如何定义基于IOS区域的防火墙策略来检查“任何”？

Question

在IOS上配置ZBFW时，“类默认”类不允许检查操作(只允许传递和删除)。什么是建议的方式来匹配所有的流量状态检查？匹配TCP、UDP和ICMP似乎很好，但这似乎不太理想：

class-map type inspect match-any All_Protocols
 match protocol tcp
 match protocol udp
 match protocol icmp

Answer 1

那应该管用。或者使用这样的方法：

R1(config)#ip access-list extended MATCH-ALL
R1(config-ext-nacl)#permit ip any any
R1(config-ext-nacl)#class-map type inspect match-any CM_MATCH-ALL
R1(config-cmap)#match access-group name MATCH-ALL
R1(config-cmap)#policy-map type inspect PM_IN->OUT
R1(config-pmap)#class CM_MATCH-ALL
R1(config-pmap-c)#inspect 
%No specific protocol configured in class CM_MATCH-ALL for inspection. All protocols will    be inspected

如果在类映射中没有特定的协议匹配，那么它将匹配所有协议。