カテゴリー: Network

リモートワークでほぼ使っていないはずのネットワークで、外部アクセスが遅いという。ウェブ会議などで、コネクション数が異常にふえていないかどうかを確認してみる。

Cisco ASAにCLIで接続して、現在のコネクション数をカウントする。enableモードで、show conn count すると、現在の接続数がわかる。これは、そのからのVPN接続も、内部からのウェブなどのアクセスも含めたコネクション数になる。

show conn count

■実行してみたところ

ciscoasa# show conn count
994 in use, 1701 most used
ciscoasa#

最大のコネクション数などを確認したい場合は、show resource usageで確認する。これで、最大数やピーク時の接続数などを一覧で確認できる。

show resource usage

■実行してみたところ

ciscoasa# show resource usage
Resource                 Current        Peak      Limit        Denied Context
Telnet                         1           1          5             0 System
SSH Server                     0           1          5             0 System
Syslogs [rate]                93        1137        N/A             0 System
Conns                        983        1701     100000             0 System
Xlates                      1016        2301        N/A             0 System
Hosts                        427         720        N/A             0 System
Conns [rate]                  27         478        N/A             0 System
Inspects [rate]               12         477        N/A             0 System
Routes                        56          69  unlimited             0 System
ciscoasa#

コネクション生成レートは、show perfmonコマンドで確認できる。

■実行してみたところ

ciscoasa# show perfmon

PERFMON STATS:                     Current      Average
Xlates                                8/s          0/s
Connections                          18/s          1/s
TCP Conns                             7/s          1/s
UDP Conns                            10/s          2/s
URL Access                            0/s          0/s
URL Server Req                        0/s          0/s
TCP Fixup                             0/s          0/s
TCP Intercept Established Conns       0/s          0/s
TCP Intercept Attempts                0/s          0/s
TCP Embryonic Conns Timeout           0/s          0/s
HTTP Fixup                            0/s          0/s
FTP Fixup                             0/s          0/s
AAA Authen                            0/s          0/s
AAA Author                            0/s          0/s
AAA Account                           0/s          0/s

VALID CONNS RATE in TCP INTERCEPT:    Current      Average
                                       100.00%         100.00%
ciscoasa#

参考
https://community.cisco.com/t5/%E3%82%BB%E3%82%AD%E3%83%A5%E3%83%AA%E3%83%86%E3%82%A3-%E3%83%89%E3%82%AD%E3%83%A5%E3%83%A1%E3%83%B3%E3%83%88/asa-%E3%82%B3%E3%83%8D%E3%82%AF%E3%82%B7%E3%83%A7%E3%83%B3%E6%95%B0%E3%81%AE%E7%A2%BA%E8%AA%8D%E3%81%A8-%E8%86%A8%E5%A4%A7%E3%81%AA%E3%82%B3%E3%83%8D%E3%82%AF%E3%82%B7%E3%83%A7%E3%83%B3%E7%99%BA%E7%94%9F%E6%99%82%E3%81%AEip%E3%82%A2%E3%83%89%E3%83%AC%E3%82%B9%E7%A2%BA%E8%AA%8D%E6%96%B9%E6%B3%95/ta-p/4082463

Cisco Catalyst 2960-Lの後継は、Cisco Catalyst 1000とのこと。慣れ親しんだ2960の番号じゃなくなるのは、ちょっと寂しい。

Catalyst 1000では、「Single IP management」で複数のエッジスイッチをまとめて1台かのように扱えるのでいい。むかしH3Cのスイッチで同じような構成を使ったけれど、リング構成にできるので、経路の冗長構成もふくめて、なんだかんだで便利。

しかし、悲しいかな、これを使える機会がない。

参考：　https://cloud.watch.impress.co.jp/docs/topic/special/1283227.html