Bonjour à tous, j'ai mis en place un routeur CCR2116 avec un ONU configuré pour orange suivant le tuto de Gnubyte je souhaite à présent mettre en place des regle strict de firewall de tels sorte a bloquer tout le traffic entrant et sortant inutile. Je vous expose donc ma topo reseau et mes besoins :

bridge : br-wan
mon switch est connecté a l'interface sfp4-lan
mon réseau lan : 192.168.1.0/24
DNS de mon DHCP (mon routeur) lui-meme en sur les dns cloudflare

Mes appareils :

192.168.1.3-192.168.1.4 borne wifi unifi avec controller docker sur mon synology
192.168.1.10-192.168.1.14 iPhone, iPad, iWatch (iMessage, FaceTime,VOiP Wi-Fi Orange, Push APNS, Mail icloud, gmail, outlook imap, icloud ...)
192.168.1.50 Synology NAS accessible uniquement depuis l'exterieur via http, https, serveur Plex ...
192.168.1.60 Imprimante HP utilisant les service HP Conneted Instant Ink
192.168.1.70 PC Windows 11 avec utilisation de RustDesk
192.168.1.80 Telephone VOiP utilisant les services Keyyo
192.168.1.111-192.168.1.113 Apple TV avec MolotovTV, Netflix, PrimeVideo, Plex 

Mes besoins :
Autorisé tout le traffic classique pour web mail NTP etc depuis tout mes appareils (entrant -sortant
Autorisé le traffic necessaire pour les idevice
Autoriser le traffic vers mon synology
Etablir des liste dynamique d'iP pour autorisé uniquement les adresse des services (molotov etc... )pour les apple tv services keyyo
Bloquer tout le traffic entrant sortant


Merci pour votre aides, vos idées etc ... je mets ci-dessous mes première ébauche de firewall

# Règle pour le traffic general (DNS, web, mail, etc...)
# Autorisé les iP Apple & les port necessaire pour les idevices
# VOiP Keyyo 192.168.1.80
# Autoriser le traffic Molotov, Netflix, PrimeVideo vers mes AppleTV à partir d'adress list de chaque service et port
# Regle de securité general ( synFlood, phishing, malware, SSH, etc...)
# Bloquer toutes les connexions entrantes et sortantes par défaut
/ip firewall filter
add action=drop chain=input comment="Bloquer toutes les connexions entrantes" \
    in-interface=br-wan
add action=drop chain=forward comment="Bloquer toutes les connexions entrantes et sortantes" \
    out-interface=br-wan