关于防火墙inside,dmz,ouside安全级别的问题

old73

有这样的说法，即防火墙高安全级别的端口可以访问低安全级别的端口，低安全级别的端口不能访问高安全级别的端口
现这样设置
inside     security-level为100
dmz        security-level为50
outside   security-level为0
如果做了static (inside,dmz) ,刚接在dmz接口的电脑就可以访问inside接口的电脑（也就是说可以许可低安全级别的端口访问高安全级别的端口）
如果做了nat (inside) global(dmz)，刚接在inside接口的电脑就可以访问dmz接口的电脑，如果不做nat，即使是高安全级别的inside也不能访问低安全级别的dmz

如果这样，inside,dmz,outside这三个区划分安全级别还有什么意义？

klinuxe

楼主要明白，数据包一收一发的，高级别的可以发过去低级别的，低级别的回报不过来，但是除了TCP协议之外，其它的要做ACL

klinuxe

拿分走人呵呵，楼下继续！

phil

Thanks for your information.