。

• set connection advanced-options tcp-state-bypass - 实施 TCP 状态绕行。有关详细信息，请参阅绕过非对称路由的 TCP 状态检查（TCP 状态绕行）。

• set connection advanced-options sctp-state-bypass - 实施 SCTP 状态绕行，以便关闭 SCTP 状态检测。有关详细信息，请参阅SCTP 状态检测。

• set connection advanced-options flow-offload -（仅限 FXOS 1.1.3 或更高版本 Firepower 4100/9300 机箱 中的 ASA。）实施流量卸载。将符合条件的流量卸载到使用 NIC 本身交换流量的超快路径。此外，还必须输入 flow-offload enable 命令，该命令不属于服务策略。

service-policy policymap_name {global | interface interface_name}

service { resetinbound [ interface interface_name ] | resetoutbound [ interface interface_name ] | resetoutside }

• resetinbound 。为所有试图通过 ASA 并被 ASA 根据访问列表或 AAA 设置拒绝的入站 TCP 会话发送 TCP 重置。ASA 还会对访问列表或 AAA 允许但不属于现有连接且被状态防火墙拒绝的数据包发送重置。相同安全级别接口之间的流量也会受到影响。不启用此选项时，ASA 会静默地丢弃被拒绝的数据包。如果未指定接口，则此设置适用于所有接口。

• resetoutbound 。为所有试图通过 ASA 并被 ASA 根据访问列表或 AAA 设置拒绝的出站 TCP 会话发送 TCP 重置。ASA 还会对访问列表或 AAA 允许但不属于现有连接且被状态防火墙拒绝的数据包发送重置。相同安全级别接口之间的流量也会受到影响。不启用此选项时，ASA 会静默地丢弃被拒绝的数据包。默认情况下，此选项已启用。例如，您可能希望禁用出站重置，以减少流量风暴期间的 CPU 负载。

• resetoutside 。对终止于安全性最低的接口且被 ASA 根据访问列表或 AAA 设置拒绝的 TCP 数据包启用重置。ASA 还会对访问列表或 AAA 允许但不属于现有连接且被状态防火墙拒绝的数据包发送重置。不启用此选项时，ASA 会静默地丢弃被拒绝的数据包。

  建议您将此选项与接口 PAT 配合使用。此选项允许 ASA 终止来自外部 SMTP 或 FTP 服务器的 IDENT。主动重置这些连接可避免 30 秒的超时延迟。

sysopt connection tcpmss [ minimum ] bytes

不带 minimum 关键字。以字节为单位设置 TCP 最大分片大小，范围在 48 和任何最大值之间。默认值为 1380 字节。您可以禁用此功能，只需将字节数设置为 0。

minimum 。覆盖最大段大小，使其不小于指定字节，介于 48 和 65535 字节之间。默认情况下，此功能已禁用（设置为 0）。

sysopt connection timewait

使用此命令可强制每个 TCP 连接在最后一个正常 TCP 关闭序列后处于缩短的 TIME_WAIT 状态（至少 15 秒）。如果终端主机应用默认的 TCP 终止序列是同时关闭，则可能需要使用此功能。

sysopt connection tcp-max-unprocessed-seg 数据段

设置 TCP 未处理网段的最大数量，从 6 到 24 不等。默认值为 6。如果您发现 SIP 电话未连接到呼叫管理器，您可以尝试增加未处理的 TCP 分段的最大数量。