基于zone，3个端口分属inside(trust)、dmz、outside(untrust) 3个域，优先级100、50、0。inside(trust)接局域网，dmz接服务器区域，outside接互联网。规则是从inside可以访问dmz和outside，dmz可以访问outside，也就是高优先级的可以访问低优先级的，低优先级只能被访问而不能主动发起对高优先级域的访问。可以自定义域，可以自定义优先级，可以修改规则。
