А если в этой новой сети у платы будет точно такой же ipшник, что и в Firewall? Сам предложил решение, сам его отверг.Опять предложу - в Firewall должно прописано имя интерфейса, тогда точно даже при совпадении ip-шника в новой сети с основным трафик не пойдёт через новую сеть, даже если попытается.
В Винде нет привязки правил брандмауэра к сетевому интерфейсу . Но можно все новые сети считать "общественными", а для них запретить любые входящие и исходящие исключения(отключить все активные правила), а в правилах по умолчанию для всех пакетов выставить, что всех исходящие и входящие соединения по умолчанию запрещены.В дополнительных параметра брандмауэра это  можно сделать. Ну или  через netsh.