想做一个防火墙，不知偶的思路对不对……

favorit

我想做一个有DMZ的防火墙，三块网卡，eth0为外部网络接口(公共网络地址202.114.36.185)，eth1为DMZ区网络接口(192.168.0.2)，eth2为Intranet网络接口(192.168.1.2)。DMZ里有Web、DNS和FTP服务器。FTP服务器的IP是192.168.0.10
我想让内部网络可以访问DMZ中的FTP服务器，但是禁止外部访问，而且内部网络可以对外部网络获取FTP服务，但是不知道这样的功能，如何用iptables命令来实现。

下面两句想实现对外部网络的FTP功能，不知道这样对不对：
iptables -A FORWARD -p tcp -d 192.168.1.0/24 --sport 21 -i eth0 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.1.0/24 --dport 21 -o eth0 -j ACCEPT

但是“内部网络可以访问DMZ中的FTP服务器，但是禁止外部访问”就不知道到底该怎么写了……
请这里的大侠赐教一二