内容

概要

ASA バージョン 9.0(1) 以降での show xlate の出力の「X」接続フラグについて

関連情報

概要

このドキュメントでは、ASA バージョン 9.0(1) 以降の show xlate コマンドの出力に表示される「X」接続フラグについて説明します。

ドキュメント表記の詳細は、『シスコ テクニカル ティップスの表記法』を参照してください。

Q. ASAバージョン9.0(1)以降のshow xlate出力の「x」接続フラグは何ですか。

A. 「x」フラグは、接続が「セッション単位」のPAT xlateを使用することを示します。

以下が一例です。

ASA# show conn address 10.107.84.210

55 in use, 108 most used

TCP outside  10.107.84.210:443 dmz  10.36.103.86:53613,

idle 0:00:30, bytes 18155, flags UxIO

TCP outside  10.107.84.210:80 dmz  10.36.103.86:52723,

idle 0:00:57, bytes 2932, flags UxIO

ASA#

ASA バージョン 9.0(1) 以降では、TCP または UDP ベースの DNS 接続が閉じると、接続が使用した PAT xlate が xlate の表からデフォルトでただちに削除されます。この動作は、接続がダウンした後、追加で 30 秒タイムアウトする間、ダイナミック xlate が表にとどまるという動作をする、9.0(1) より前のソフトウェア バージョンとは異なります。

この動作をイネーブルにするデフォルトのコマンドは、show run all xlate コマンドを指定した設定で確認できます：

ASA# show run all xlate

xlate per-session permit tcp any4 any4

xlate per-session permit tcp any4 any6

xlate per-session permit tcp any6 any4

xlate per-session permit tcp any6 any6

xlate per-session permit udp any4 any4 eq domain

xlate per-session permit udp any4 any6 eq domain

xlate per-session permit udp any6 any4 eq domain

xlate per-session permit udp any6 any6 eq domain

ASA#

ASA がバージョン 9.0(1) より前のソフトウェア バージョンから 9.0(1) 以降にアップグレードされると、レガシーが 30 秒タイムアウトする動作は、特定の xlate per-session deny ルールを設定に追加することによって維持されます。

アップグレードされずにバージョン 9.0(1) 以降を実行する ASA には、デフォルト規則が適用されます（上記の出力例を参照）。 バージョン 9.0(1) 以降にアップグレードされた ASA は、次の出力例に示すように、デフォルト以外の明示 xlate ルールが適用されます：

ASA# show run xlate

xlate per-session deny tcp any4 any4

xlate per-session deny tcp any4 any6

xlate per-session deny tcp any6 any4

xlate per-session deny tcp any6 any6

xlate per-session deny udp any4 any4 eq domain

xlate per-session deny udp any4 any6 eq domain

xlate per-session deny udp any6 any4 eq domain

xlate per-session deny udp any6 any6 eq domain

この出力例で示す xlate コマンドは、バージョン 9.0(1) へのアップグレード中に追加され、セッションごとの xlates をディセーブルにして以前のバージョンの動作を維持します。

関連情報

- テクニカル サポートとドキュメント – Cisco Systems