Где лучше размещать МЭ (NGFW)?

1. Самым первым, перед пограничным маршрутизатором, DMZ и т.д. Пусть фильтрует все!

2. Вторым после пограничного маршрутизатора, перед DMZ, WEB и прочим.  Маршрутизацией пусть занимается роутер, а МЭ фильтрацией.

3. После пограничного маршрутизатора, DMZ, VPN, WEB, почты. До серверов, баз данных, административного сегмента, пользователей. Нужно разграничить размытый доступный из вне периметр и создать подконтрольный внутренний периметр!

4. Свой вариант...