CAL が不要になるのはインターネットのみを通じて Windows Server サーバーのインスタンスにアクセスし、かつアクセスの際に認証を受けず、またサーバー ソフトウェアにより個々に識別されない場合です。
質問の内容であれば、「専用の閉じられたネットワーク(インターネット接続なし)上」なのですべての接続について CAL が必要と思われます。デバイス CALが良い部分(2.、3.)とユーザーCALが良い部分(1.)があるので、その組み合わせになるかと思います。
正確なところは Microsoft のライセンス窓口に問い合わせてください。
Hebikuzure aka Murachi Akira