关于防火墙旁挂的问题

实验拓扑：
实验环境：
PC1: IP:192.168.1.1 网关地址：192.168.1.254
PC2： IP：192.168.2.2 网关地址：192.168.2.254
R1： G0/0/0:192.168.1.254 G0/0/1:192.168.2.254 g0/0/2：12.1.1.1 g4/0/0：:13.1.1.1
FW3：g0/0/0：12.1.1.2 g0/0/1:13.1.1.2
PC1-R1-FW3为外网untrust区域，PC2-R1-FW3为内网trust区域.

实验目的：PC2访问PC1去向数据不经过防火墙，回向数据经过防火墙.

实验过程:
1.测试网络连通性.

2.在R1定义策略路由，定义R2-R1的数据.
acl number 2000
rule 5 permit source 192.168.1.1 0

traffic classifier c1-c2 operator or
if-match acl 2000

traffic behavior c1-c2
redirect ip-nexthop 12.1.1.2

traffic policy 1
classifier c1-c2 behavior c1-c2

interface GigabitEthernet0/0/0
ip address 192.168.1.254 255.255.255.0

3.配置防火墙区域：

firewall zone trust
set priority 85
add interface GigabitEthernet0/0/1

firewall zone untrust
set priority 5

在G0/0/0处抓包发现有Reply报文回送：

但在G0/0/1口抓包无报文.

4.进行问题解决：
①.可能FW1没有到达PC2的路由，解决：手工写一条静态路由：

ip route-static 192.168.2.0 255.255.255.0 GigabitEthernet0/0/1 13.1.1.1
还是不通。
②.可能原因：防火墙没有定义允许通过的路由：进行定义：

policy interzone trust untrust inbound
policy 1
action permit
policy source 192.168.1.0 mask 24
还是不通
③.可能原因：防火墙默认不允许协议非首包通过，解决：关闭这个机制：
undo firewall session link-state check tcp
undo firewall session link-state check
发现ICMP的Reply报文顺利回送
在FW3的G0/0/1口抓包：