切割Server和OA使用者網路

請教各位前輩
目前公司Server和OA使用者的網路
都隸屬於相同的同一個網段
考量到病毒的傳播
計畫將Server和OA切割成兩個vlan不同的網段

請問如果Server和OA所有的服務都不能互相通訊
那病毒如果發生在某一端的網路的話
就不會傳播到另一個網段的網路是嗎?

目前公司有AD、ERP、Mail等Server提供使用者相關服務
如果OA使用者網路要連線到Server端的網路使用上述服務
開通相關服務的連接埠後
病毒是否也會利用開通服務的連接埠入侵到Server端的網路?

還有AD的部分~需要開通那些連接埠?
才能讓使用者網路正常使用Server端網路的AD相關服務
謝謝