первый раз мне досталась эта железка.
нужно реализовать следующую схему.

версия 7.0

eth0/0.20
nameif dmz
ip address 10.10.20.1 255.255.255.0
security-level 50
vlan 20

eth0/0.30
nameif servers
ip address 10.10.30.1 255.255.255.0
security-level 100
vlan 30

eth0/0.90
nameif users
ip address 10.10.90.1 255.255.255.0
security-level 100
vlan 90

eth0/2
nameif telecom
ip address 217.*.*.66 255.255.255.0
security-level 0

route telecom 0 0 217.*.*.5 1

global (telecom) 1 interface
nat (dmz) 1 10.10.20.100 255.255.255.255

задача.
выпустить в инет сервер 10.10.20.100 (ISA серв)

пользователей из влан 90 пустить на сервера (30 влан) и на ИСУ (20 влан) - рдп, файлшары, фтп

при выше приведенной конфигурации работает.

а теперь проблема.
необходимо из вне пробросить порты следующим образом -
порты 25,80,443,3579 на внутренний 10.10.20.100 (ISA серв, DMZ)
порты 3573,3575,3577 на внутренний 10.10.30.71 (servers)

делаю так -
static (dmz,telecom) tcp 217.*.*.65 25 10.10.20.100 25 netmask 255.255.255.255
static (dmz,telecom) tcp 217.*.*.65 80 10.10.20.100 80 netmask 255.255.255.255
....
static (servers,telecom) tcp 217.*.*.65 3573 10.10.30.71 3573 netmask 255.255.255.255
итд ...

акссесс листы на telecom,servers,dmz висят такие -
access-list telecom_in extended permit ip any any
access-grout telecom_in in interface telecom
на дмз и серверс - аналогично.

результат - проброс портов не работает.

пробовал так -
static (dmz,telecom) 217.*.*.65 10.10.20.100 netmask 255.255.255.255
static (dmz,telecom) 217.*.*.67 10.10.30.71 netmask 255.255.255.255
- так работает.
но проблема в том - что из вне желательно ходить на 1 ип 217.*.*.65 - а с него по портам раскидывать на разные внутренние сервера. т.к. на этот ИП настроено у клиентов софт. и менять настройки не получится.

пока работает временно в конфигурации -
eth0/2
nameif telecom
ip address 217.*.*.65 255.255.255.0
security-level 0

static (dmz,telecom) interface 10.10.20.100 netmask 255.255.255.255

все идет со вне на ису - а иса второй сетевухой в влан 30 - перенаправляет ан 30.71 сервер. но от этого надо избавиться.

так же у меня не захотела работать конструкция -
eth0/2
nameif telecom
ip address 217.*.*.66 255.255.255.0
security-level 0

global (telecom) 1 217.*.*.65 255.255.255.255
nat (dmz) 1 10.10.20.100 255.255.255.255

на 10.10.20.100 (dmz) инета не появилось ...

подскажите плиз пути решения.
может у кого есть книжка/дока по пикс/аса хорошая, буду признателен за помощь.