PfSense, RTSP-Streaming im VLAN

Auch auf Version 3? Bedenke das die meisten IP TV Provider IGMPv3 erzwingen weil sie SSM Multicast nutzen was standardmäßig v3 erfordert. Stelle also sicher das dein Snooping zwingend v3 nutzt!
Ist bezogen auf IP-TV aus 2 Gründen völlig sinnfrei:

• Es hat mit IP-TV gar nichts zu tun, denn das ist die Multicast IP Adresse und UDP Port für mDNS/Bonjour.
• 224.0.0.251 ist eine sog. Link Local Multicast Adresse mit einem TTL von 1. Sie damit unroutebar und nur im lokalen Layer 2 Segment relevant.

Folglich ist diese ziemlich sinnfrei weil sie nie greift. mDNS kann man auf der pfSense/OPNsense nur mit dem AVAHI Plugin in andere IP Segmente übertragen. Siehe zu dem Thema auch hier.
Die Regel ist ebenso völlig unsinnig und auch kontraproduktiv weil die so gar nicht greifen kann. Es gibt ja niemals eingehenden IP Traffic von extern der das VLAN 10 als Zieladresse hat. Wenn doch hat die davor kaskadierte FB ein Riesenproblem!
Zudem rennt ja (wahrscheinlich) auch noch NAT auf dem Firewall WAN Port, so das ein direktes Routing von WAN aufs VLAN 10 Segmente technisch gar nicht möglich ist ohne ein Port Forwarding.
Auf der pfSense arbeitet ja der IGMP Proxy via WAN IP Adresse und es muss eine Regel geben die IGMP und UDP zum Zielnetnetz 224.0.0.0/4 zulässt, was der gesamte Multicast Adressbereich ist!
Das in einem Kaskaden Setup am WAN die RFC 1918 IP Netze nicht geblockt sein dürfen (Haken entfernen am WAN Port bei RFC 1918!) sollte ebenfalls klar sein.

Das sollte dir ggf. helfen:
https://www.heise.de/ct/artikel/MagentaTV-auf-pfSense-Co-4698826.html
Magenta TV hinter pfSense und Cisco c3560cx

Sofern du Magenta TV nutzt oder auch andere IP-TV Anbieter auf Multicast Basis kannst du dir das immer auch auf jedem PC, Smartphone oder Tablet mit dem Klassiker VLC ansehen.
Die Multicast Adressen dazu findest du hier:
https://iptv.blog/artikel/multicastadressliste/
Ein PC oder Laptop mit VLC ist dann eine sehr gute Troubleshooting Option indem du VORHER einen Wireshark Sniffer startest und dann den VLC Client auf einen der Multicast IP-TV Streams öffnest.
Damit "siehst" du dann den gesamten Verbindungsaufbau und kannst sofort erkennen wo hier ein Fehler vorliegt.
Gleiches geht auch wenn man z.B. den Port einer angeschlossenen Setopbox mit dem Wireshark mitsniffert.
Weitere Multicast Testoptionen findest du auch HIER.

Das ist schlecht aber typisch für den Ubiquity Schrott.
Dennoch musst du sicherstellen das dein IGMP Snooping dort mit Version 3 rennt. Tut es das nicht scheitern so gut wie alle Multicast basierenden IP-TV Anbieter, weil die in der Regel für IP-TV allesamt SSM Multicast nutzen was damit die IGMP Ver.3 erzwingt. Sende ein Support Email an die Hotline und erfrage das.
Alternativ musst du IGMP völlig deaktivieren auf dem Switch, was dann aber gravierende Nachteile hat, weil der Switch dann Multicast Streams auf alle Ports fluten muss was in CPU passiert und solchen Billigswitches dann meistens das Genick bricht.
Ahhhh, OK. Dann vergiss ALLES was oben steht. Das hat allesamt dann nichts mehr mit klassischem Multicast IP-TV zu tun und ist ein Verfahren was AVM intern nutzt.
Die Box hat ja einen internen Kabeltuner und streamt dann selber die TV Daten per Sat-IP Standard!
https://www.heise.de/tipps-tricks/Fernsehen-ueber-die-Fritzbox-schauen-d ...
Da müsstest du erstmal die von der FritzBox erzeugte m3u Datei ansehen ob diese überhaupt Multicast nutzt oder es ein direktes Streaming via Unicast ist. Bei Unicast ist dann natürlich auch IGMP obsolet.
Das Magenta Setup von Heise wird dir dann auch nix nützen, da das dann ein ganz anderes Verfahren ist. AVM nutzt den Sat-IP Standard um die Daten zu verbreiten!
https://www.heise.de/ratgeber/FritzOS-7-Kabelfernsehen-per-WLAN-schauen- ...
Details zur Sat-IP Übertragung via LAN und WLAN auch hier:
https://www.heise.de/ratgeber/Fuer-den-Wohnwagen-Sat-Fernsehen-ueber-WLA ...

Wenn DU im VLAN die Adresse mit VLC öffnest geht das?

Firtz Boxen benutzen zum Streamen immer Unicast soweit ich weiß. Nur zum finden der Box wird multicast verwendet, was in deinemn NAT Setup zum Problem wird.

Der Unicast Stream sollte sich durch die Default Lan to Internet Regel bereits öffnen Lassen.
Wichtig ist aber, wie @aqui bereits schreibt, dass am WAN Interface der Haken "Block private Networks" nicht gesetzt ist.

Bei VLANs gibt es ja keine Default-Regeln von daher muss es natürlich eine geben die NETVLAN zu WAN Net oder ANY erlaubt mit Port 554 am besten TCP/UDP.

Oha, jetzt wird es intressant...

Vielleicht ein Fehler in den NAT Regeln? Automatisch erstellt oder manuell? Screenshot?
Ggf. noch eine Floatingregel oder Interface Gruppen Regel die das ggf. blockt?

Weitere Schritte sind danach, Firewall Log prüfen ober was geblockt wurde und danach in den States schauen bei Verbindungsaufbau.
Unter Diagnostics -> States und mal nach :554 filtern während des Verbindungsaufbaues. Dort kann man sehen ob Daten fließen ob NAT richtig angewendet wurde etc.

Jap in den States sieht man das NAT nicht angewendet wird. Müsste so aussehen:

WAN IP ( LAN bzwVLAN IP) -> Fritzbox IP siehe auch Bild.

Ich schätze auf einen Fehler in den Outboundregel. Wahrscheinlich auf Services begrenzt und nicht auf any gestellt.