为何防火墙更换后，nat地址，在外部交换机的arp表未更新

各位高手，最近我在进行防火墙更换操作时，遇到一个问题，虽然通过测试找到了解决办法，但是不知道产生的原因，不知道哪位高手可以予以解答，万分感谢！
! Y- n( {# w! T, j% C4 Y一、拓扑图：
2 D  c3 n6 a8 o( s  x客户端主机——核心交换机——防火墙——外部交换机——服务器
/ k- c# Y/ Q) c' r. `: n
0 j3 B0 y  u! B) A1 L二、问题描述：
5 C3 t* n) M8 k( p9 y1、进行防火墙升级，用asa5520替换原pix525，操作完成后，发现与外部服务器的通信中断，只有通过防火墙outside端口的数据可以正常。
2、通过抓包，远端服务器收到请求包，且进行了回应，但是防火墙没有收到。
- w7 _- k& U! ^  w& M% g9 U/ F4 U3、回退，业务恢复后，怀疑是外部交换机（合作伙伴设备）的arp表未及时更新的原因。
; R! G6 H( b/ B4 `4、搭建测试环境进行测试，测试环境基本与生产环境类似。
5、通过测试，采用修改防火墙outside端口mac地址的方法模拟防火墙更换，发现问题重现，登陆外部交换机查看arp信息，发现对应outside端口地址的mac地址已经更新为我们手动修改的mac，但是nat的地址还是使用的原outside端口地址的mac，所以导致丢包，与我们的设想符合。
& X( \9 K5 Y% h: K6、通过手动更新外部交换机arp表以后，通信恢复。

* l3 D1 ~6 S: U5 B& c, v三、问题：
" d) J/ V6 w5 y( P我就想知道，这个情况是否正常？如果正常，为什么会出现呢？原因是什么？
& g. @9 [7 j* l6 U哪位高手能予以解答啊，谢谢啊

正常。每个ＡＲＰ记录有一个存活时间，cisco 的交换机应该是４小时。并且不会主动去更新，所以需要源设备去主动更新，否则必需等到这条记录失效。你可以通过换防火墙的outside接口的ＩＰ去主动更新ＡＲＰ。

感谢，但是，我查看了相关资料（也许看到的不对），cisco 3550和cisco4500系列（生产环境合作伙伴设备）的交换机，arp的默认更新时间不是300秒吗？
sw-01(config)#mac-address-table aging-time ?
  <0-0>         Enter 0 to disable aging
  <10-1000000>  Aging time in seconds
, Y6 m7 y$ P: U! s. _; T
; F- x. r" e. D: I7 ?/ @# t( ?0 psw-01(config)#mac-address-table aging-time

; n) V9 n* l4 Z4 \, u% D/ u难道不是这个吗？谢谢指点。

show arp,你哪是ＣＡＭ表的。

抱歉，最近外出。。。
3 a7 F( b; v' m5 ^8 `7 O! @谢谢楼上的指点，我决定做个测试，试试4小时老化是否成立，呵呵。
2 ^) E$ b# |' h! s我也咨询过cisco的高手，他们判断有可能是ios的bug，正在帮我向cisco开case，有结果会回来告知大家，呵呵，谢谢。

我是来刷分的，嘿嘿

我抢、我抢、我抢沙发~

没看完~~~~~~ 先顶，好同志

好好 学习了 确实不错

没看完~~~~~~ 先顶，好同志