PF Sense - Keine Verbindung nach "außen"

Zuallererst strategisch vorgehen....
Hast du die typischen Tests gemacht ???

• Check im Dashboard oder Status --> Interfaces ob du eine gültige Provider IP am WAN Port bekommen hast wenn du mit einem reinen Modem (kein Router !) arbeitest. Das ist absolute Grundvoraussetzung !!
• Ins Menü Diagnostic --> ping und dort direkt von der pfSense gepingt:
• Ggf. einen Router und dessen LAN IP wenn du mit einer Kaskade arbeiten solltest.
• Wenn ohne Kaskade mit einem reinen Modem (kein Router und Internet direkt auf der FW terminiert) dann eine Internet IP pingen wie 8.8.8.8
• Ggf. die Absender IP statt auf "Auto" auf die WAN Port IP gesetzt

Klappt das ??

• Wenn ja das Ganze indem du die 8.8.8.8 pingst und die Absender IPs auf die jeweiligen VLAN IPs der pfSense setzt
• Klappt das ?
• lokale VLAN Regeln checken. OHNE eine entsprechende Regel blockiert die FW im Default ALLEN Traffic dort. Zum Test auf allen Interfaces erstma "Scheunentor Regeln" als Source:<vlanx_net> Destination: ANY setzen !

Hast du alles diese allerersten Schritte beachtet ??

Nach dem Symptomen sieht das nach falschen oder fehlerhaften FW Regeln aus.
Eine Kardinalsfehler ist auch schon gleich auffällig, denn DNS 53 ist sowohl für UDP als auch TCP definiert. Du hast nur UDP zugelassen, was sehr wahrscheinlich die Namensauflösung verhindert. Hier muss also stehen "TCP und UDP" !
Zudem ist diese Regel etwas unsinnig definiert, denn dein DNS Server ist zentral in allen Segmenten ja immer nur der PiHole. Aus all diesen Segmenten darf DNS (TCP/UDP) nur auf die PiHole IP zugelassen werden.
Im eigenen PiHole Netz natürlich nicht, denn die Firewall filtert logischerweise nur das was routingtechnisch über sie rüber geht.
Einzig das Segment in der der PiHole selber liegt bekommt DNS (53) TCP/UDP entweder auf die pfSense IP oder die IP deine Upload DNS Servers oder Server die im PiHole definiert sind.
Diese Regel ist also schon falsch.
Ferner unter "Access Rules"

• Dort ist eine Scheunentor Regel" (any any) die alles erlaubt. Das hat zur Folge das die nachfolgenden Regeln NICHTmehr abgearbeitet werden. Wie immer gilt beim FW Regelwerk: First match wins !. Sprich der erste positive Hit bewirkt das die nachfolgenden Regeln NICHT mehr abgearbeitet werden !! (Tutorial lesen und verstehen !!!)
• Die DENY any any Regel am Schluss ist überflüssig und sinnfrei, denn das ist in einer Firewall immer DEFAULT ! (Es ist alles generell verboten was nicht explizit erlaubt ist !). Kannst also besser entfernen denn das verwirrt nur.

Dummerweise fehlt auch die Angabe für welchen VLAN Adapter der Regel Screenshot gilt. Geraten vermutlich fürs IoT Segment ?!

• Auch die nachfolgenden Regeln sind fehlerhaft:
• DNS 53 fehlt wieder für TCP. Zudem ist als Source any Blödsinn denn wenn können Frames ja nur aus dem <ioT_net> selber kommen. Sinnvoll ist also das als Source anzugeben.
• HTTP ist nicht für UDP definiert, rein nur für TCP. Folglich ist es Unsinn das für UDP freizugeben.
• Dto. für HTTPS
• Die DENY any any Regel am Schluss ist überflüssig und nützt nichts denn sie ist so oder so Default. In einer Firewall gilt immer: Alles was nicht explizit erlaubt ist, ist verboten !

Fazit:
Passe das Regelwerk auf sinnvolle Regeln an und achte auf die Reihenfolge !! Dann wird das auch wie gewollt klappen !