Opnsense Routing und Firewall

Hallo zusammen,

nachdem es in letzter Zeit immer wieder zu Problemen mit Trojanern gekommen ist, habe ich mir vorgenommen, unsere Wohnungen in unserem Haus gegeneinander abzuschotten.
Da ich noch einen kleinen PC da hatte, habe ich da eine zusätzliche Netzwerkkarte eingebaut und opnsense drauf installiert.

Das Einrichten war anfangs sehr leicht, jedoch scheitere ich jetzt bei Internetzugang und Netzwerk-Isolation.

Im Standard ist es wohl so das die Netze untereinander kommunizieren können, weil wohl eine Routing-Regel dafür existiert.
Ebenfalls habe ich festgestellt, dass LAN2 und LAN3 wohl kein Internet hat.

Mein aktueller Zustand:
- Unsere Wohnung -> wird laut opnsense LAN sein
- die Wohnung meiner Schwiegereltern -> wird LAN2 (umbenannt von OPT1)
- die Wohnung des Bruders meiner Frau -> wird LAN3 (umbenannt von OPT2)
- Internet kommt von einer Fritzbox (WAN per DHCP), da wir hier nur über Kabel Internet bekommen (DSL ist 2 Straßen weiter mit 100MBit, bei uns nix )

Gewünscht ist:
- WAN über Fritzbox soll bleiben
- LAN soll weiterhin Internet haben, aber auf die anderen Netzwerke nicht zugreifen können (aber dennoch die Anti-Lockout-Regel behalten, ich würde schon gerne IMMER auf die opnsense zugreifen können, wenn ich was verbogen habe)
- LAN2 soll endlich Internet haben, und ebenfalls LAN oder LAN3 nicht zugreifen können
- LAN3 soll ebenfalls Internet haben und von den anderen Netzwerken isoliert sein

Ich habe die Interfaces nach bestem Wissen konfiguriert, bei WAN stand auto-detect und das hat bei LAN ja auch funktioniert; warum dann bei LAN2/LAN3 nicht?
DHCP ist ebenfalls richtig eingerichtet, und weist auch ordentlich per DHCP IP, Gateway und DNS zu.

Grundkenntnisse in Sachen Netzwerk sind vorhanden, daher würde es mich freuen, wenn jemand die Geduld hätte, mir zu erklären was ich wie WARUM machen sollte.
Ich will also keine fertige Lösung, sondern verstehen.


Danke

Marko