Пардон, но если в "финоргане в одной шараге" открыть доступ всем компам в сеть, ничего не нужно будет и взламывать, юзвери сами натаскают всякой гадости
Так что приличный FW и исключить возможность рутинга из внутренней сети в и-нет - самое то в данном случае, IMHO