salut,

j'ai un netscreen 5gt (screenos 5.4), configuré tout comme il faut pour le fonctionnement trust-untrust.
voulant passer en mode trust-untrust-dmz, j'ai passé ma conf en extended avec tout à l'identique.

seulement même en mettant une règle dmz -> untrust permit any (identique à celle trust -> untrust), le trafic ne passe pas
raison invoquée sur la "policy" : close - age out.  

résumé de la conf
eth1 untrust route
eth2 trust nat
eth3 dmz nat

policies
trust -> untrust permit any
dmz -> untrust permit any
trust -> dmz permit any
et 2 autres règles, vip associé à eth1 pour le nat.

c'est d'autant plus bizarre que la règle permettant trust -> untrust est strictement identique à la règle dmz -> untrust.

si vous avez une idée, je suis prenneur  

edit:
en ajoutant une règle dmz -> trust permit any (bon, la dmz perd son sens mais c'est du troubleshooting ), meme diagnostique : close - age out. y aurait-il une règle implicite à la zone dmz?

self réponse:
http://forums.juniper.net/jnet/boa [...] ead.id=333
le nat ne fonctionne que pour trust->untrust. pour dmz->untrust, il faut le préciser dans la règle qu'on utilise du nat.
 
logique tout ça