[El Scorpio]

Но хочется ограничить количество брандмауэров, а так есть аппаратный, на все ПК. Но для полной безопасности приходится ставить ещё на каждый ПК софтовый. »

Объясняю.
Любой маршрутизатор на шлюзе (хоть аппаратный, хоть программный) изначально способен задерживать только нежелательные входящие соединения. Исходящие соединения же он способен отлавливать только по заранее определённым адресам или портам получателя.
А если хочется ограничить доступ на уровне определённого списка программ, то тут поможет только локальный файрволл, который имеет доступ к списку запущенных процессов. Но такое нужно крайне редко