In einer Firewall ist grundsätzlich alles verboten, was nicht erlaubt ist. Ohne das Produkt näher zu kennen, gehe ich davon aus, dass, wenn möglich, eine Regel erstellt werden muss, die die Kommunikation erlaubt, so wie es auch bei z.B. OPNsense ist.
Du solltest dich fragen, warum VLANs und können auch deine weiteren Switche und APs VLANs unterstützen? Ich hatte es per OPNsense, Ubiquiti APs und Zyxel XGS1930-28 aufgebaut. Lief ganz annehmlich, jedoch musste ich zahlreiche Stunden im Keller verbringen, um zu lernen. Dann bekam ich meinen Gigabit-Anschluss und musste feststellen, dass meine Hardware der OPNsense nur ca. 450MBit/s von außen Routen könnte. Dann habe ich kurz überlegt, wie viel Zeit da schon reingeflossen ist und welchen Nutzen ich habe, wenn ich den Verkehr zwischen den VLANs eh zulasse.
Pro war (ob es bei Mikrotik ebenfalls so ist, weiß ich nicht), dass ich den Datenverkehr auf bestimmte Ports auf bestimmte externe IPs begrenzen konnte (war für meine PBX sinnvoll, da diese trotz Portweiterleitung für Angriffe nicht erreichbar war) und eben halt weitere Filterregeln. Für Kleinigkeiten musste ich teils lange suchen, um mich einzulesen.
Ich habe mir mit dem neuen Internetanschluss also nach Jahren des Bastelns wieder eine FritzBox gekauft, da die inzwischen die Telefonie über WLAN ganz gut beherrschen, womit das Ganze vor ein paar Jahren anfing, da dieses aufgrund der Rechenleistung der früheren Boxen nicht zufriedenstellend war.
Zuerst habe ich alles in ein /24 Netz gepackt, aber ich wollte es, so wie mir den VLANs, besser aufgeteilt haben. Google sagte mir, dass die FritzBoxen mit großen Netzwerkbereichen Probleme haben können. Ich habe mich für ein /18 Netz entschieden und es läuft wunderbar, auch der Zugriff von außen per WireGuard mit der Laborversion für die FritzBox. Ich habe so für jeden Raum 254 IPs (über Sinn oder Unsinn lässt sich streiten, ich mag Ordnung und so hat das Hauptraumlicht immer die IP 10.153.xx.100).
Ich habe lediglich Port 4 der FritzBox zum Gastnetz degradiert und dieses per VLAN über den Switch entsprechend an die APs weitergereicht, damit Gäste keinen Zugriff auf mein eigentliches Netzwerk haben.
Das war sehr einfach und schnell einzurichten und schnell einzurichten.
Bisher einziger Haken: Shelly Pilot unterstützt lediglich die Suche in einem /24 Netz und man muss somit alle Bereiche einzeln durchsuchen.
Vielleicht hast du die VLANs aber auch aus einem ganz anderen Grund eingerichtet und du fragst dich, was ich von dir will
Dann bitte mehr Details.