# Explicador de source-mask do OneConnect

> Cole um profile one-connect para a auditoria completa das opções com a semântica e os padrões da própria man page, ou simule uma máscara contra IPs reais de clientes e veja os grupos de reuso se formarem. A demonstração principal: o SNAT traduz primeiro, então um único endereço SNAT colapsa todos os clientes em um só grupo de reuso, não importa quão estreita seja a máscara.

- Tool: https://ronutz.com/pt-BR/tools/f5-oneconnect-source-mask
- Family: Redes

---

# Explicador de source-mask do OneConnect

O OneConnect mantém conexões do lado servidor vivas e as entrega à próxima requisição elegível, e a palavra que faz todo o trabalho nessa frase é elegível. A source mask decide a elegibilidade, e a man page declara seus dois polos com clareza: 0.0.0.0, o padrão, compartilha conexões reusadas entre todos os clientes; uma máscara de host compartilha apenas entre conexões do mesmo IP de cliente. Tudo no meio se comporta como uma máscara de sub-rede, agrupando clientes pelos bits que mantém.

Cole um stanza `ltm profile one-connect` e cada opção é renderizada com a semântica da própria referência v17, com os padrões preenchidos explicitamente em vez de presumidos: max-age 86400, max-reuse 1000, max-size 10000, limit-type none. O limite strict carrega o alerta do próprio manual, de que conexões ociosas bloquearão novas até expirarem mesmo quando poderiam ter sido reusadas, uma configuração que a própria página chama de não recomendada fora de casos especiais. share-pools recebe sua semântica entre virtuais; a opção idle-timeout-override recebe uma sinalização honesta da peculiaridade da própria man page, declarada como disabled ou enabled mas descrita como um número de segundos.

A simulação é o destaque. Dê a ela uma máscara, uma lista de IPs de clientes e, opcionalmente, um endereço SNAT, e os grupos de reuso são renderizados. Com o SNAT presente você assiste à ordem que tanto o K7208 quanto o K5911 declaram fazer seu trabalho: a tradução acontece primeiro, a máscara se aplica ao endereço traduzido, então um único endereço SNAT colapsa todos os clientes em um só grupo de reuso, não importa quão estreita seja a máscara. Esse colapso é a surpresa de produção que esta ferramenta existe para tornar visível antes que aconteça com você.

Duas doses de honestidade estatística do próprio artigo de laboratório da F5 fecham a auditoria: max-size se divide entre instâncias de TMM em vez de formar um pool global, e o contador Current Idle inclui toda conexão ociosa do lado servidor, seja ou não elegível pela máscara. Leia a saída do `tmsh show` com as duas em mente.

Tudo roda localmente; nada do que você cola sai da página.

## Standards and references

- [F5 TMSH Reference v17: ltm profile one-connect (grammar, every default, the 0.0.0.0 and host-mask semantics, all three limit-type behaviors including strict's own not-recommended warning, share-pools)](https://clouddocs.f5.com/cli/tmsh-reference/latest/modules/ltm/ltm_profile_one-connect.html) - the option table, defaults, and limit-type observations
- [F5 K7208: Overview of the OneConnect profile (SNAT translation happens first; the source mask applies to the translated address)](https://my.f5.com/manage/s/article/K7208) - the SNAT-then-mask ordering observation
- [F5 K5911 (states the same SNAT-before-mask ordering; the two articles corroborate each other)](https://my.f5.com/manage/s/article/K5911) - corroboration of the ordering
- [F5 DevCentral: How OneConnect Profile's max-size works (the reuse pool divides per TMM; Current Idle counts every idle server-side connection, eligible or not)](https://community.f5.com/kb/technicalarticles/how-oneconnect-profiles-max-size-works/280848) - the per-TMM and statistics-honesty observations

## Related reading

- [OneConnect: Reuso É um Problema de Agrupamento, e o SNAT Reescreve os Grupos](https://ronutz.com/pt-BR/learn/bigip-oneconnect-connection-reuse.md): O OneConnect estaciona conexões ociosas do lado servidor e as entrega à próxima requisição elegível. A source mask define elegível, de 0.0.0.0 compartilhando entre todos os clientes a uma máscara de host mantendo o reuso por cliente. A pegadinha que ambos os artigos K declaram: o SNAT traduz primeiro, a máscara vê apenas o endereço traduzido, então um endereço SNAT significa um grupo.