>> Уважаемые гуру! Я переделал всю конфигу исходя из ваших советов, но протестировал
>> пока только в виртуальной среде - работает, все кого надо -
>> видят, кого не надо - не видят.
> Вопрос: должны ли хосты в DMZ быть доступны по реальным адресам?
> Если да, то нужно убрать динамический нат с пулом и для каждого
> хоста отдельный статический нат:
> ip nat inside static 192.168.10.x xxx.xxx.xxx.X
> ip nat inside static 192.168.10.y xxx.xxx.xxx.Y

Да! Только белый ip для DMZ только один, поэтому придется делать так:

ip nat inside source static tcp 192.168.10.10 80 xx.xx.xx.124 80 extendable

ip nat inside source static tcp 192.168.10.100 smtp xx.xx.xx.124 smtp extendable

К концу недели протестирую на реальном железе!
Спасибо за помощь!