Исходное сообщение
"ASA 5510 9.1(5)  полная фигня с ARP" Отправлено www_tank, 09-Дек-17 19:12
ASA5510 9.1|(5) была поставлена на замену 8.3, конфиг списан один-в-один. В сети DMZ (security level 35)наблюдается хреня с ARP. в других сетях inside outside dmz2 вроде бы нет. когда хост из сети DMZ (172.16.1.2) пытается послать что-то своему соседу по dmz(172.16.1.7), у него в arp-таблице почему-то оказывается MAC от интерфейса ASA, соответственно хост соседа не видит. Иногда в arp сидит нормальный MAC соседа, и связь есть. Все сервисы DMZ то дышат, то нет соответственно. С заNATеными адресами проблем нет, в arpе MAC интерфейса asa, связь есть всегда. Пробовались решения 1) sysopt noproxyarp dmz   проблему с локальными адресами решает, всегда в кеше нормальныt MACи. но! при этом отваливаются хосты заNATеные в эту сеть. Правило NAT такое object network obj-10.10.10.0 nat (inside,dmz) dynamic obj-range-172.16.1.70-100 на момент ввода команды sysopt noproxyarp dmz было два текущих сопоставления (RDP на сервера DMZ), одно упало и не поднималось снова, второе стояло без пробелем все время 2)arp permit-nonconnected  / no arp permit-nonconnected проблема с локальными адресами DMZ оставалась, разницы о обоих вариантах не замечено 3)посоветовали сменить версию еще раз Странно, что в Инете про это ничего толком нет. Проблема, с которой тысячи должны были столкнуться.... Благодарю за идеи!

Ваше сообщение
Имя*:
EMail:	Для отправки новых сообщений в текущей нити на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> ASA5510 9.1|(5) была поставлена на замену 8.3, конфиг списан один-в-один. > В сети DMZ (security level 35)наблюдается хреня с ARP. в других сетях > inside outside dmz2 вроде бы нет. > когда хост из сети DMZ (172.16.1.2) пытается послать что-то своему соседу по > dmz(172.16.1.7), у него в arp-таблице почему-то оказывается MAC от интерфейса ASA, > соответственно хост соседа не видит. Иногда в arp сидит нормальный MAC > соседа, и связь есть. Все сервисы DMZ то дышат, то нет > соответственно. С заNATеными адресами проблем нет, в arpе MAC интерфейса asa, > связь есть всегда. > Пробовались решения > 1) sysopt noproxyarp dmz > проблему с локальными адресами решает, всегда в кеше нормальныt MACи. но! при > этом отваливаются хосты заNATеные в эту сеть. Правило NAT такое object > network obj-10.10.10.0 > nat (inside,dmz) dynamic obj-range-172.16.1.70-100 > на момент ввода команды sysopt noproxyarp dmz было два текущих сопоставления (RDP > на сервера DMZ), одно упало и не поднималось снова, второе стояло > без пробелем все время > 2)arp permit-nonconnected / no arp permit-nonconnected > проблема с локальными адресами DMZ оставалась, разницы о обоих вариантах не замечено > 3)посоветовали сменить версию еще раз > Странно, что в Инете про это ничего толком нет. Проблема, с которой > тысячи должны были столкнуться.... > Благодарю за идеи!
	Введите код, изображенный на картинке: