Как настроить брандмауэр Windows для защиты внешнего интерфейса, но не внутреннего?

Windows Server 2008 R2 с пакетом обновления 1 (SP1) под управлением пограничной роли Lync Server 2010.

Один внутренний сетевой интерфейс, подключенный к локальной сети компании, настроенный с частным IP-адресом, маской подсети, внутренними DNS-серверами и без шлюза по умолчанию.

Один внешний интерфейс, подключенный к Интернету, настроенный с тремя общедоступными IP-адресами, маской подсети, без DNS-серверов и шлюзом по умолчанию.

Никаких других брандмауэров между сервером и всем остальным, поэтому мне нужно защитить его с помощью брандмауэра Windows.

Что я хочу:

• Нет защиты на внутреннем интерфейсе, сервер должен иметь возможность свободно связываться с внутренней сетью.
• Полная защита внешнего интерфейса, должны быть открыты только минимальные порты и протоколы, необходимые для Lync.

Как мне настроить для этого брандмауэр Windows?

Сервер настроен на обработку внешней сети как "общедоступной", но внутренняя автоматически классифицируется как "неизвестная", потому что этот интерфейс не имеет шлюза по умолчанию (и не должен иметь его, маршрутизация должна выполняться только на внешний интерфейс); поэтому он тоже считается "общедоступным", и это нельзя изменить.

Брандмауэр Windows в настоящее время отключен для всех сетевых профилей; он показывает, что сервер подключен только к «публичным» сетям, а не к «частным» или «доменным».

Обновить:

С помощью Крис СПредложение, я смог настроить внутреннюю сеть как «частную», а внешнюю сеть как «общедоступную»; затем я включил брандмауэр Windows, настроил частный профиль, чтобы разрешить весь трафик, и оставил общедоступный по умолчанию (блокировать все, кроме исключений).

Но я все еще могу подключать RDP / SMB / RPC к этому серверу с его общедоступного IP-адреса ... что здесь не так?