关于nat和inspect的特点

ip inspect结合nat时，总是监控nat前的原地址，且inspect不对本身产生和到达本身的流量进行监控,如果ping自己接口的ip，则直接根据接口应用的acl内容执行，就是说，自己产生的ping数据包源地址就是ping自己时的目标地址，目标地址就是我们ping的地址，因此直接ping自己的一个接口，如果这个接口的acl没有限制源地址，且目标允许我们ping包的目标子网，ping可以通，但是如果接口acl要求了源地址，或者允许放行的目标子网没有我们ping包目标地址的子网，那么及时ping自己也是不通的。接口上的acl在数据包进行一切操作之前被检查，但是检查acl之前已经有inpsect监控记录，就不进行acl匹配而直接放行。没有被监控的流量，要根据acl调用的位置，来写acl匹配的网络到底是nat前的源网络还是nat后的目标网络(因为没有基于zone的acl是在包处理之前最先被检查的)。zone-based fw是因为其方向性，所以，应用在一个方向上的过滤策略是在进入这个方向并穿越zone时基于nat前的地址进行匹配的，与acl列表的工作方式完全不同！而相反的包不受acl的控制，即，只要有一个方向的监控记录，则回包直接放行。