目錄

簡介

為什麼ASA會回覆對子網中其他IP地址的ARP請求？

相關資訊

簡介

本檔案將說明思科調適型安全裝置(ASA)為何可能會對網路上其他IP位址的地址解析通訊協定(ARP)要求作出回應。ASA響應對ASA介面以外的IP地址的ARP請求。

為什麼ASA會回覆對子網中其他IP地址的ARP請求？

ASA上的網路地址轉換(NAT)配置可能導致它響應對ASA介面IP地址以外的IP地址的ARP請求。

問題場景示例：

考慮在10.0.1.x/24網路中連線裝置的乙太網網段。ASA的內部介面地址為10.0.1.1。每當從10.0.1.48發起10.0.1.47的ARP請求時，ASA都會使用包含其自身介面硬體地址的ARP應答進行應答。進一步調查表明，ASA會響應子網中多個IP地址的請求。

在此特定情況下，ASA上的NAT配置會導致此行為。

如果將關鍵字no-proxy-arp新增到特定NAT命令中，ASA將不會響應這些NAT語句中標識的全域性IP子網的ARP請求。

在本示例中，這些NAT命令會導致ASA響應內部介面網路上10.0.1.x/24和10.0.2.x/24子網中的任何ARP請求。這些命令可能新增到ASA的配置中，以支援重疊的NAT場景：

nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0

destination static obj-10.0.2.0 obj-10.0.2.0

nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0

destination static obj-10.0.1.0 obj-10.0.1.0

隨著這些NAT配置行中新增了no-proxy-arp關鍵字，ASA不再響應這些子網的ARP請求。

nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0

destination static obj-10.0.2.0 obj-10.0.2.0 no-proxy-arp

nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0

destination static obj-10.0.1.0 obj-10.0.1.0 no-proxy-arp

相關資訊

- Cisco ASA系列防火牆CLI配置指南9.1 — 配置網路地址轉換

- 技術支援與文件 - Cisco Systems