ASA常见问题：ASA为什么对子网中其他IP地址的ARP请求做出响应？
简介
本文档介绍思科自适应安全设备(ASA)为什么可能响应地址解析协议(ARP)请求，请求网络上的其他IP地址。ASA响应ARP请求，请求IP地址（ASA的接口除外）。
ASA为什么对子网中其他IP地址的ARP请求做出响应？
ASA上的网络地址转换(NAT)配置可能导致它响应ARP请求，请求IP地址（ASA的接口IP地址除外）。
问题场景示例：
考虑在10.0.1.x/24网络中连接设备的以太网网段。ASA的内部接口地址为10.0.1.1。每当从10.0.1.48发起10.0.1.47的ARP请求时，ASA都会回复包含其自己接口硬件地址的ARP应答。进一步调查显示，ASA会回复子网中多个IP地址的请求。
在这种特定情况下，ASA上的NAT配置会导致此行为。
如果将关键字no-proxy-arp添加到特定NAT命令，则ASA不会响应在这些NAT语句中标识的全局IP子网的ARP请求。
在本例中，这些NAT命令使ASA响应内部接口网络上10.0.1.x/24和10.0.2.x/24子网中的任何ARP请求。这些命令可能已添加到ASA配置中以支持重叠NAT场景：
nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0
destination static obj-10.0.2.0 obj-10.0.2.0
nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0
destination static obj-10.0.1.0 obj-10.0.1.0
在这些NAT配置行中添加了no-proxy-arp关键字后，ASA将不再响应这些子网的ARP请求。
nat (inside,inside) source static obj-10.0.1.0 obj-10.0.1.0
destination static obj-10.0.2.0 obj-10.0.2.0 no-proxy-arp
nat (inside,inside) source static obj-10.0.2.0 obj-10.0.2.0
destination static obj-10.0.1.0 obj-10.0.1.0 no-proxy-arp
相关信息
修订历史记录
| 版本 | 发布日期 | 备注 |
|---|---|---|
1.0 |
06-Jun-2013 |
初始版本 |
反馈