Un seul firewall suffit. Dans une architecture classique, seul le poste supportant la connexion internet doit être muni d'un firewall. Tous les autres postes du lan vont utiliser le PC "internet" pour sortir, comme passerelle. Le firewall gère le traffic dans les 2 sens : tout ce qui entre mais également tout ce qui sort (donc également le traffic venant des autres postes). Il suffit juste que les règles du firewall soient bien configurées : si un spyware s'installe sur un des postes en réseau, ses accès seront bloqués par le firewall.