基于Cisco提出的网络设计模型，防火墙是针对进出互联网的流量，没有专门的防火墙来进/出内部网的流量。分布交换机上的防火墙是否足够强大，例如 Cisco 催化剂 3560 交换机？

基于下图。假设3560的交换机内防火墙是不够的。假设没有 VLAN，并且有 2 个部门，财务和营销部门，它们在同一分布交换机上由接入交换机隔开。这两个部门都在用户计算机和服务器中包含敏感信息。但是，两个部门的用户必须相互通信。

允许不同部门的用户相互交流，打开了攻击机会。例如，财务部门的用户可以通过聊天程序（例如Skype）相互通信，向营销部门的用户发送恶意程序，反之亦然。

如果要检查这两个部门之间的流量，应该将专用防火墙放置在哪里？

更新 1：添加图片和详细信息。