OPNsense Outbound NAT bzw Firewall Frage

Hi zusammen,
ich habe eine Frage bzgl. Outbound NAT bzw. bzgl. einer Firewallkonfiguration, in dem Fall einer OPNsense.

Undzwar habe ich in einer VM eine OPNsense Firewall installiert, welche WAN-seitig (192.168.10.0/24) als Netzwerkbrücke und LAN-seitig (192.168.25.0/24) mit einem privaten Netzwerk konfiguriert ist (also ein vSwitch, der nur für den Hypervisor sichtbar ist). Das LAN ist normal rauszugs genatted.
Innerhalb des LANs habe ich eine Windows VM, in der ich über den LAN-Port per DHCP eine IP bekomme. Die OPNsense ist nicht speziell konfigurioert, Es funktioniert alles wie gewünscht (surfen).

Lange Rede, vermutlich kurzer Sinn. Wenn ich in der Windows VM ein "tracert google.de" eingebe, sehe ich den Routenverlauf - unter anderem eben auch das Gateway (.10.254) meiner Netzwerkbrücke (also mein "eigenes" Netzwerk). Ich habe dann mit einem Netzwerkscanner dieses Subnetz durchsucht und sehe alle meine internen Maschinen, kann mir als potentieller User also ein Bild des internen Netzwerkes machen. Ich kann sogar normal per HTTP auf eine Switch-GUI zugreifen.

Meine Frage: Ist das ein gewolltest Verhalten von NAT? Kann ich das kluger Admin unterbinden?

Wenn die OPNsense unkonfiguriert bleibt, gibt es eine "Default allow LAN to any rule", die vom LAN net zu * alles erlaubt. Ich vermute, dass diese Regel den Zugriff auf das WAN net zulässt, korekt?
Wie kann ich bei einer OPNsense das "Internet" als Zone angeben? Sodass das private 10.0er Netz nicht erreichbar ist, sondern nur das 10.254er Gateway? Oder gibt es eine andere Lösung? Recherchen sagen, dass man das "interne" Netz dann per Invert-config definieren solle.
Die einzige andere, die mir noch einfällt, ist generell halt mit 2 Netzwerken arbeiten, sodass zwischen den Netzwerken ordentlich getrennt werden kann.

Ich denke in meinem Beispiel aber z.B. an Gäste-WLANs oder ähnliches, die man ohne großen Aufwand einfach ins vorhandene Netzwerk mit einem Router reinhängen kann. Der "interne" Netz soll natürlich nicht erreichbar sein?
Jemand eine bessere Idee?

Danke!

MfG