上图是一个典型 dmz 网络拓扑
pf1，需要在system -> firewall/nat -> network address translation中，设置nat reflection mode for port forwards 模式为：Pure NAT
打开上述设置，可以让内网直接用域名访问架在dmz里的服务器。
pf2，我是将连接dmz的端口设置为wan，接内网为lan，然后关闭nat功能，保持访问dmz的设备，使用原ip，否则在dmz中的内网机器，ip全部为wan的ip
firewall -> nat -> outbound，disable outbound nat rule generation（not outbound nat rules)
原文：http://xiaosa.blog.51cto.com/665033/1614997