Атрибут NoProxyARP задает режим работы устройства в роли ProxyARP для указанного множества адресов. Режим проксирования имеет смысл использовать, когда указанный пул адресов является подмножеством

адресов защищаемой подсети шлюзом безопасности.

Выданный по IKECFG внешнему устройству IP-адрес должен проксироваться с интерфейса защищаемой подсети, чтобы пакеты от устройств этой подсети, предназначенные для исходного внешнего устройства,

попадали на шлюз безопасности для их дальнейшей обработки и пересылки внешнему устройству, для этого также соответствующим образом должна быть задана таблица маршрутизации (см. Пример).

Добавление proxy-arp записей не гарантирует маршрутизацию пакетов на самом шлюзе безопасности. Для автоматического добавления маршрутов, proxy-arp можно использовать совместно с механизмом RRI.

При удалении SA, соответствующие proxy-arp записи удаляются.

 

Примечание

Записи удаляются с задержкой, соответствующей времени жизни информации о выданном IKECFG адресе (от 5 до 10 минут). Данная задержка позволяет восстановить соединение с партнёром по запросу из защищаемой подсети.

 

Синтаксис		NoProxyARP = FALSE | TRUE
Значение		FALSE  – для указанного множества адресов устройство выступает в роли ProxyARP. Если IP-адрес не попадает ни в одну из защищаемых локальных подсетей, proxy-arp запись не создается, и это не считается ошибкой.  TRUE  – адреса не проксируются.
Значение по умолчанию		FALSE

 

Описан случай, когда NoProxyARP обязан быть выставлен в FALSE (в иных случаях – это необязательно).

Топология сети: 

------- 10.0.0.1/24 GW ====== ISP router === ... === nomadic

Обозначения:

--------       открытый трафик

========       защищенный трафик

GW                  шлюз безопасности

ISP router    маршрутизатор провайдера

.........     все промежуточные хосты

nomadic         внешний пользователь.

 

Пул адресов выделен из внутренней сети, например, 10.0.0.240 – 10.0.0.247, его так же можно задать в форме 10.0.0.240/29. Здесь специально выбран диапазон, который укладывается в подсеть,

чтобы удобнее было задавать запись в таблице маршрутизации. Но не стоит путать - адреса 10.0.0.240 и 10.0.0.247 не будут являться спец. адресами подсети.

Для указанной топологии в LSP необходимо указать:

AddressPool(

IPAddresses = 10.0.0.240/29

NoProxyARP = FALSE

)

Route(

Destination = 10.0.0.240/29

Gateway = ISP_router_IP_address

)

В результате получим:

•      GW ответит на ARP-запрос Ethernet адреса для IP-адреса из пула от хоста из внутренней сети

•      После попадания пакета на внутренний интерфейс GW с адресом назначения из пула, пакет будет перенаправлен в соответствии с указанной записью в маршрутной таблице на внешний интерфейс GW,

     где перед отправкой во вне он будет зашифрован.

Необходимо помнить:

Нельзя указывать маршрутизацию для 10.0.0.240/29 через внешний интерфейс GW, так как выделяемые адреса из пула будут привязываться в ARP-таблице к внешнему интерфейсу, и GW не будет отвечать на

ARP-запросы для таких адресов с внутреннего интерфейса. Это расходится с практикой Cisco, где в таком случае запись делается через интерфейс.