ASA5510 9.1|(5) была поставлена на замену 8.3, конфиг списан один-в-один.
В сети DMZ (security level 35)наблюдается хреня с ARP. в других сетях inside outside dmz2 вроде бы нет.

когда хост из сети DMZ (172.16.1.2) пытается послать что-то своему соседу по dmz(172.16.1.7), у него в arp-таблице почему-то оказывается MAC от интерфейса ASA, соответственно хост соседа не видит. Иногда в arp сидит нормальный MAC соседа, и связь есть. Все сервисы DMZ то дышат, то нет соответственно. С заNATеными адресами проблем нет, в arpе MAC интерфейса asa, связь есть всегда.
Пробовались решения

1) sysopt noproxyarp dmz  
проблему с локальными адресами решает, всегда в кеше нормальныt MACи. но! при этом отваливаются хосты заNATеные в эту сеть. Правило NAT такое object network obj-10.10.10.0
nat (inside,dmz) dynamic obj-range-172.16.1.70-100
на момент ввода команды sysopt noproxyarp dmz было два текущих сопоставления (RDP на сервера DMZ), одно упало и не поднималось снова, второе стояло без пробелем все время

2)arp permit-nonconnected  / no arp permit-nonconnected
проблема с локальными адресами DMZ оставалась, разницы о обоих вариантах не замечено

3)посоветовали сменить версию еще раз

Странно, что в Инете про это ничего толком нет. Проблема, с которой тысячи должны были столкнуться....
Благодарю за идеи!