请教ASA防火墙处理流程如何，是先路由，还是先NAT

如题，请教一下ASA防火墙的处理流程，数据包经过接口后是先路由还是先进行NAT。
另外一个问题请教一下，网络架构大致如下：
总部主机10.24.4.16------------------->内部映射地址20.2.1.22 防火墙  外部映射地址60.2.1.2--------------------------->外部服务器10.8.18.5
6 o$ ?( D2 P- \- O2 V7 \总部主机10.24.4.16需要访问10.8.18.5的1414端口，内部将10.8.18.5映射成20.2.1.22，外部将10.24.4.16映射成60.2.1.2，总部服务器去访问的时候目的地址是20.2.1.22这个IP，外部服务器去访问的时候目的地址是60.2.1.2这个IP，具体的配置如下，请各位帮忙看下是否正确。
object network zb_10.24.4.16
  host 10.24.4.16
object network zb_nat_60.2.1.2
& h9 c- J* y9 {/ P: Q, _; I! ^  host 60.2.1.2
object network wl_nat_20.2.1.22
3 F! l" f/ E8 R( M  host 20.2.1.22
. b9 N4 s4 \7 u( j, m! `object network wl_10.8.18.5
  host 10.8.18.5
7 p; g& G  A9 Q  W  ~1 Saccess-list oa-in permit tcp host  zb_10.24.4.16 host wl_10.8.18.5 eq 1414 log  （这个acl中目的地址是写实际地址还是写映射后的地址？也就是是否为access-list oa-in permit tcp host  zb_10.24.4.16 host wl_nat_20.2.1.22 eq 1414 log）如果是第一种方式的话数据包进入防火墙后是先去找路由了还是先去做nat了？
nat (inside,outside) source static zb_10.24.4.16 zb_nat_60.2.1.2 destination static wl_nat_20.2.1.22  wl_10.8.18.5

你知道么? 通过论坛客服报名CCNA,CCNP,CCIE 最高可省2000元培训费. 联系QQ 80766391;

经我实际环境测试双向映射的acl是按照这个写法才是正确的access-list oa-in permit tcp host  zb_10.24.4.16 host wl_10.8.18.5 eq 1414 log，但是就是有点搞不清楚数据包进入防火墙后的执行顺序，从ASDM数据包追踪中看到的是先NAT了

acl的执行顺序跟它是在入接口还是出接口有关

楼主真给力，看过资料后受益匪浅，，真心给赞