ASA5510 9.1|(5) была поставлена на замену 8.3, конфиг списан один-в-один.
В сети DMZ (security level 35)наблюдается хреня с ARP. в других сетях inside outside dmz2 вроде бы нет.

когда хост из сети DMZ (172.16.1.2) пытается послать что-то своему соседу по dmz(172.16.1.7), у него в arp-таблице почему-то оказывается MAC от интерфейса ASA, соответственно хост соседа не видит. Иногда в arp сидит нормальный MAC соседа, и связь есть. Все сервисы DMZ то дышат, то нет соответственно. С заNATеными адресами проблем нет, в arpе MAC интерфейса asa, связь есть всегда.
Пробовались решения

1) sysopt noproxyarp dmz  
проблему с локальными адресами решает, всегда в кеше нормальныt MACи. но! при этом отваливаются хосты заNATеные в эту сеть. Правило NAT такое object network obj-10.10.10.0
nat (inside,dmz) dynamic obj-range-172.16.1.70-100
на момент ввода команды sysopt noproxyarp dmz было два текущих сопоставления (RDP на сервера DMZ), одно упало и не поднималось снова, второе стояло без пробелем все время

2)arp permit-nonconnected  / no arp permit-nonconnected
проблема с локальными адресами DMZ оставалась, разницы о обоих вариантах не замечено

3)посоветовали сменить версию еще раз

Странно, что в Инете про это ничего толком нет. Проблема, с которой тысячи должны были столкнуться....
Благодарю за идеи!

• ASA 5510 9.1(5)  полная фигня с ARP,Денис, 19:55 , 09-Дек-17

>[оверквотинг удален]
>  nat (inside,dmz) dynamic obj-range-172.16.1.70-100
> на момент ввода команды sysopt noproxyarp dmz было два текущих сопоставления (RDP
> на сервера DMZ), одно упало и не поднималось снова, второе стояло
> без пробелем все время
> 2)arp permit-nonconnected  / no arp permit-nonconnected
> проблема с локальными адресами DMZ оставалась, разницы о обоих вариантах не замечено
> 3)посоветовали сменить версию еще раз
> Странно, что в Инете про это ничего толком нет. Проблема, с которой
> тысячи должны были столкнуться....
> Благодарю за идеи!

https://www.cisco.com/c/en/us/td/docs/security/asa/asa91/con...