Debian 12 NAT网关（dnsmasq DHCP配置）异常：内部IP可从外部访问的排查求助

我最近跟着网上的教程（主要参考Arch Wiki），把一台Debian 12机器配置成了IPv4 NAT网关/路由器，尽量采用了目前最主流的配置方式：

• 用dnsmasq做DHCP和DNS服务器，给内部网络分配IP地址
• 用nftables负责防火墙规则和NAT伪装

整体功能倒是正常，但碰到了一个完全想不通的问题：

我的网关机器的内网IP 10.0.0.1 居然能从外部网络访问到，这明显不符合预期啊！而且外部机器的ARP表显示，这个内网IP对应的是网关外网接口的MAC地址：

? (10.0.0.1) at 00:30:18:11:5e:b6 [ether] on ens32

这到底是怎么回事？会不会是我哪里配置出错了？有没有什么排查方向或者工具能帮我找出问题根源？

我的当前配置详情： #

静态IP配置：

• 外网接口 enp3s0：MAC地址 00:30:18:11:5e:b6，IP地址 192.168.0.15/20（接入公司网络，作为外部网络侧接口）
• 内网接口 enp7s0：MAC地址 00:30:18:11:5e:b7，IP地址 10.0.0.1/23（内部网络侧接口）

备注：内容来源于stack exchange，提问作者kingspride