问题

FTD接口上的主机无法使用静态分配的IP地址并报告“重复的IP地址”错误，然后回退到169.254.x.x地址。数据包捕获分析显示，当主机为自己的IP地址发送无偿ARP（ARP探测）时，防火墙会响应声明该IP地址的所有权，从而阻止静态IP分配成功。

环境

- 运行FTD软件版本7.4.4的Cisco Secure Firewall 2120（适用于所有版本和型号）

- 用于设备管理的思科安全防火墙管理中心(FMC)

- 默认情况下，代理ARP在FTD上启用。

分辨率

通过使用通过FMC部署的FlexConfig策略，在受影响的接口上禁用代理ARP即可解决此问题。这可防止防火墙响应其未明确拥有的IP地址的ARP探测。

1：导航到FMC中的FlexConfig部分，创建新的FlexConfig策略以禁用特定接口上的代理ARP。Sysopt_noproxyarp和否定的Sysopt_noproxyarp_negate是FMC中的默认对象，可以克隆以供自定义使用。

inline_image_0.png

2：将配置命令添加到FlexConfig策略sysopt noproxyarp IFNAME:

inline_image_1.png

用受影响接口的实际名称替换IFNAME。

3：将新对象关联到FTD的FlexConfig策略并通过FMC进行部署。应用此配置可禁用指定接口上的代理ARP行为。

inline_image_2.png

4：部署后，测试受影响主机上的静态IP分配。防火墙必须无法再响应未分配IP地址的ARP探测，从而允许主机成功使用其静态IP配置，而不会出现重复IP地址错误。

如果适用，请考虑在NAT规则级别而不是在接口范围内禁用代理ARP，以最大程度地减少对其他网络功能的意外影响。这样可以对代理ARP行为进行更精细的控制。

原因

在FTD接口上启用了代理地址解析协议（代理ARP），导致防火墙响应针对其未明确拥有的IP地址的ARP探测。此行为导致主机在静态地址分配期间检测到重复的IP地址条件。当主机执行无偿ARP请求时，防火墙代理ARP功能将使用自己的MAC地址进行响应，使其看起来好像所需IP地址已被其他设备使用。

相关内容

- 思科技术支持和下载