Самое быстрое правило файрвола для блокировки трафика с нескольких LAN-сетей?

Вот несколько идей: Вот мой рекомендованный вариант. Если у вас только один WAN-интерфейс, то цепочка forward в таблице фильтрации должна выглядеть так:

- allow established,related (без указания интерфейсов и адресов — просто разрешить всё, что уже было разрешено)  
- allow out-interface=wan1  
- deny all  

Это простой набор из трёх правил, который позволит любому количеству LAN получить доступ в интернет, но заблокирует доступ между ними. Позже вы можете добавить больше LAN, и не придётся менять эти правила — они автоматически сработают и для новых LAN.  

Если вы добавите второй WAN для резервирования, балансировки нагрузки, политики маршрутизации или чего-то ещё, просто вставьте перед deny all ещё одно правило: allow out-interface=wan2.  

Если хотите разрешить входящие подключения к внутренним адресам (NAT-пробросы), то разрешайте их до deny all, но после allow established,related, например:  
allow protocol=tcp, dst-port=80 in-interface=wan1  

Если в качестве адресов LAN вы используете 192.168.x.0/24, то можно фильтровать по ним так:  
allow established,related  
deny src-address=192.168.0.0/16 dst-address=192.168.0.0/16  

Я предпочитаю использовать названия интерфейсов, а не адреса. LAN подключен к конкретному интерфейсу — всё, что «этим путём», это LAN, и для него должны действовать LAN-правила. Зачем тогда сравнивать адреса?  

Так вы можете менять IP-адресацию или добавлять маршруты через какой-то шлюз в сторону LAN — и политика будет работать всегда. Даже поддельные IP-адреса подчинятся этим правилам, ведь адрес значения не имеет.