端口映射：僅將指定端口流量轉發給內網特定主機，最小權限原則，相對安全。 DMZ主機：將內網一主機完全暴露於網關，所有未匹配的入站流量均轉發給它，配置簡單但風險極大（等同直接接公網）。
選擇建議： • 僅需開放Web(80/443)、FTP(21)等少量服務 → 端口映射； • 需所有端口通訊（如測試、特殊協議）且接受風險 → DMZ； • 生產環境強烈建議端口映射，最小化攻擊面。