무선 클라이언트에 대한 기본 게이트웨이 IP 주소 포인트에 대한 ARP 응답

요약

고객들은 2019년에 지정된 서브네트워크에서 간헐적으로 기본 게이트웨이의 IP 주소 포인트에 대한 ARP(Address Resolution Protocol) 응답이 라우터가 아닌 일부 특정 무선 클라이언트에 전달된다고 보고했습니다. 이로 인해 동일한 VLAN/하위 네트워크에 있는 다른 디바이스의 클라이언트 또는 네트워크 전반의 연결 문제가 발생할 수 있습니다.

조건

• 잘못된 ARP 응답은 10.14 이하를 실행하는 Apple macOS 디바이스에 속하는 MAC 주소를 가리킵니다
  
• 2019-vintage Android를 실행하는 장치가 동일한 하위 네트워크에 연결됨
• macOS 디바이스가 연결된 액세스 포인트는 Cisco IOS^® AP가 아닌 FlexConnect Local Switching 또는 SDA 모드의 AP-COS(1800/2800/3800/4800/1540/1560/9100 Series)입니다.
• 액세스 포인트의 FlexConnect 프록시 ARP(ARP 캐싱)가 활성화되어 있습니다
  • 기본적으로 FlexConnect ARP 캐싱은 AP-COS 8.3 이상에서 활성화됩니다
  • 8.2는 AP-COS FlexConnect ARP 캐싱을 지원하지 않으므로 영향을 받지 않습니다
• 이 문제는 AireOS 또는 9800 Series Wireless LAN Controller 또는 Mobility Express 구축에 영향을 줄 수 있습니다

근본 원인

• 이는 악의적인 공격이 아니라 휴면 모드에 있는 동안 macOS 디바이스와 Android 디바이스에서 생성된 특정 브로드캐스트 트래픽 간의 상호 작용에 의해 트리거됩니다.
  • macOS 동작은 10.15 이상에서 고정됩니다
• AP-COS AP는 FlexConnect 또는 SDA 모드에 있을 때 기본적으로 프록시 ARP(ARP 캐싱) 서비스를 제공합니다. 주소 학습 설계로 인해 이 트래픽을 기반으로 테이블 엔트리를 수정하여 기본 게이트웨이 ARP 엔트리를 수정합니다.

해결 방법

FlexConnect 프록시 ARP(ARP 캐싱)를 비활성화합니다.

• AireOS 또는 Mobility Express와 함께 FlexConnect를 실행하는 경우, 명령 config flexconnect arp-caching disable을 사용합니다
  
  • 이 명령은 8.10, 8.9, 8.8, 8.5.151.0 및 8.5 에스컬레이션(8.5.140.13 이상)에서 작동합니다.
  • 이전 8.5 코드를 사용하는 경우 이 명령이 작동하지 않습니다(CSCvp73371 ), 8.5.151.0 이상으로 업그레이드
  • 8.3 코드를 사용하는 경우 8.3MR5 에스컬레이션(8.3.150.3 이상, TAC 제공)으로 업그레이드하여 CSCvp를 가져옵니다73371 수정
    
• aireOS에서 SDA 패브릭 모드를 사용하는 경우, 명령 config flexconnect arp-caching disable을 사용합니다
  • 이 명령은 8.10, 8.9.111.0, 8.8.125.0 및 8.5.151.0에서 작동합니다.
  • 이전 8.5 또는 8.8 코드를 사용하는 경우 이 명령은 작동하지 않습니다(CSCvk79850 ), 8.5.151.0 / 8.8.125.0 / 8.10 이상으로 업그레이드

• 9800 시리즈 컨트롤러와 함께 FlexConnect를 실행하는 경우 무선 프로파일 flex에서 no arp-caching 명령을 사용합니다

FlexConnect 프록시 ARP를 비활성화하면 무선 클라이언트에 대한 ARP 요청이 AP에서 응답하지 않고 무선으로 브로드캐스트됩니다. 이렇게 하면 Cisco 8821 전화와 같은 무선 핸드헬드 장치의 배터리 소모가 다소 늘어납니다.

수정

FlexConnect를 AireOS 8.10.120.0 이상에서 실행하는 경우(CSCvp42721 ) 또는 IOS-XE 17.2.1 이상이며, 고정 주소 지정을 사용할 클라이언트가 없는 경우 다음을 수행합니다.

• 각 위치에서 모든 AP가 기본이 아닌 동일한 FlexConnect 그룹에 있는지 확인합니다
• wlan에 필요한 DHCP 구성
• flexconnect arp-caching enable(AireOS)/arp-caching(IOS-XE) 명령을 사용합니다

이렇게 하면 클라이언트가 DHCP에서 할당한 주소 이외의 IP 주소를 사용하지 못하게 됩니다.