The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]



"ASA 5510 9.1(5)  полная фигня с ARP"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Маршрутизаторы CISCO и др. оборудование. (Маршрутизация)
Изначальное сообщение [ Отслеживать ]
SWITCH+ROUTE+TSHOOT – курсы Cisco CCNP для администраторов больших сетей
"ASA 5510 9.1(5)  полная фигня с ARP"  +/
Сообщение от www_tank (ok) on 09-Дек-17, 19:12 
ASA5510 9.1|(5) была поставлена на замену 8.3, конфиг списан один-в-один.
В сети DMZ (security level 35)наблюдается хреня с ARP. в других сетях inside outside dmz2 вроде бы нет.

когда хост из сети DMZ (172.16.1.2) пытается послать что-то своему соседу по dmz(172.16.1.7), у него в arp-таблице почему-то оказывается MAC от интерфейса ASA, соответственно хост соседа не видит. Иногда в arp сидит нормальный MAC соседа, и связь есть. Все сервисы DMZ то дышат, то нет соответственно. С заNATеными адресами проблем нет, в arpе MAC интерфейса asa, связь есть всегда.
Пробовались решения

1) sysopt noproxyarp dmz  
проблему с локальными адресами решает, всегда в кеше нормальныt MACи. но! при этом отваливаются хосты заNATеные в эту сеть. Правило NAT такое object network obj-10.10.10.0
nat (inside,dmz) dynamic obj-range-172.16.1.70-100
на момент ввода команды sysopt noproxyarp dmz было два текущих сопоставления (RDP на сервера DMZ), одно упало и не поднималось снова, второе стояло без пробелем все время

2)arp permit-nonconnected  / no arp permit-nonconnected
проблема с локальными адресами DMZ оставалась, разницы о обоих вариантах не замечено

3)посоветовали сменить версию еще раз

Странно, что в Инете про это ничего толком нет. Проблема, с которой тысячи должны были столкнуться....
Благодарю за идеи!


Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "ASA 5510 9.1(5)  полная фигня с ARP"  +/
Сообщение от Денис (??) on 09-Дек-17, 19:55 
>[оверквотинг удален]
>  nat (inside,dmz) dynamic obj-range-172.16.1.70-100
> на момент ввода команды sysopt noproxyarp dmz было два текущих сопоставления (RDP
> на сервера DMZ), одно упало и не поднималось снова, второе стояло
> без пробелем все время
> 2)arp permit-nonconnected  / no arp permit-nonconnected
> проблема с локальными адресами DMZ оставалась, разницы о обоих вариантах не замечено
> 3)посоветовали сменить версию еще раз
> Странно, что в Инете про это ничего толком нет. Проблема, с которой
> тысячи должны были столкнуться....
> Благодарю за идеи!

https://www.cisco.com/c/en/us/td/docs/security/asa/asa91/con...

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема


  Закладки на сайте
  Проследить за страницей
Created 1996-2018 by Maxim Chirkov  
ДобавитьРекламаВебмастеруГИД  
Hosting by Ihor