а на магистрали/хостинге/etc - это другое. Как-то область действия претензии непонятна :).

У меня изнутри на выход вообще всё наглухо закрыто, так как офис, и кроме интернетов/почты ничего от внешности и не надо. Всё благополучно работает через прокси/кеширующий DNS/внутренний SMTP. Нужные дырки проковыриваются на фаере при необходимости.

Ибо достаточно поймать тривиальный вирус (а сделать это сравнительно легко как ни предохраняйся), и тут же жалоба в абуз на тему "вы нам сайты ломаете!"/"вы нам спам шлете!"/"вы наши пароли подбираете!".

Всё по учебнику - разреши всё, что нужно, запрети остальное.