ワイヤレスクライアントに対するデフォルトゲートウェイ IP アドレスに関する ARP の応答

要約

2019年に、特定のサブネットワークで断続的に、デフォルトゲートウェイのIPアドレスのAddress Resolution Protocol（ARP；アドレス解決プロトコル）応答が、ルータではなく特定のワイヤレスクライアントを指していることが、お客様から報告されています。 これにより、同じVLAN/サブネットワーク上の他のデバイスに対して、クライアントまたはネットワーク全体の接続の問題が発生する可能性があります。

条件

• 誤ったARP応答は、10.14以前を実行しているApple macOSデバイスに属するMACアドレスを指しています
  
• 2019年ヴィンテージのAndroidを実行しているデバイスは、同じサブネットワークに関連付けられています
• macOSデバイスが関連付けられているアクセスポイントは、FlexConnectローカルスイッチングまたはSDAモードのAP-COS（1800/2800/3800/4800/1540/1560/9100シリーズ）で、Cisco IOS^® APではありません。
• アクセスポイントでFlexConnect Proxy ARP（ARPキャッシング）が有効になっている
  • デフォルトでは、FlexConnect ARPキャッシングはAP-COS 8.3以降で有効になっています
  • 8.2は、AP-COS FlexConnect ARPキャッシングをサポートしなかったため、影響を受けません
• この問題は、AireOSまたは9800シリーズワイヤレスLANコントローラ、またはMobility Expressの導入に影響を与える可能性があります

根本原因

• これは悪意のある攻撃ではありませんが、スリーピングモード時のmacOSデバイスと、Androidデバイスによって生成された特定のブロードキャストトラフィックとの間のインタラクションによってトリガーされます。
  • macOSの動作は、10.15以降で修正されています
• AP-COS APは、FlexConnectまたはSDAモードの間、デフォルトでプロキシARP（ARPキャッシング）サービスを提供します。アドレス学習の設計により、このトラフィックに基づいてテーブルエントリが変更され、デフォルトゲートウェイのARPエントリが変更されます。

回避策

FlexConnectプロキシARP（ARPキャッシュ）を無効にします。

• AireOSまたはMobility Expressを使用してFlexConnectを実行している場合、コマンドconfig flexconnect arp-caching disable
  
  • このコマンドは、8.10、8.9、8.8、8.5.151.0、および8.5エスカレーション（8.5.140.13以降）で機能します
  • 以前の8.5コードを使用している場合、このコマンドは機能しません(CSCvp73371 )、8.5.151.0以降にアップグレードしてください
  • 8.3コードを使用している場合は、8.3MR5エスカレーション（8.3.150.3以上、TACから入手可能）にアップグレードして、CSCvp73371 修正
    
• AireOSでSDAファブリックモードを使用している場合、コマンドconfig flexconnect arp-caching disable
  • このコマンドは、8.10、8.9.111.0、8.8.125.0、および8.5.151.0で動作します
  • 8.5または8.8より前のコードを使用している場合、このコマンドは機能しません(CSCvk79850 )、8.5.151.0 / 8.8.125.0 / 8.10以降にアップグレードしてください

• 9800シリーズコントローラでFlexConnectを実行している場合は、wireless profile flexでno arp-cachingコマンドを使用します

FlexConnectプロキシARPを無効にすると、ワイヤレスクライアントのARP要求は、APによって応答されるのではなく、無線でブロードキャストされます。これにより、Cisco 8821電話機などのワイヤレスのハンドヘルドデバイスのバッテリ消費量が若干増加します。

修正

AireOS 8.10.120.0以降(CSCvp42721 )またはIOS-XE 17.2.1以降で、スタティックアドレスを使用する必要があるクライアントがない場合は、次の手順を実行します。

• 各ロケーションですべてのAPが同じ非デフォルトFlexConnectグループに属していることを確認します
• wlanでの必要なDHCPの設定
• config flexconnect arp-caching enable (AireOS)/arp-caching (IOS-XE)コマンドを使用します。

これにより、クライアントはDHCPによって割り当てられたIPアドレス以外のIPアドレスを使用できなくなります。