1.icmp穿越asa(asa默认情况下，允许高安全级别到低安全级别的流量，拒绝低安全级别到高安全级别的流量，针对于tcp等状态化的流量，当穿越asa时，会留下自己的“足迹”（状态话列表）所以流量在返回来的时候是可以穿越的；但是对于像icmp这样的流量，由于没有状态化列表，所以流量在返回的时候将被asa拒绝，而不是说asa会拒绝icmp-replay报文)2.ipsec穿越asa(在配置ipsec过程中，总共要经历两个阶段，六个包的mainmode，和三个包的quikmode，然后数据包才能被加密传输，数据包被加密的过程中使用esp协议进行封装传输，但是esp是一种无状态数据包，不同于udp和tcp，所以数据包可以从高安全级别到低安全级别，但是不能从低安全级别到高安全级别)3.bgp穿越asa(在bgppeer之间以明文的方式相互交换数据的时候，在穿越asa的时候是没有问题的，但是当bgppeer之间以密文的方式传输，在穿越asa的时候，将会出现问题；由于bgp加密会将tcp的报头中的相关数据作为hash的原料，但是当bgp的数据包穿越asa时，asa会将tcp报头中的相关字段扰乱或隐蔽，导致tcp三次握手不能建立)①经过bgpmd5散列后的值会在bgp的报文中添加option为tcp的字段，type类型为19，当这样的数据包经过asa时，会将tcptype=19的option字段给抠除，自己加上新的option字段，这样当bgppeer收到bgp消息时就会不认识此数据包，所以bgp对等体之间不能建立邻居关系；经过asa之前：经过asa之后：从图中可以看出，tcptype=19确实被移除还有一点，bgp加密进行哈希的时候会将tcp的sequencenumber一起作为原料，但是当tcp穿越asa时，会将sequencenumber扰乱，导致最终的md5不能验证成功；此时bgppeer将会成功建立4数据穿越asa，ttl值不减(使用traceroute跟踪数据包路径的时候，使用的是icmp协议与udp协议的结合；首先，traceroute在发数据包的时候，是以udp的报文向外发送，其ttl值等于1，当数据包到达asa时，asa默认不会对ttl值做减一的操作，此时数据包便能发往R2，R2收到udp的报文的时候，便会向源1.1.1.1发送icmp的报文，源为自己的接口的ip地址，当数据包发回asa的时候，由于icmp的无状态性，所以要对防火墙做放行从低安全级别到高安全级别的流量ttl=255，类型为3（destinationunreachable），code为3（portunreachable），谁发送了code为3的数据包，就会记录数据包发回的源)当在防火墙上配上相关的配置后，穿越asa的流量将会对ttl值做减一的操作，此时在使用traceroute命令的时候，就能够看到经过asa的那一跳地址了By雪飘人间