A
Своя AS это еще и дополнительная радость от общения с Роскомнадзором, что то мне подсказывает, что человек к этому совсем не готов.
Идею с горизонтально масштабируемым межсетевым экраном зафиксировал, спасибо. В моём случае большинство хостов находится под нашим управлением, так что endpoint security policy enforcement можно провернуть. Но из-за того, что конечные хосты из себя представляют сборную солянку виртуалок и железок разных вендоров, то не на каждой платформе можно развернуть локальный межсетевой экран.
Скорее всего придётся выбрать своего рода гибридный вариант, где одна часть хостов будет за центральным межсетевым экраном, а другая - фильтровать трафик локально
