結(jié)論：以上表明ASA對TCP協(xié)議的狀態(tài)化連接；
外網(wǎng)有時會主動要求訪問內(nèi)網(wǎng)，由于接口安全級別的默認(rèn)規(guī)則，允許出站連接（從高到低級別允許）；禁止入站連接（從低到高級別禁止）
，所以外網(wǎng)主動連接內(nèi)網(wǎng)時防火墻會阻擋數(shù)據(jù)的傳輸；
因此用配置ACL解決：
ciscoasa(config)# access-list asa_acl permit tcp host 12.0.0.2 any
ciscoasa(config)# access-Group asa_acl in interface outside
實(shí)驗(yàn)驗(yàn)證：
在R1上配置遠(yuǎn)程：
R1(config)#line vty 0 4
R1(config-line)#password abc
R1(config-line)#login
到此R1仍舊可以正常訪問R2，如下：
結(jié)論：證明在R2給R1回包的時候，防火墻對ACL列表和Conn表同時檢測，如果有一個規(guī)則匹配就過；
在R2上配置環(huán)回口，驗(yàn)證以上結(jié)論：
R2(config)#int loo 0
R2(config-if)#ip address 2.2.2.2 255.255.255.255
R2(config-if)#no shut
配置靜態(tài)路由：
R1(config)#ip route 2.2.2.2 255.255.255.255 11.0.0.2
ciscoasa(config)# route outside 2.2.2.2 255.255.255.255 12.0.0.2
在ACL列表“asa_acl”中配置允許host2.2.2.2/24通過防火墻；
ciscoasa(config)# access-list asa_acl permit tcp 2.2.2.2 255.255.255.255 any
ciscoasa(config)# access-group asa_acl in interface outside
用R1遠(yuǎn)程R2：