Trennung von Servern aus Sicherheitsgründen

Hallo liebe Kollegen,

ich bin dabei eine Testumgebung bestehend aus einem DL360 Gen9 ausgestattet mit vier Netzwerkkarten und einer Hardware-Firewall mit ebenfalls vier Interfaces aufzubauen.

Der Server soll als Hyper-V-Host dienen um dort verschiedene Server virtuell zu betreiben. Nun stellt sich mir die Frage wie ich aus sicherheitsrelevanter Sicht die Server am besten trennen sollte. Einer der Server sollte als Web-, FTP- und Mailserver fungieren. Die restlichen Server stellen verschiedene Windows Dienste zur Verfügung. Der Webserver und die Windowsserver brauchen und sollten gegenseitig keine Möglichkeit haben gegenseitig auf die Netze zuzugreifen.

Mir schwebt vor den Webserver in eine DMZ zu hängen und für die Windowsserver mehrere VLANs zu erstellen um QOS nutzen zu können.

Bin ich auf dem Holzweg? Gibt es bessere/andere Vorschläge von Euch? Der Fokus sollte stehts auf Sicherheit gelegt sein.

Danke und herzliche Grüße