Есть каркас кода на ansible.
Он управляет файрволом, работающим на iptables
Используется подстановка конфига, собранного шаблонизатором из параметров, описанных в host_vars.

Используется несколько внутренних подсетей, и несколько внешних
Сейчас работает SNAT, DNAT и некоторые правила accept для их работы.

1) надо сделать так, чтоб дефолтным правилом стал drop вместо accept
2) надо сделать так, чтоб шаблонизатор создавал правила, разрешающие трафик между подсетями для определенных протоколов
3) надо сделать так, чтоб внутренние подсети ходили наружу только по разрешенным протоколам
4) надо сделать так, чтоб для DNAT автоматически создавались правила, разрешающие движение трафика

Стоимость обсуждается.
Тестовую зону готов предоставить.