Я что-то очевидное упускал. Ты говорил об одной политике на сеть в зоне, чтобы разрешить неадминистративный трафик только к шлюзу этой сети, и блокировать весь другой трафик шлюзов (к другим IP-адресам шлюзов и к административным портам локального шлюза). А я говорил об одном правиле зоны, чтобы заблокировать административный трафик ко всем шлюзам и разрешить всё остальное. Не то же самое.Чтобы сделать то, о чем ты говорил, без Match Opposite, нужно заблокировать административные порты к шлюзовой зоне, разрешить сети к локальному шлюзу для каждой сети и заблокировать всё остальное. Или нужно явно перечислить все остальные IP-адреса шлюзов в своих политиках, что чревато ошибками, особенно если после создания политик добавляется новая сеть.Тем не менее, я никогда до конца не понимал, почему важно блокировать ВЕСЬ трафик на другие IP-адреса шлюзов и затем блокировать только административный трафик на IP-адрес локального шлюза. Должна быть какая-то причина, чтобы не блокировать весь трафик к административным портам на все адреса шлюзов.

Звучит отлично. Спасибо вам обоим за ваши комментарии.

По поводу правила разрешения: будет ли это похоже? Если поставить галочку напротив "Match opposite unchecked" — разрешится порт 443, а если галочку снять — разрешится всё, кроме порта 443. В моём конкретном случае это VLAN для VoIP, и мне нужно разрешить определённые порты из этого VLAN. А теперь, если подумать, у меня нет правил, которые бы что-то блокировали. Получается, эти правила разрешения вообще нужны?