Здорово, что вы внедряете "egress filtering". Это гораздо более надёжная позиция безопасности, но, как вы уже понимаете... это сопряжено со значительной административной нагрузкой.

TLDR; Вам придётся изучать каждое исключение, и иногда это будет легко, а иногда – доставлять неприятности или быть нестабильным.

Основная сложность в том, что правила брандмауэра в конечном итоге фильтруют по IP-адресам и номерам портов, а не по DNS-именам. Да, иногда брандмауэры помогают сопоставить DNS обратно к IP, но это как повезёт.

Например, Teamviewer использует TCP/UDP порт 5938. Отлично, просто разрешаем исходящий TCP/UDP 5938! Но это также позволяет исходящий трафик к badguys.r.us:5938, если вы не укажете IP-ограничения.

Документация Teamviewer рекомендует разрешить *.teamviewer.com, что "приятно", но непрактично. Видите ли, DNS работает с точными запросами, нет функции "списка". Если вы не знаете точное DNS-имя, вы не можете выполнить поиск "всех IP, у которых DNS-имена заканчиваются на .teamviewer.com" 🤷

Хуже, чем "умный" DNS, который даёт разные ответы разным клиентам. Многие брандмауэры позволяют указать, скажем, foo.teamviewer.com, он выполнит поиск и создаст правила брандмауэра на основе полученных IP-адресов. Но разные клиенты, запрашивающие foo.teamviewer.com, могут получать разные IP-адреса, которые не соответствуют правилу. В вашем случае они иногда блокируются.

Журналы брандмауэра и перехват пакетов будут вашими лучшими друзьями! Я потратил выходные, настраивая правила egress для своего CloudKey+, после поста "Почему мой CloudKey обращается к этим иностранным IP-адресам?". Я использую pfSense, поэтому детали отличаются. Unifi добилась некоторого прогресса в инструментах, которые могут помочь. Но вам придётся разобраться с ними.

Они утверждают, что могут перехватывать пакеты. Вам нужно уметь видеть подключения, которые устанавливает устройство, чтобы понять, какие исключения вам нужны.

Вы можете создавать правила "разрешить" и "блокировать" и отмечать кнопку "журнал", чтобы узнать, что блокируется. Но непонятно, где просматривать этот "журнал".

К тому же, только потому, что у вас работает базовая Teamviewer, какая-то незначительная функция всё ещё может не работать, потому что она использует другой IP-адрес или порт. Например, я добился базовой работы egress для CloudKey+, но обновления прошивки не работали. Мне пришлось добавлять новые исключения для их контроллера проверки и загрузчика прошивки. 🤷