ASA常見問題：為什麼ASA會回覆對子網中其他IP地址的ARP請求？
簡介
本檔案將說明思科調適型安全裝置(ASA)為何可能會對網路上其他IP位址的地址解析通訊協定(ARP)要求作出回應。ASA響應對ASA介面以外的IP地址的ARP請求。
為什麼ASA會回覆對子網中其他IP地址的ARP請求？
ASA上的網路地址轉換(NAT)配置可能導致它響應對ASA介面IP地址以外的IP地址的ARP請求。
問題場景示例：
考慮在10.0.1.x/24網路中連線裝置的乙太網網段。ASA的內部介面地址為10.0.1.1。每當從10.0.1.48發起10.0.1.47的ARP請求時，ASA都會使用包含其自身介面硬體地址的ARP應答進行應答。進一步調查表明，ASA會響應子網中多個IP地址的請求。
在此特定情況下，ASA上的NAT配置會導致此行為。
如果將關鍵字no-proxy-arp新增到特定NAT命令中，ASA將不會響應這些NAT語句中標識的全域性IP子網的ARP請求。
在本示例中，這些NAT命令會導致ASA響應內部介面網路上10.0.1.x/24和10.0.2.x/24子網中的任何ARP請求。這些命令可能新增到ASA的配置中，以支援重疊的NAT場景：
nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0
destination static obj-10.0.2.0 obj-10.0.2.0
nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0
destination static obj-10.0.1.0 obj-10.0.1.0
隨著這些NAT配置行中新增了no-proxy-arp關鍵字，ASA不再響應這些子網的ARP請求。
nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0
destination static obj-10.0.2.0 obj-10.0.2.0 no-proxy-arp
nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0
destination static obj-10.0.1.0 obj-10.0.1.0 no-proxy-arp
相關資訊
修訂記錄
| 修訂 | 發佈日期 | 意見 |
|---|---|---|
1.0 |
06-Jun-2013 |
初始版本 |
意見