請問一下ZoneAlarm Pro的防火牆設定範圍【求助】

請問一下ZoneAlarm Pro的防火牆設定範圍
我是第一次用防火牆所以對設定還很陌生
以下是我們公司的網路架構
中華電信固8IP
數據機==WIN2KSERVER NAT分享連線給其它員工電腦用==員工電腦IP範圍192.168.0.x
NAT底下也有幾台WIN2KSERVER有用到實體IP對應到內部IP
NAT上設了
實體IP.2 對應192.168.0.2 WIN2KWEBSERVER
實體IP.3 對應192.168.0.3 WIN2KPDCSERVER
實體IP.4 對應192.168.0.4 WIN2KFILESERVER
現在我的防火牆問題來了，就是如果ZoneAlarm Pro是架在NAT上
底下員工的電腦全部都會防護到外來的攻擊嗎？
底下員工的電腦(如果我禁止了某些埠號外送)他們是不是就無法使用該埠號的網路功能？
NAT底下的另外三台WIN2KSERVER尤於用到NAT實體IP直接對應內部IP，那他們也會防護到外來的攻擊嗎？
順便加問一個問題，就是它的E-mail防護功能
是指只能防護NAT本機，還是底下員工的電腦都會被保護到？