Qual é o flag de conexão 'x' na saída show xlate no ASA versão 9.0(1) e posterior?

Introduction

Este documento descreve o flag de conexão 'x' que aparece na saída do comando show xlate no ASA versão 9.0(1) e posterior.

Consulte as Convenções de Dicas Técnicas da Cisco para obter mais informações sobre convenções de documentos.

P. Qual é o flag de conexão 'x' na saída show xlate no ASA versão 9.0(1) e posterior?

R. O sinalizador 'x' indica que a conexão usa um xlate PAT 'por sessão'.

Aqui está um exemplo:

ASA# show conn address 10.107.84.210
55 in use, 108 most used
TCP outside  10.107.84.210:443 dmz  10.36.103.86:53613, 
    idle 0:00:30, bytes 18155, flags UxIO 
TCP outside  10.107.84.210:80 dmz  10.36.103.86:52723, 
    idle 0:00:57, bytes 2932, flags UxIO 
ASA#

No ASA versão 9.0(1) e posterior, o PAT declara que a conexão utilizada é imediatamente excluída da tabela xlate por padrão quando qualquer conexão TCP ou UDP baseada em DNS é fechada. Esse comportamento difere das versões de software anteriores à 9.0(1) em que o xlate dinâmico permaneceria na tabela por um período adicional de tempo limite de 30 segundos após a conexão ser interrompida.

Os comandos padrão que ativam esse comportamento podem ser vistos na configuração com o comando show run all xlate:

ASA# show run all xlate
xlate per-session permit tcp any4 any4
xlate per-session permit tcp any4 any6
xlate per-session permit tcp any6 any4
xlate per-session permit tcp any6 any6
xlate per-session permit udp any4 any4 eq domain
xlate per-session permit udp any4 any6 eq domain
xlate per-session permit udp any6 any4 eq domain
xlate per-session permit udp any6 any6 eq domain
ASA#

Se o ASA for atualizado de uma versão de software anterior à 9.0(1) para a versão 9.0(1) ou posterior, o comportamento de tempo limite de 30 segundos legado será mantido pela adição de regras específicas de negação por sessão xlate na configuração.

Um ASA que executa a versão 9.0(1) ou posterior que não foi atualizado terá as regras padrão aplicadas (como mostrado no exemplo de saída acima). Um ASA que foi atualizado para a versão 9.0(1) ou posterior incluirá as regras de xlate explícito não padrão aplicadas conforme mostrado neste exemplo de saída:

ASA# show run xlate
xlate per-session deny tcp any4 any4
xlate per-session deny tcp any4 any6
xlate per-session deny tcp any6 any4
xlate per-session deny tcp any6 any6
xlate per-session deny udp any4 any4 eq domain
xlate per-session deny udp any4 any6 eq domain
xlate per-session deny udp any6 any4 eq domain
xlate per-session deny udp any6 any6 eq domain

Os comandos xlate mostrados neste exemplo de saída são adicionados durante uma atualização para a versão 9.0(1) a fim de desabilitar xlates por sessão e preservar o comportamento da versão anterior.

Informações Relacionadas

• Suporte Técnico e Documentação - Cisco Systems