Когда я переходил на правила на основе зон, все мои правила умножились на 4. Например, "allow established and related" было в каждой зоне. Теперь я начал заново, и вот думаю, нужно ли устанавливать "allow established and related" в каждой зоне? Еще, когда использую VPN (WG), нужно ли устанавливать "allow established and related" от источника "VPN" к целевой зоне "Internal", если некоторые устройства должны быть доступны? И VPN к VPN? Тот же вопрос для Hotspot – они не должны общаться с моей внутренней сетью, но нужно ли им "allow established and related" от Hotspot к Hotspot? Мои правила для VPN пока выглядят так: 
Получилось лучше? Всё ещё не уверен насчёт: "так что единственная функция "Все приватные адреса/RFC1918" нужна только в парах {Источник}-Внешняя зона". Я также создал "отбрасывание недействительного состояния" из внутренней в внешнюю, но обнаружил, что там уже есть стандартное правило, но никогда не видел логов блокировки недействительного состояния. Когда я создал пользовательское правило отбрасывания, стали показываться логи блокировки трафика. Но может быть, стандартное правило такое же, как и моё созданное?