No es absolutamente necesario un FW, pero lo más común es poner el EXP-E en una DMZ para asegurar la red, lo puedes dejar abierto, lo cual por obvias razones no es recomendado.
No sé que versiones tengas ni el status de tu contrato de soporte con Cisco, pero sí, es necesaria una licencia para los expressways que puede que ya venga incluida. Revisa el tema con tu SE y con la PO o tu contrato de soporte.
La documentación de los expressways indica todos los requerimientos, está en cisco.com, también encuentras referencias en UC virtualization, hay un documento completo dedicado a la configuración de MRA y uno dedicado a los certificados de expressways. Todo lo encuentras en cisco.com. Debes saber perfectamente los dominios a usar, y los certificados que vas a pedir el CN/SAN a usar.
Si no has configurado MRA anteriormente, te recomiendo que contactes a un consultor que ya lo haya hecho, o a un Partner de Cisco CON especializaciones de voz para que te ayuden.
HTH
java
if this helps, please rate
