目录

简介

ASA为什么对子网中其他IP地址的ARP请求做出响应？

相关信息

简介

本文档介绍思科自适应安全设备(ASA)为什么可能响应地址解析协议(ARP)请求，请求网络上的其他IP地址。ASA响应ARP请求，请求IP地址（ASA的接口除外）。

ASA为什么对子网中其他IP地址的ARP请求做出响应？

ASA上的网络地址转换(NAT)配置可能导致它响应ARP请求，请求IP地址（ASA的接口IP地址除外）。

问题场景示例：

考虑在10.0.1.x/24网络中连接设备的以太网网段。ASA的内部接口地址为10.0.1.1。每当从10.0.1.48发起10.0.1.47的ARP请求时，ASA都会回复包含其自己接口硬件地址的ARP应答。进一步调查显示，ASA会回复子网中多个IP地址的请求。

在这种特定情况下，ASA上的NAT配置会导致此行为。

如果将关键字no-proxy-arp添加到特定NAT命令，则ASA不会响应在这些NAT语句中标识的全局IP子网的ARP请求。

在本例中，这些NAT命令使ASA响应内部接口网络上10.0.1.x/24和10.0.2.x/24子网中的任何ARP请求。这些命令可能已添加到ASA配置中以支持重叠NAT场景：

nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0

destination static obj-10.0.2.0 obj-10.0.2.0

nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0

destination static obj-10.0.1.0 obj-10.0.1.0

在这些NAT配置行中添加了no-proxy-arp关键字后，ASA将不再响应这些子网的ARP请求。

nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0

destination static obj-10.0.2.0 obj-10.0.2.0 no-proxy-arp

nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0

destination static obj-10.0.1.0 obj-10.0.1.0 no-proxy-arp

相关信息

- Cisco ASA系列防火墙CLI配置指南，9.1 — 配置网络地址转换

- 技术支持和文档 - Cisco Systems