Как работает P2P через Cisco ASA?

Question

Дмитрий @gikido

Как работает P2P через Cisco ASA?

Всем дорого времени суток!
Суть вопроса:
Есть Cisco ASA, есть некая сеть за ним. В сети есть хост, которому разрешено ходить наружу по нескольким портам, на любые адреса. Порты стандартные - tcp/80,443,22,25,110 и т.д. - основные well-known сервисы, в общем. Плюс ему нужно поднимать P2P подключение - дополнительно открыты udp/8800,8802. Снаружи на него все закрыто. Само устройство - видеорегистратор.
P2P ему нужен для упрощения доступа снаружи - грубо, сканируется QR-код с экрана мобильным устройством через специальный софт, и из любой точки мира возможно установить подключение к регистратору.
И вот на нем включается P2P Enable. Само устройство пишет "соединение успешно". В подключениях я вижу, что по разрешенным портам устанавливается соединение, все в порядке:
------
UDP outside 154.93.87.103:8802 inside 172.20.1.91:54135, idle 0:00:31, bytes 932, flags -
UDP outside 154.93.87.103:8800 inside 172.20.1.91:45732, idle 0:01:13, bytes 375, flags -
UDP outside 154.93.87.103:8800 inside 172.20.1.91:41747, idle 0:01:13, bytes 400, flags -
UDP outside 154.93.87.103:8800 inside 172.20.1.91:50484, idle 0:01:25, bytes 72, flags -
UDP outside 154.93.87.103:8800 inside 172.20.1.91:35176, idle 0:01:29, bytes 72, flags -
UDP outside 154.93.87.103:8802 inside 172.20.1.91:36441, idle 0:01:22, bytes 4234, flags -
-------

Далее пробую подключаться на него с планшета, через 3G сеть. И мне удается подключиться!
Сами коннекшены на ASA уже выглядят так:

------
UDP outside 78.25.122.127:42957 inside 172.20.1.91:34697, idle 0:00:20, bytes 88, flags -
UDP outside 78.25.122.127:42956 inside 172.20.1.91:34697, idle 0:00:20, bytes 88, flags -
UDP outside 78.25.122.127:42378 inside 172.20.1.91:50106, idle 0:00:38, bytes 792, flags -
UDP outside 78.25.122.127:18116 inside 172.20.1.91:54692, idle 0:01:17, bytes 792, flags -
UDP outside 154.93.87.103:8800 inside 172.20.1.91:38807, idle 0:00:01, bytes 72, flags -
UDP outside 154.93.87.103:8800 inside 172.20.1.91:34952, idle 0:00:05, bytes 72, flags -
UDP outside 154.93.87.103:42956 inside 172.20.1.91:34697, idle 0:00:00, bytes 1852179, flags -
UDP outside 154.93.87.103:8800 inside 172.20.1.91:34697, idle 0:00:20, bytes 72, flags -
UDP outside 154.93.87.103:8800 inside 172.20.1.91:50542, idle 0:00:21, bytes 72, flags -
UDP outside 154.93.87.103:8800 inside 172.20.1.91:50593, idle 0:00:24, bytes 72, flags -
------

где адрес 78.25.122.127 - внешний IP моего мобильного интернета.

Никак не могу понять, как ASA разрешил прохождение трафика по портам, по факту не разрешенным?

Напрашивается мысль про inspect. но какая инспекция работает для P2P?