Moin!
WebGUI muss man eigentlich kaum dran (nach Ersteinrichtung), wenn legt man vllt noch ein paar VLANs auf bestimmte Ports (un-/tagged), aber das war es im groben ja schon (ab und zu mal ein Firmware-Update vllt noch). Wenn man erstmal durch hat wie das funktioniert (und auch das speichern danach nicht vergisst, damit es einen Reboot überlebt), geht sowas eigentlich relativ zügig von der Hand.
Was das "verständliche" angeht, bin ich ganz bei Dir. Bringt nix, wenn man das ganze Konstrukt selbst nicht mehr durchblickt. Es wäre aber ggf. sinnvoll, wenn Du mindestens 3 Netze baust: Für Dich, die DMZ und ein eigenes Netz für Deinen Sohn, damit er da auch machen kann, was er will. Freigaben für die DMZ (oder ggf. sogar noch eine DMZ für Deinen Sohn) nur auf Anfragen bei Papa (damit Du das noch unter Kontrolle hast)
Es ist übrigens empfehlenswert (und da hatte ich nun schon ein paar Privatpersonen durch), eine vernünftige Doku anzulegen.
@rednag z.B. kann da durchaus schon das ein oder andere Liedchen von singen ? Mit dem ganzen neumodischen Spielkram kann die Umgebung halt ziemlich schnell ziemlich wachsen. Ist mir bei Deiner Skizze auch direkt aufgefallen mit dem IoT-Kram (der eigentlich nicht unbedingt in eine DMZ gehört, sondern eher noch in ein extra VLAN (da es ein besonders schützenswerter Bereich ist meiner Meinung nach).
Am besten für die meisten (u.a. auch für mich) ist es da, sich schlichtweg mal Netzpläne (physikalisch + logisch) zu machen, die Portbelegungen (Panel <-> Switch) aufzuschreiben, Netze samt statischen IPs zu notieren, usw. Da entsteht dann schon mal eine kleine "Sammlung", ist zwar etwas Aufwand, hilft aber im Verlauf den Überblick nicht zu verlieren. Pflichtbewusstes dokumentieren jeder Änderungen gehört dann halt eben auch dazu, aber das ist eben so. Alternativ kann man sich auch jedes mal einen Wolf suchen ?
Was den DHCP-Server angeht, so könnte man die Lease-Time auch drastisch reduzieren... führt zwar zu vermehrter DHCP-Kommunikation, aber eine Lease-Time von z.B. 4 oder 8 Stunden dürfte da auch kein Problem darstellen (die Clients fragen dann nach ca. 2/3 der Zeit nach, ob das noch alles so passt). Falls das bei der Fritzbox nicht geht, kannst Du das auch einfach über die pfSense abwickeln.
Ich habe privat irgendwas zwischen 9-12 VLANs laufen (für genauere Info müsste ich auch in die Doku schauen), die Regeln wurden halt einmalig erstellt und seitdem auch nie wieder angefasst. Einmal vernünftig durchdacht, muss man sowas normalerweise auch nicht mehr anfassen, ausser natürlich, es ändert sich irgendwas (LAN des Sohnes darf dann doch auf die IoT-Steuerung zugreifen, oder so z.B.). Ein vernünftiges Regelset hat aber normalerweise schon ziemlich lange Bestand, so dass das halt eigentlich nur einmal vernünftig durchdacht wird und sich dann im späteren Verlauf nur wenig ändert (wenn überhaupt).
Verhält sich im Grunde genommen wie "alles in Kisten packen"... Da wird sich vorher auch überlegt, was in welche Kisten kommt und wer wie auf was Zugriff bekommt (einmalige grundlegende Tätigkeit). Dann wird es entsprechend umgesetzt und danach kommt ggf. noch ein wenig Feintuning. Muss aber halt alles stimmig sein (und ganz wichtig: auch im späteren Verlauf entsprechend nachvollziehbar sein).
NAT auf der pfSense würde ich mir auch völlig knicken, das ist unnötig, da die FB zum Glück statische Routen kann. Habe hier 2 Uplinks und einer der Gummel-ISP-Router kann leider keine statischen Routen (dafür ist das Internet kostenlos gewesen! ?) und da habe ich dann dummerweise Doppel-NAT, ist aber glücklicherweise nur die Fallback-Strippe (10/1 MBit), von daher kann ich da "zur Not" auch noch mit Leben. Durch das nicht vorhandene Doppel-NAT kann man dann auch sämtliche Netze auf die real vorhandenen Netze setzen und muss dann nicht mit irgendwelchen IPs rumhampeln, hinter denen dann wieder sonstwas stecken könnte. So lassen sich mitunter auch Übeltäter im Netz leichter/direkter aufspüren
Das mit dem Drucker würde ich wie gesagt, einfach mal direkt via IP versuchen und auch ruhig mal mit verschiedenen
Protokollen versuchen (je nachdem, was der Drucker halt so her gibt).
