Netscreen ns5xp - Mailserver-Konfiguration trust-untrust-global

Netscreen ns5xp

Folgendes Problem bzw. Aufgabenstellung:

Neuer Provider - neue fixe IP's usw... Internet funktioniert soweit. Interner Mailserver mit neuer IP
Kenne mich nur bei den Zonen in den Policies nicht so recht aus -> trust / untrust / global
trust wird wahrscheinlich LAN sein - untrust das Internet - global ??

unter "trust to untrust" habe ich sämtliche richtlinien eingestellt für den internet-traffic (ping ist freigeschaltet, https, ftp und diverse ports sind für unsere user freigeschaltet)
nur wo stelle ich nun ein, das die die ip sagen wir mal hausnummer 100.100.100.1 auf unseren mailserver 192.168.16.1 deuten soll?

ist das nun 'ne untrust to trust zone? wenn ja: gehört jetzt bei untrust ANY (also 0.0.0.0) eingestellt und bei trust die externe ip unseres mailservers, oder die interne oder oder oder?

bitte um hilfe!