根据定义，NAT 豁免是双向的。如果我有以下网络，具有以下安全级别和 IP：

DMZ    - Security Level 50  - 10.1.1.0/24
Inside - Security Level 100 - 10.2.2.0/24

永远不会出现我不想在我的 Inside 和 DMZ 之间进行 NAT，但我想在我的 DMZ 和 Inside 之间进行 NAT 的情况。无论发起流量的方向或网络如何，我都希望在 INSIDE/DMZ 或 DMZ/INSIDE 之间进行 NAT 或不 NAT。

因此 Cisco 为避免让您在两个方向上配置 NAT Exemption，默认情况下选择使其成为by-directional。为了避免歧义，只需随意选择“从高到低”作为配置 NAT 豁免的正确方法。

很像 NAT 通常从“高到低”安全级别进行配置。