الأسئلة المتداولة حول ASA: لماذا يقوم ASA بالرد على طلبات ARP لعناوين IP الأخرى في الشبكة الفرعية؟
المقدمة
يوضح هذا المستند لماذا قد يستجيب جهاز الأمان القابل للتكيف (ASA) من Cisco لطلبات بروتوكول تحليل العنوان (ARP) لعناوين IP الأخرى على الشبكة. يستجيب ASA لطلبات ARP لعناوين IP بخلاف واجهة ASA.
لماذا يرد ASA على طلبات ARP لعناوين IP الأخرى في الشبكة الفرعية؟
قد يتسبب تكوين ترجمة عنوان الشبكة (NAT) على ASA في إستجابة طلبات ARP لعناوين IP بخلاف عنوان IP لواجهة ASA.
مثال مشكلة سيناريو:
خذ بعين الاعتبار مقطع إيثرنت الذي يحتوي على أجهزة متصلة بشبكة 10.0.1.x/24. يتم تناول واجهة ASA الداخلية في 10.0.1.1. كلما تم بدء طلب ARP ل 10.0.1.47 من 10.0.1.48، يرد ASA مع رد ARP يحتوي على عنوان جهاز الواجهة الخاص به. يكشف المزيد من التحقيق عن إستجابة ASA لطلبات عناوين IP المتعددة في الشبكة الفرعية.
في هذه الحالة المحددة، يتسبب تكوين NAT على ASA في السلوك.
إذا قمت بإضافة الكلمة الأساسية no-proxy-arp إلى أوامر NAT معينة، فلن يستجيب ASA لطلبات ARP للشبكة الفرعية العالمية IP المحددة في عبارات NAT هذه.
في هذا المثال، تتسبب أوامر NAT هذه في جعل ASA يستجيب إلى أي طلب ARP في الشبكات الفرعية 10.0.1.x/24 و 10.0.2.x/24 على شبكة الواجهة الداخلية. من المحتمل أن يكون أضفت هذا أمر إلى ال ASA تشكيل أن يساند تداخل nat سيناريو:
nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0
destination static obj-10.0.2.0 obj-10.0.2.0
nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0
destination static obj-10.0.1.0 obj-10.0.1.0
مع إضافة الكلمة الأساسية no-proxy-arp إلى سطور تكوين NAT هذه، لم يعد ASA يستجيب لطلبات ARP لهذه الشبكات الفرعية.
nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0
destination static obj-10.0.2.0 obj-10.0.2.0 no-proxy-arp
nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0
destination static obj-10.0.1.0 obj-10.0.1.0 no-proxy-arp
معلومات ذات صلة
محفوظات المراجعة
| المراجعة | تاريخ النشر | التعليقات |
|---|---|---|
1.0 |
06-Jun-2013 |
الإصدار الأولي |
التعليقات