Ajoutez un deuxième pare-feu à une connexion ISP avec plusieurs sous-réseaux?

Ma connaissance de routage est légèrement obsolète. J'ai une connexion Internet à fibre optique, comme ceci:

L'interrupteur géré est interrompu VLANS Pour un service réseau transparent, qui transmet également via le serveur fournisseur. Je pense que ce n'est principalement pas lié à ce problème, alors je l'ai exclu des diagrammes.

J'ai deux sous-réseaux / 29 (Sur l'exemple d'adresses de
https://tools.ietf.org/html/rfc5735
):

192.0.2.144/29 (.144-151) - principale. Notre porte d'entrée - 192.0.2.145, et l'adresse principale du pare-feu - 192.0.2.146.

203.0.113.88/29 (.88-.95) - Le deuxième sous-réseau qui n'a pas de passerelle et de routs par le fournisseur au premier (Je pense que c'est la partie où j'ai confondu).

Le pare-feu a toutes les adresses IP des deux sous-réseaux ajoutés à son interface. WAN, et effectue NAT Pour divers serveurs.

Maintenant, je veux ajouter un réseau séparé avec votre propre pare-feu en dehors de notre pare-feu et elle a besoin de sa propre adresse IP disponible publiquement, par exemple:

Je n'utilise toujours pas 203.0.113.94, Par conséquent, j'allais le supprimer des adresses supplémentaires sur le pare-feu existant et la transférer à un nouveau pare-feu. ... Mais cela ne fonctionnera pas, non? Il n'y a pas de passerelle dans son sous-réseau.

Ou je pourrais réorganiser les choses et lui donner une des adresses 192.0.2.144/29. Cela fonctionnera-t-il correctement et permettra aux deux réseaux de travailler normalement? Y a-t-il une meilleure façon de le faire?

Je pourrais joindre un nouveau pare-feu à l'existant s'il pouvait toujours avoir une vraie adresse IP publique et non NAT, Mais je ne sais pas s'il y a un moyen de le faire avec un pare-feu Watchguard. Il est probablement nécessaire de diviser davantage le sous-réseau et j'ai déjà presque terminé les adresses IP.

Le nouveau réseau devrait être notre laboratoire de test. (Pour que je puisse enfin arrêter de tester dans l'environnement de production!). Je ne veux pas que deux réseaux se parlent jamais, car ils auront un seul et même sous-réseau intérieur et des clones de machines de production. J'ai besoin d'un nouveau pare-feu pour avoir une adresse IP publique sans NAT.