问题：有一个第三方解决scheme，在我们的主子网上有一个ips机架上的供应商提供的服务器。 这些服务器会使内部的cve扫描失败，但是供应商不会/不能修改/调整所述服务器的设置。 需要隔离他们从我们的networking通过iso /客户审计，但仍然提供访问他们到我们的networking上的两个工作站，并允许从供应商的服务器到远程服务器（计量信息）的传出互联网stream量。
想想如何实现这个最受欢迎的假设，机架上的服务器ips不能改变，并且备用的，单独的wan连接已经到位。