puffin23 Diciamo che ormai puoi de facto bloccare tutto e consentire solo le TCP/80, TCP/443 e UDP/443... stiamo virando verso un mondo all-over-HTTPS, dove i filtri tradizionali hanno sempre meno senso e quelli evoluti non li puoi usare verso il pubblico perché richiedono di fare ispezione del traffico e quindi trust dei certificati dell'ente che ispeziona. Se vuoi consentire il traffico mail nativo (ma chi lo usa più?) TCP/110, TCP/143, TCP/465, TCP/587 e TCP/993.
DNS interno, magari con filtraggi di contenuti tipo pihole o nextdns (solo lui può uscire all'esterno) e poco altro... se vuoi per far funzionare Telegram in modo nativo TCP devi aprire la TCP/5222. Se non puoi fare DPI e/o filtraggio su protocolli (servono NGFW) non è che si possa far molto altro. Resta inteso che ogni tanto i log bisogna guardarli e saper reagire/decidere se un cliente si lamenta che la sua app (del menga) preferita non funziona.
Neanche a dirlo, via immediatamente UPnP.
