要由内网访问DMZ网，在NAT情况下由于发起方是内部机器，地址范围可以确定，而DMZ服务器的地址往往是保留地址，因此需要修改数据包中的目的地址，因此称为目的NAT，配置NAT规则时需要改变目的地址，源地址不变，假设内部机器地址范围为：192.168.1.0/24，DMZ服务器IP为172.16.0.2，防火墙DMZ网卡地址为172.16.0.1如用以下命令： “add nat static 192.168.1.0/24 172.16.0.2 80 192.168.1.0/24 172.16.0.1 80” 即可实现内网访问DMZ区的WWW服务器，注意此规则中的倒数第二个参数可以使用防火墙的外网卡、DMZ网卡地址，但不要用内网卡地址，否则Java控制台有可能不能连接防火墙，因为这样会使防火墙不能区分Java控制台是要连接防火墙还是DMZ服务器。 如果端口不同，称为端口映射，如用以下命令： “add nat static 192.168.1.0/24 172.16.0.2 8080 192.168.1.0/24 172.16.0.1 80” 则将对8080端口的访问转到80端口上。 当然，在过滤规则中还要增加允许访问DMZ服务器的相应规则，如： “add rule tcp 192.168.1.0/24 172.16.0.2 80 internal accept” 注意：此规则与问题14中的规则的差异在于源地址是有范围的，而不是any，两种情况下防火墙的处理是有较大差别的，在配置规则时必须注意。

我有清华得实 NetST的问题要问