seguridad en el diseño de ISA

hola foro, alomejor esta exposición no debería estar aquí
pero entiendo que es de seguridad y que algo de ayuda me
podreis ofrecer... (he probado en el foro de ISA y no me
han hecho mucho caso)
Os cuento: queríamos implementar ISA en la empresa y
necesitaba todo tipo de consejos para el diseño.
¿que es mas seguro poner un ISA con 3 tarjetas (internet,
DMZ, Lan interna) o 2 ISAS (uno a internet-DMZ y otro a
DMZ-Lan)
Si quiero poner mi Exchange con OWA para que se vea desde
internet, debería ponerlo en la DMZ publicándolo, ¿Cual es
la mejor manera de tener servidores en la DMZ para acceso
externo e interno (si quisiera compartir alguna carpeta,
para que sigan teniendo correo..)¿y que sea de la manera
mas segura posible? ¿Los clientes deben ser clientes
firewall o pueden ser proxy web para no tener que ir
instalando el cliente a todos? (En este escenario se
entiende)
Gracias
.