PfSense , OpenSense und VLAN, LAN, DSL - Da wird der Hund in der Pfanne verrückt

Hallo zusammen,
ich hätte da mal ein (mittlerweile) gelöstes Problem. Allerdings versteh ich das eine oder andere dabei nicht.

Folgendes Szenario ist vorgegeben:
IT Infrastruktur mit 5 Netzen: Management (1), Produktiv (5), Heim (10), Gast (20) und VoIP (30).
Alle 5 Netze sollen zunächst unabhängig sein, also autark und getrennt voneinander mit Zugriff auf das WAN.
Alle Geräte aus LAN 1 dürfen in LAN 5 und 30 rein.
Bestimmte Geräte aus LAN 5 dürfen auch in LAN 1 und LAN 30.

Das ganze wird zunächst über VLANs segmentiert und auf Layer 2 Swtiche an die jeweiligen Ports verteilt. Die VLANs werden über eine pfSense / OpenSense erzeugt und gemanagett.
Die Einwahl erfolgt über die pfSense / OpenSense mittels eines am WAN Port angehängten Modems (Bridgemode).

Generell funktioniert das mittlerweile (orgendwie). Ich habe nun folgende Fragen dazu:

1. Routing innerhalb der Firewall über die Rules derselbigen.
Hinweis: Ich weiß, dass dies so nicht schön ist und dass man so etwas klassisch über einen dedizierten Router oder über einen Layer 3 Swtich löst. Ich muss halt mit der gestellten Hardware arbeiten.
Ich habe auf der Firewall (pfSense / OpenSense) 5 Interface entsprechend angelegt und diese Interface hart oder gleich als VLANs auf einem gemeinsamen Interface angelegt. In diesem Zustand sorgt die Firewall augenscheinlich dafür, dass alle Netze miteinander kommunizieren, ohne Einschränkungen. Wieso ist das so?
Wenn ich auf einem Layer 3 Switch Netze definiere oder auch auf einem Router, dann muss ich diese zunächste per Routing zusammen führen. Die Firewall macht das umgekehrt. Na wegen mir. Irgendwie Panne. Anyway....
Also ein kleines Regelwerk gestrickt, welches die einzelnen Interface mit ihren angeschlossenen Netzen per Regel ausschließt, z.B.
Interface igb0, LAN 5, Source LAN 5 any, Destination WAN-DHCP any.
Analog bei allen anderen. Damit trenne ich die Netze, was Ping auch bestätigt. Nachtrag: in diesem Falle zieht sich der WAN Port eine WAN IP per DHCP von einer für die Einwahl zuständigen FritzBox.

Diese Konfiguration lief ohne Probleme ud macht das was erwartet wurde. Per Regel sind die Netze getrennt und bestimmte Geräte dürfen in andere Netze greifen.

Nun wurde das Bridgemodem angeschlossen, ein Zyxel irgendwas und am WAN Port der Firewall die Zugangsdaten eingetragen: PPPoE.
Internet war da, alles fein. Denkste.
Folgende Phänomene treten auf:
Alle Netze sind wieder untereinander erreichbar.
Nur eine bestimmte, jedoch essentielle Seite (https) geht nicht auf. Alle anderen (auch https) Seiten sind ohne Probleme erreichbar.

Mir ist mittlerweile klar, dass die Netze wegen dem veränderten WAN Interface wieder untereinander erreichbar waren. Ich habe an der Konfiguration der Regeln und an den Interfaces nichts geändert, ausser dass das WAN Interface nicht mehr auf DHCP steht, sondern auf PPPoE mit den notwendigen und korrekten Zugangsdaten.
Ist es richtig, dass die Firewall nun, da das WAN Interface umgestellt wurde, dieses speziell vermisst und nun deswegen wieder jedes Netz auf jedes geroutet wird bzw. Zugriff hat? Die Regel wurde wohl deswegen ausser Kraft gesetzt.

Der wichtigere Punkt für mich ist, dass diese eine bestimmte Seite nicht erreichbar ist. Sobald die WAN Verbindung per Fritze etabliert wird, geht alles ohne Probleme. Dies ist mehr als seltsam. Dabei macht die Fritze auch die Einwahl und der WAN Port wird letztendlich 2 mal genattet, einmal von der Fritze und dann von der Firewall, bis die Daten letztendlich in den daran angeschlossenen Netzen landen.

Warum zum Kuckuck ist diese verflixte Seite nur erreichbar, wenn da eine Fritze dran hängt bzw. warum funktioniert diese eine Seite eben dann nicht, wenn die Einwahl von der Firewall über ein externes Modem etabliert wird. Alles ist ansonsten gleich.