Обработка транзитного трафика:

Входящий трафик - это любой первый входящий пакет сессии, поступающий в user-zone1. Он проверяется набором правил  начиная с меньшего по нумерации, указанной в zone-pair. Если пакет подпадает под все условия, прописанные в правиле (match), выполняется действие прописанное в правиле (action) и дальнейший просмотр правил прекращается.

• zone-pair: <user-zone1> → any
Проверяется, есть ли совпадение с данным набором правил:

  • Если найдено совпадение и action permit → переход к обработки правил zone-pair <user-zone1> <user-zone2>.

  • Если совпадений нет → переход к обработки правил zone-pair <user-zone1> <user-zone2>.

  • Если правило срабатывает с action deny → трафик запрещается.

• zone-pair: <user-zone1> <user-zone2>
  Также происходит проверка правил для пользовательских зон:

  • permit → трафик разрешён.

  • deny → трафик запрещён.

  • нет совпадений → переход к обработки правил zone-pair any any.

• zone-pair: any → any 
  Последний уровень проверки:

  • permit → трафик разрешается.

  • deny или нет совпадений → трафик запрещается.

Подробней о "security zone-pair <user-zone> any"

Создание разрешающего правила в "security zone-pair <user-zone1> any" не разрешает прохождение транзитного трафика, так как после обработки этим набором пакет передаётся на обработку набором "security zone-pair <user-zone1> <user-zone2>" и только там может быть действительно разрешен. 

Функционал конфигурирования "security zone-pair <user-zone> any" реализовано для:

•  Классификации фрагментированных пакетов (match fragment)
•  Классификации пакетов содержащих ip-option (match ip-option)
•  Возможности либо запретить вышеперечисленные пакеты (action deny), либо ограничить их (action [rate-limit total pps / session-limit])

Обработка терминируемого трафика (к self)

Входящий трафик к self - пакеты, адресованные самому маршрутизатору.

• zone-pair: any → self
  Проверяется самое общее правило для доступа к self.

  • Если есть совпадение и action permit → трафик разрешается.

  • Если action deny → трафик запрещается.

  • Если нет совпадений → переход к обработки правил zone-pair <user-zone> self.

• zone-pair: user-zone → self
  Более конкретное правило:

  • permit → доступ к self разрешён.

  • deny → доступ запрещён.

  • нет совпадений → трафик запрещается по умолчанию.

• zone-pair: any → any 
  Последний уровень проверки:

  • permit → трафик разрешается.

  • deny или нет совпадений → трафик запрещается.