Contenido

Introducción

¿Por qué el ASA responde a las solicitudes ARP para otras direcciones IP en la subred?

Información Relacionada

Introducción

Este documento describe por qué el Cisco Adaptive Security Appliance (ASA) podría responder a las solicitudes del protocolo de resolución de direcciones (ARP) para otras direcciones IP de la red. El ASA responde a las solicitudes ARP de direcciones IP que no sean la interfaz de ASA.

¿Por qué el ASA responde a las solicitudes ARP para otras direcciones IP en la subred?

La configuración de la traducción de direcciones de red (NAT) en el ASA puede hacer que responda a las solicitudes ARP de direcciones IP distintas de la dirección IP de la interfaz de ASA.

Ejemplo de situación de problema:

Considere un segmento Ethernet que tiene dispositivos conectados a la red 10.0.1.x/24. La interfaz interna del ASA se dirige a 10.0.1.1. Siempre que se inicia una solicitud ARP para 10.0.1.47 desde 10.0.1.48, el ASA responde con una respuesta ARP que contiene su propia dirección de hardware de interfaz. Una investigación más detallada revela que el ASA responde a las solicitudes de varias direcciones IP en la subred.

En este caso específico, la configuración NAT en el ASA causa el comportamiento.

Si agrega la palabra clave no-proxy-arp a comandos NAT específicos, el ASA no responderá a las solicitudes ARP para la subred IP global identificada en esas sentencias NAT.

En este ejemplo, estos comandos NAT hacen que el ASA responda a cualquier solicitud ARP en las subredes 10.0.1.x/24 y 10.0.2.x/24 en la red de interfaz interna. Estos comandos probablemente se agregaron a la configuración del ASA para soportar un escenario NAT superpuesto:

nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0

destination static obj-10.0.2.0 obj-10.0.2.0

nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0

destination static obj-10.0.1.0 obj-10.0.1.0

Con la palabra clave no-proxy-arp agregada a estas líneas de configuración NAT, el ASA ya no responde a las solicitudes ARP para esas subredes.

nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0

destination static obj-10.0.2.0 obj-10.0.2.0 no-proxy-arp

nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0

destination static obj-10.0.1.0 obj-10.0.1.0 no-proxy-arp

Información Relacionada

- Guía de Configuración de Cisco ASA Series Firewall CLI, 9.1 - Configuración de la Traducción de Direcciones de Red

- Soporte Técnico y Documentación - Cisco Systems