Anfängerfrage : interne Geräte vor dem Internet beschützen am Beispiel WebCam

Das kann man jetzt nicht pauschal beantworten, da es auch davon abhängt, welche Dienste der UTM aktiv sind.

Wenn die Web Protection im transparenten Modus aktiv ist gilt diese auch erst mal für die Webcam und "nach Haus telefonieren" über http/s wäre möglich, selbst wenn Du die Firewall für die Quell-IP der Kamera komplett dicht machst in Richtung Internet. Damit das nicht passiert müsstest Du die IP der Webcam zusätzlich noch in der "Transparent Mode Skiplist", genauer der "Skip Transparent Mode Source Hosts/Nets" hinzufügen. Für die IPs in dieser Liste wird der transparente Proxy quasi ausgeschaltet, danach gelten nur noch rein die Firewallregeln.

Wenn die Kamera nicht über irgendeine "App auf dem Handy" aufgerufen werden muss (wo die Verbindung über einen Cloudserver des Anbieters erfolgt) und auch keine Firmwareupdates braucht kannst Du sicher jeglichen Internetzugriff für sie deaktivieren.

Was die andere Richtung betrifft kommt es eigentlich nur darauf an, wie Du und ob Du NAT-Regeln definiert hast. Ist nur die Standard Masquerading-Regel aktiv wird lediglich das interne Netz auf die IP-Adresse des WAN-Interfaces umgesetzt, was ausgehenden Traffic betrifft, aus dem Internet sind dann erst mal nur die Ports der UTM aktiv, wie Webadmin, SSH o.ä., bei denen wäre es noch wichtig, die Default "Any" Quelle zu entfernen und z.B. nur für das interne Netz/VPN-Netz den Zugriff zu erlauben.

Damit der Zugriff auf die Kamera via VPN funktioniert müssen die IPs und Dienste für den Remote-Zugriff in der Firewall erlaubt sein. Das heißt einmal im Profil des VPNs und dann natürlich noch als Firewall-Regel. Die "automatische Firewall" erlaubt standardmäßig alle Ports für die definierten Netze, daher würde ich die eher nicht verwenden.

Ich würde Dir aber ohnehin eher den SSL Remotezugriff auf OpenVPN-Basis empfehlen, der ist meiner Erfahrung nach weniger "störanfällig". OpenVPN-Clients gibt es für alle gängigen Betriebssysteme und Mobilfunkgeräte, die entsprechende ovpn-Config lässt sich z.B. einfach per Mail auf die entsprechenden Geräte bringen.

Das kann man jetzt nicht pauschal beantworten, da es auch davon abhängt, welche Dienste der UTM aktiv sind.

Wenn die Web Protection im transparenten Modus aktiv ist gilt diese auch erst mal für die Webcam und "nach Haus telefonieren" über http/s wäre möglich, selbst wenn Du die Firewall für die Quell-IP der Kamera komplett dicht machst in Richtung Internet. Damit das nicht passiert müsstest Du die IP der Webcam zusätzlich noch in der "Transparent Mode Skiplist", genauer der "Skip Transparent Mode Source Hosts/Nets" hinzufügen. Für die IPs in dieser Liste wird der transparente Proxy quasi ausgeschaltet, danach gelten nur noch rein die Firewallregeln.

Wenn die Kamera nicht über irgendeine "App auf dem Handy" aufgerufen werden muss (wo die Verbindung über einen Cloudserver des Anbieters erfolgt) und auch keine Firmwareupdates braucht kannst Du sicher jeglichen Internetzugriff für sie deaktivieren.

Was die andere Richtung betrifft kommt es eigentlich nur darauf an, wie Du und ob Du NAT-Regeln definiert hast. Ist nur die Standard Masquerading-Regel aktiv wird lediglich das interne Netz auf die IP-Adresse des WAN-Interfaces umgesetzt, was ausgehenden Traffic betrifft, aus dem Internet sind dann erst mal nur die Ports der UTM aktiv, wie Webadmin, SSH o.ä., bei denen wäre es noch wichtig, die Default "Any" Quelle zu entfernen und z.B. nur für das interne Netz/VPN-Netz den Zugriff zu erlauben.

Damit der Zugriff auf die Kamera via VPN funktioniert müssen die IPs und Dienste für den Remote-Zugriff in der Firewall erlaubt sein. Das heißt einmal im Profil des VPNs und dann natürlich noch als Firewall-Regel. Die "automatische Firewall" erlaubt standardmäßig alle Ports für die definierten Netze, daher würde ich die eher nicht verwenden.

Ich würde Dir aber ohnehin eher den SSL Remotezugriff auf OpenVPN-Basis empfehlen, der ist meiner Erfahrung nach weniger "störanfällig". OpenVPN-Clients gibt es für alle gängigen Betriebssysteme und Mobilfunkgeräte, die entsprechende ovpn-Config lässt sich z.B. einfach per Mail auf die entsprechenden Geräte bringen.