Probleme mit Rules und VLan auf LAGG

[WeissNicht]

Hey Leute,

ich denke ich habe irgendwo ein Verständnis-Problem.

Folgender Aufbau:
OPNSense mit einem LAGG (2NIC) an einem Zyxel 24-Port-Switch (GS1900-24).
Auf dem LAGG sind mehrere VLan.
Zusätzlich hat die OPNSense noch einen NIC für Internet (Name "Internet"), ohne VLAn.

Ich habe zu Hause ein paar IOT-Geräte, bei denen ich nicht möchte, dass diese in meinem Netzwerk irgendwelchen Unsinn anstellen...sie sollen den Rest des Netzwerks gar nicht erst sehen. Daher habe ich diese Geräte im VLan99

Habe ich auf VLan99 nun eine Rule "Allow to Any" läuft alles, wie es soll. Baue ich nun eine Rule zusammen:
Allow Source VLan99 to "Internet Network" und nehme die "Allow to Any" raus, hat das IOT-Netzwerk keine Verbindung mehr nach draussen. Im Log sehe ich dann, dass immer die Default-Deny-Rule zum Tragen kommt.
Die "Allow to Internet" wird nicht ausgewertet....

VLan99 soll ausschliesslich mit der Internet-Schnittstelle komunizieren dürfen.

Wo habe ich meinen Denkfehler?
Da es mit der Allow-to-Any Rule funktioniert, vermute ich den Fehler in der Rule, für Kommunikation nur nach aussen.

[micneu]

ich habe es so das mein gäste lan/wlan nicht auf mein restliches netzwerk soll/darf aber ins internet.
hier mal meine regel:

[banym]

Hallo,

ich baue mir meist einen RFC1918 Alias und eine Block Regel dafür.
Danach baue ich dann eine Allow to ANY Regel.

Somit läuft alles was gegen RFC1918 Regeln kommunizieren möchte gegen die Blockregel und von internem Netz zu allen verbleibenden offiziellen Bereichen (Internet) darf der Traffic fließen.

VG,

[WeissNicht]

Ich konnte es zwar nun lösen, aber meine Lösung gefällt mir nicht wirklich.

Ich habe insgesamt 8  verschiedene VLan und das Gäste-VLan soll ausschliesslich auf die Internetschnittstelle zugreifen. Jetzt habe ich es derart gelöst, dass ich für jedes VLan eine Deny-Rule kreiert habe. Das GästeVLan darf zusätzlich noch auf Port 53 (DNS) des GästeVLan zugreifen. Als letzte Regel, falls nicht vorher eine Block-Rule aktiviert wird, kommt dann eine Allow to Any.
Damit läuft es nun und die anderen VLans sind vor Zugriff geschützt.
Nur darf ich für die anderen 7 VLan ebenfalls so verfahren, dass ich explizit blocken muss.

Ich hätte angenommen, mit einer Allow-Rule auszukommen; dies wäre a) Performanter und b) schneller umsetzbar.

Edit: Ein Deny auf einen 192.168.0.1/16 Alias klingt auch nach einer schönen Lösung. Das werde ich mal probieren. Danke banym