목차

소개

사전 요구 사항

요구 사항

사용되는 구성 요소

표기 규칙

증상

조건/환경

원인/문제 설명

해결

관련 정보

소개

이 문서에서는 ASA(Adaptive Security Appliance)를 버전 8.4(3)로 업그레이드한 후 실패한 NAT 주소에 대한 정보를 제공합니다. 이 문서에서는 이 문제에 대한 해결책도 제공합니다.

사전 요구 사항

요구 사항

이 문서의 독자는 이러한 주제에 대해 알고 있어야 합니다.

- ARP(Address Resolution Protocol) 및 프록시 ARP의 개념에 대한 기본적인 이해

사용되는 구성 요소

이 문서의 정보는 이러한 하드웨어 및 소프트웨어 버전을 기반으로 합니다.

- 모든 Cisco ASA 5500 Series Adaptive Security Appliance

- Adaptive Security Appliance 버전 8.4(3) 이상

표기 규칙

문서 표기 규칙에 대한 자세한 내용은 Cisco 기술 팁 표기 규칙을 참조하십시오.

증상

ASA 버전 8.4(3)부터 ASA는 인터페이스에서 수신된 ARP 요청에 응답하지 않으며, 해당 인터페이스의 IP 서브넷에 속하지 않는 IP 주소에 대해서는 응답하지 않습니다.버전 8.4(3) 이전에는 ASA가 ASA 인터페이스의 IP 서브넷에 없는 ARP 요청에 응답했습니다.

이 변경 사항은 ASA를 버전 8.4(3)로 업그레이드한 직후 나타날 수 있습니다. 경우에 따라 인터넷 사용자는 ASA를 통해 변환된 서버의 전역 주소에 연결할 수 없습니다.

이 메시지는 이 상황이 발생한 경우 표시되며 ASA의 CLI에서 'debug arp'가 활성화된 경우 표시됩니다.

arp-in: Arp packet received from 192.168.10.1 which is in different subnet

than the connected interface 192.168.11.1/255.255.255.0

이 문제의 근본 원인은 버그가 아닙니다.이 문제에 대한 잠재적인 원인과 해결 방법에 대해 자세히 알아보려면 아래 정보를 참조하십시오.

조건/환경

이러한 상황을 발생시키려면 ASA가 구성된 NAT 변환에서 전역 주소와 일치하는 IP 주소에 대한 ARP 요청을 수신해야 합니다.전역 IP 주소는 ASA 인터페이스에 구성된 IP 서브넷과 다른 IP 서브넷에 있어야 합니다.

원인/문제 설명

이 문제의 전체적인 결과를 이해하려면 이 문제가 어떻게 나타날 수 있는지 그리고 문제를 완화하는 최선의 방법을 완전히 이해하는 것이 중요합니다.

다음은 이 상황이 발생할 수 있는 몇 가지 예입니다.

업스트림 디바이스에 next-hop IP 주소 없이 구성된 IP 경로가 있습니다.

이것이 아마도 이 상황의 가장 일반적인 원인일 것입니다.이는 업스트림 디바이스의 비최적 구성 때문입니다.IP 경로의 next hop이 해당 인터페이스의 주소와 동일한 서브넷의 IP 주소인 것처럼 IP 경로를 구성하는 것이 좋습니다.

ip route 10.1.2.0 255.255.255.0 192.168.1.2

그러나 네트워크 관리자가 IP 주소 대신 인터페이스를 다음 홉으로 구성하는 경우도 있습니다.

ip route 10.1.2.0 255.255.255.0 FastEthernet0/1

그러면 라우터가 10.1.2.0/24 네트워크로 향하는 트래픽을 FastEthernet0/1 인터페이스로 라우팅하고 IP 패킷의 대상 IP 주소에 대한 ARP 요청을 보냅니다.일부 디바이스는 ARP 요청에 응답하고 라우터는 ARP 프로세스로 인해 해결된 MAC 주소로 패킷을 전달합니다.이러한 유형의 컨피그레이션의 이점은 구성 및 관리가 매우 쉽다는 것입니다.관리자는 경로에 대한 다음 hop IP 주소를 명시적으로 구성할 필요가 없으며, 인접한 디바이스에서 proxy-ARP를 활성화하고, 패킷을 대상 IP 주소로 라우팅할 수 있는 경우 ARP 요청에 응답할 것으로 가정합니다.

그러나 이러한 유형의 IP 경로 컨피그레이션에 심각한 문제가 있습니다.

- ARP 요청을 보내 IP 트래픽에 대한 다음 홉을 결정함으로써 라우터는 해당 ARP 요청에 잘못 응답할 수 있는 다른 디바이스에서 발생한 문제에 노출됩니다.따라서 잘못된 디바이스로 전송할 때 트래픽을 블랙홀링할 수 있습니다.

- 라우트를 사용하면 디바이스에서 경로와 일치하는 패킷의 고유한 모든 목적지 주소에 대해 ARP 요청을 보냅니다.이렇게 하면 서브넷에 많은 ARP 트래픽이 발생할 수 있으며 성능에 부정적인 영향을 미칠 수 있으며, 잠재적으로 많은 양의 ARP 항목을 저장하는 데 필요한 메모리 공간도 영향을 줄 수 있습니다.

- ARP 테이블 공간은 메모리 바인딩 리소스이므로 항목이 너무 많으면 라우터의 성능과 안정성에 부정적인 영향을 줄 수 있습니다.

따라서 모범 사례는 명시적 IP next hop 주소로 모든 경로를 구성하고 인터페이스 이름이 있는 경로를 자체적으로 사용하여 나가는 인터페이스를 식별하지 않는 것입니다.장애 조치를 위해 경로를 이그레스 인터페이스와 연결해야 하는 경우 고정 경로에 이그레스 인터페이스 이름과 다음 홉을 모두 입력합니다.

일부 Cisco 고객에게 관리 영향을 미칠 경우, 새로운 보안 동작을 구성할 수 있도록 개선 요청이 열렸습니다.Cisco 버그 ID CSCty95468(등록된 고객만 해당)(ENH:연결되지 않은 서브넷에서 ARP 캐시 항목을 허용하는 명령을 추가합니다.

인접 디바이스에서 일치하지 않는 IP 서브넷 마스크

ASA의 인터페이스 및 인접 디바이스의 인터페이스에 구성된 IP 서브넷 마스크가 일치하지 않으면 유사한 상황이 발생할 수 있습니다.인접 디바이스에 ASA의 인터페이스 IP 서브넷 마스크(255.255.255.0)의 수퍼넷(255.255.240.0)인 서브넷 마스크가 있는 경우 인접 디바이스는 ASA 인터페이스 IP 서브넷에 없는 IP 주소에 대해 ARP를 수행합니다.서브넷 마스크가 올바른지 확인합니다.

투명 모드 영향

이 변경의 또 다른 부작용은 투명 모드에서 직접 연결되지 않은 서브넷에서 MAC 주소를 배울 수 없다는 것입니다.이는 다음 시나리오의 통신에 영향을 미칩니다.

- 투명 ASA에 관리 IP 주소가 구성되지 않았거나 구성이 잘못되었습니다.

- 투명 ASA는 동일한 세그먼트의 보조 서브넷을 사용합니다.

다운그레이드 이외의 투명 모드에서는 이 문제를 해결할 수 없습니다.그러나 ASA가 투명 모드에서 보조 서브넷과 상호 운용되도록 하기 위해 이 개선 요청이 열렸습니다.Cisco 버그 ID CSCty49855(등록된 고객만 해당)(ENH:MAC 검색 메커니즘에서 직접 연결되지 않은 호스트를 지원합니다.

해결

이 문제에 대한 해결 방법(문제의 IP 주소가 ASA의 인터페이스 IP와 동일한 레이어 3 서브넷에 없는 경우)은 ASA에 인접한 디바이스가 IP 주소를 대신하여 프록시-ARP에 의존하는 대신 ASA의 인터페이스 IP 주소로 트래픽을 직접 라우팅하도록 변경하는 데 필요한 변경을 수행하는 것입니다.

관련 정보

- 기술 지원 및 문서 − Cisco Systems