要由外网访问DMZ区，在NAT情况下由于发起方是外部机器，而DMZ区服务器的地址往往是保留地址，因此需要修改数据包中的目的地址，因此称为目的NAT，配置NAT规则时需要改变目的地址，源地址不变，假设DMZ服务器IP为172.16.0.2，防火墙外部地址为10.0.0.1（这也是一个保留地址，在实际中根据实际情况取实际值），如用以下命令： “add nat static any 172.16.0.2 80 any 10.0.0.1 80” 即可实现外网访问DMZ的WWW服务器，如果端口不同，称为端口映射，如用以下命令： “add nat static any 172.16.0.2 8080 any 10.0.0.1 80” 则将对8080端口的访问转到80端口上。 当然，在过滤规则中还要增加允许访问DMZ服务器的相应规则，如： “add rule tcp any 172.16.0.2 80 external accept” 注意：在指定目的NAT规则时，端口一般不要设置为“any”，而必须明确指定，否则外界就可能访问到内部服务器开的一些危险端口从而取得服务器的控制权。如果只允许某些外部IP访问DMZ服务器，NAT规则也应该按所述NAT规则形式设置，然后在过滤规则表中进行过滤处理，以免和下面的情况冲突。

我有清华得实 NetST的问题要问