请教防火墙规则配置

jesse

forward Chain 中写如下规则

add src-address=192.168.100.1/32 action=accept
add dst-address=192.168.100.1/32:80 protocol=tcp action=accept
add dst-address=192.168.100.1/32 action=drop log=yes

192.168.100.1 是 Web Server

要达到的目的是，192.168.100.1可以任意出去，但是，从外网只能访问80


这样写可以实现外网只能访问80,但是，192.168.100.1自己确不能上网了


用 192.168.100.1 访问 213.xxx.162.13

日志显示如下：


forward->DROP, in:WAN, outMZ, prot TCP (SYN,ACK),
213.xxx.162.13:80->192.168.100.1:1718, len 48


请问像我这种需求，规则应该如何配。