Contents

Introduction

Por que o ASA responde às solicitações ARP para outros endereços IP na sub-rede?

Informações Relacionadas

Introduction

Este documento descreve por que o Cisco Adaptive Security Appliance (ASA) pode responder às solicitações do Address Resolution Protocol (ARP) para outros endereços IP na rede. O ASA responde às solicitações ARP de endereços IP diferentes da interface do ASA.

Por que o ASA responde às solicitações ARP para outros endereços IP na sub-rede?

A configuração NAT (Network Address Translation, Conversão de Endereço de Rede) no ASA pode fazer com que ele responda a solicitações ARP de endereços IP diferentes do endereço IP da interface do ASA.

Exemplo de cenário de problema:

Considere um segmento Ethernet que tenha dispositivos conectados à rede 10.0.1.x/24. A interface interna do ASA é endereçada em 10.0.1.1. Sempre que uma solicitação ARP para 10.0.1.47 é iniciada a partir de 10.0.1.48, o ASA responde com uma resposta ARP que contém seu próprio endereço de hardware de interface. Uma investigação mais detalhada revela que o ASA responde a solicitações de vários endereços IP na sub-rede.

Nesse caso específico, a configuração de NAT no ASA causa o comportamento.

Se você adicionar a palavra-chave no-proxy-arp a comandos NAT específicos, o ASA não responderá às solicitações ARP para a sub-rede IP global identificada nessas instruções NAT.

Neste exemplo, esses comandos NAT fazem com que o ASA responda a qualquer solicitação ARP nas sub-redes 10.0.1.x/24 e 10.0.2.x/24 na rede da interface interna. Esses comandos provavelmente foram adicionados à configuração do ASA para suportar um cenário de NAT sobreposto:

nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0

destination static obj-10.0.2.0 obj-10.0.2.0

nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0

destination static obj-10.0.1.0 obj-10.0.1.0

Com a palavra-chave no-proxy-arp adicionada a essas linhas de configuração de NAT, o ASA não responde mais às solicitações ARP para essas sub-redes.

nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0

destination static obj-10.0.2.0 obj-10.0.2.0 no-proxy-arp

nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0

destination static obj-10.0.1.0 obj-10.0.1.0 no-proxy-arp

Informações Relacionadas

- Guia de configuração da CLI do Cisco ASA Series Firewall, 9.1 - Configurando a conversão de endereço de rede

- Suporte Técnico e Documentação - Cisco Systems