Serve un router / firewall, consenti i pacchetti in uscita dal webserver verso il router e i pacchetti in ingresso solo dall'ip del router e chiaramente sulle porte di cui necessiti, se è un webserver le standard 80 e 443. Poi fai nat dal router all'ip del firewall e sei a posto.