代理 ARP 做了什么
正常情况下，终端访问其他网段必须先配网关。代理 ARP 让三层设备代替目的地应答 ARP 请求：设备收到本网段发出的、目标不在本网段的 ARP 请求时，用自己的 MAC 代答，发端就把帧发给设备，由设备转发到目标网段。效果是终端不配网关也能跨网段通信——这既是它的便利，也是它最大的风险来源。
基本信息
| 原理 | 设备以自己的 MAC 代答非本网段的 ARP 请求 |
|---|---|
| 思科 | ip proxy-arp，部分接口默认开启，需显式确认 |
| 华为 | 接口下可配置代理 ARP 相关功能，按平台支持范围核对 |
| 影响面 | 扩大了可达范围，弱化了网关这一层控制点 |
| 建议 | 安全要求高的区域关闭，改为显式配置网关 |
场景与风险
- 旧网络改造过渡期，终端未统一配置网关时的临时兼容手段
- 某些特殊终端不支持配置网关，只能靠代答通信
- 风险一：终端误以为直连，绕过网关上的策略控制
- 风险二：排障时误判——能通不代表路由配置正确
- 风险三：与隔离、零信任类策略直接冲突，形成策略漏洞
查看与关闭
查看与关闭
show run interface GigabitEthernet0/1 | include proxy # 思科：确认当前是否开启
no ip proxy-arp # 思科：接口下关闭
show ip interface GigabitEthernet0/1 # 思科：查看接口三层特性
# 华为：按平台文档核对代理 ARP 配置项与默认状态
# 关闭后逐段验证：终端是否仍能访问其应当访问的目标对比
| 方式 | 终端要求 | 控制能力 |
|---|---|---|
| 显式配置网关 | 终端需正确配置网关地址 | 网关可做策略与审计 |
| 代理 ARP | 终端不配网关也可能通 | 控制点被弱化 |
| 路由加策略 | 终端按规范配置 | 可控性最好，推荐 |
代理 ARP 会扩大可达范围，安全要求高的区域建议关闭并显式配置网关；关闭动作要按网段分批验证，避免一次性切断依赖代答的终端。
排查时要记住：终端「能 ping 通」不代表路由配置正确，可能只是代理 ARP 掩盖了缺网关的问题。判断业务是否按规范配置，要单独核对终端网关设置。