现实的工程问题，是否高手能解答？

HelyMa

图片中有他们规划的IP段，其中10.161这个IP段是不能变的（全省统一）。10.164这个网段是路由器的NAT地址池（运营商给的IP是61.211.xx.xx）。最最终要实现求效果如下：
1，两台服务器不能完全暴露在外网。
2，区县电脑的IP（都是内网，10.161网段）能访问两台服务器。    //目前已经实现
3，乡镇电脑纸能上互联网，在保证安全的前提下，乡镇的电脑能访问服务器。（可以做拨号、跳转或者其他方式 ）
4，市局人员在保证安全的情况下，既能访问服务器，又能访问外网。（可以做拨号、跳转或者其他方式）
5，未来访问服务器的并发量要考虑2000+。

图中的路由器没有防火墙功能。尽量考虑安全性。
请高手们给点建议。

ljt

你是要哪方面的建议，在三层上做ACL就能实现，边界做PAT