Salut,
1 firewall potable (exit les firewall de box) me semble le minimum. 1 IDS/IPS si tu as les ressources pour le faire tourner, c'est un plus non négligeable, rajoute à ça un filtrage DNS (pihole ou pfblocker en ajoutant des listes par rapport à ce que tu veux bloquer).
Avec ça tu auras une bonne base et une bonne visibilité sur ce qu'il se passe sur ton réseau.
On peut bien sur aller plus loin en ajoutant un proxy transparent (ou pas) en mode MITM SSL (ou pas).
Pour ma part j'utilise pfsense (firewall, suricata pour IDS et pfblocker pour filtrage DNS). J'ai testé squid en transparent MITM SSL, mais je l'ai abandonné, la plus value était minime (doublon avec pfblocker)
Si tu as des gosses activer le safesearch des moteurs de recherches et de youtube me semble nécessaire (l'activation se fait direct au niveau du dns)
