XP-Firewall bei SBS mit nur einer Netzwerkkarte

Wenn ein SBS-Server, wie von Mircrosoft vorgeschlagen, als Gateway zwischen dem "inneren"
IP-Netz und dem Router hängt, er also 2 aktive Netzwerkkarten (NICs) hat, dann werden die
Firewalleinstellungen des SBS dabei über den "inneren" NIC an die XP-Clients der Domäne
"durchgereicht". Daher ist der Zugriff auf die Firewalls der XP-Clients abgeschaltet, man
kann also die XP-Firewall eines Clients nicht ändern und auch nicht ganz abschalten. Die
passenden "Knöpfe" sind grau und daher nicht nutzbar.
Leider ist die XP-Firewall auch nicht konfigurierbar während einer Sitzung, bei der der
Client gar nicht an der Domäne, sondern nur lokal angemeldet ist.

Frage 1: weiß das jemand definitiv?: werden die SBS-Firewalleinstellungen wirklich dauerhaft auf den XP-Client übertragen und gelten somit dort dann auch, wenn dieser nicht an der Domäne angemeldet ist?
Oder ist die Client XP-Firewall dann mit ihren eigenen Defaults unveränderbar immer aktiv?


Jetzt habe ich aber festgestellt, daß die Konfiguration der XP-Firewall an einem SBS-Client
ebenfalls gesperrt ist, wenn der SBS-Sever nur einen NIC hat.
Dass ein SBS-Server mit nur einem NIC nicht als Gateway, sondern netzwerktechnisch sozusagen gleichberechtigt mit allen Clients betrieben wird, kommt gar nicht so selten vor und wird von Microsoft auch offiziell als mögliches Einsatz-Szenario für einen SBS-Server beschrieben.

Frage 2: Welche Firewalleinstellungen haben denn nun die XP-Clients im Netz? Ich kann ja
wieder nicht nachschauen, da der Firewallzugriff wegen Betrieb im Rahmen einer Domäne wieder disabled ist. Leider ist der Zugriff auch wieder verwehrt, wenn ich mich nicht an der Domäne sondern lokal anmelde.

Frage 3: Wo/wie kann ich denn nun bei einem SBS mit nur einem NIC die Firewalleinstellungen
der XP-Clients vornehmen? Zentral vom SBS aus gehts bei nur einem NIC ja nicht mehr, da im SBS dann der Dienst "Windows Firewall" deaktiviert ist, d.h. man kann am SBS keine Firewalleinstellungen konfigurieren.