Fonctionnement firewall en amont d'un réseau

Bonjour à tous,

Je comprend comment un firewall local fonctionne.
Citation: "Tout ce qui n'est pas explicitement autorisé est interdit (flux entrant et sortant)"

J'ai plus de mal à comprendre le fonctionnement d'un firewall global à un réseau !

Je m'explique:
Un utilisateur exécute un programme, qui tente d'aller sur Internet depuis son poste.
Malheureusement, il n'a pas été spécifié de règle sur cette connexion (ex: Word qui va chercher les cliparts).
Que se passe t-il ?

1 - L'utilisateur recoit une alerte lui demandant, s'il autorise ou non,
et il est à sa charge de répondre pour son poste ?
Si c'est le cas, ça n'est pas terrible niveau sécurité ...

2 - L'utilisateur recoit une alerte lui demandant, s'il autorise ou non,
mais il ne peut pas répondre lui même (droit d'administration)
et il faut l'intervention in situ de l'administrateur ?
Si c'est le cas, l'administrateur doit être là ...

3 - Si c'est moi administrateur, qui reçoit un message de type :
Tel poste utilise une application et cette dernière demande à se connecter à tel site.
Autoriser ce poste à ouvrir une connexion sur tel site ? Oui/Non
Auquel cas, si je ne suis pas là, l'utilisateur ne pourra pas se connecter.

4 - Rien ne se passe.
La règle n'ayant pas été écrite, le firewall bloque purement et simplement la requête.
Dans ce cas: l'utilisateur reçoit t-il un message pour l'avertir ?

Bref, ma question : Comment marche un firewall global ?

J'attend avec impatience vos conseils avisés.

lenainjaune