Cloisonnement réseau/interfaces

le client m'avait demandé de :
mettre en place une architecture cloisonnée avec un découpage en zone logique ( • une zone regroupant les serveurs qui hébergent des services ayant vocation à communiquer avec l’extérieur (Ex : Internet) ;
• une zone privée regroupant les serveurs n’ayant pas vocation à communiquer avec l’extérieur;
• un réseau dédié à l’administration des serveurs et des équipements à partir de postes de travail.
)
et appliquer un filtrage , pour se protéger des attaques classiques sur IP et les protocoles associés notamment :
• attaque en déni de service (TCP SYN Flood, Ping Flooding, SMURF, Ping of Death, large packet attacks.);
• attaque des services par spoofing (ex : IP spoofing, Arp spoofing, etc…) ;
• attaque sur IP options (source routing, etc.) ;

est il suffisant de séparer les zones par VLANs et appliquer des règles de filtrage par ACLs ? ou bien on doit mettre en place un Firewall ? ou il ya d'autres solution ?