Impossible d'interdire à une station servant de firewall d'aller sur Internet

Le lien suivant donne une bonne idée de structure du réseau.

Donc,
enp2s2 : interface vers Internet.
enp2s5 : interface vers réseau local.

Comme j’ai fait pas mal d’essais, les fichiers sont entachés de règles redondantes. Je n’ai pas encore fait le nettoyage. Désolé pour la gène.