Hi. Wir verwenden direkt auf der OPNSense das Plugin AdGuard. Das ist zwar eigentlich hauptsächlich für das Blacklisting gedacht aber Whitelists kann es natürlich auch.
Das, was Dir vorschwebt, geht aber alles nochmal eine Stufe weiter, weil Du ja pro Gerätegruppe nur jeweils eine URL freigeben möchtest. Falls Ihr Relution verwendet: neulich wurde Decon vorgestellt, das genau das kann (ist allerdings kostenpflichtig).
Noch ein Nachtrag: wenn man Blacklists im großen Stil einsetzt und zB zusätzlich noch reguläre Ausdrücke wie „Game“ oder „Play“ verbietet, hat man schon viele Seiten, die in der Schule nix zu suchen haben, lahm gelegt. Allerdings gibt es dabei manchmal dann auch merkwürdige Seiteneffekte. Bei uns lief aufgrund der restriktiven Filterung beispielsweise die Seite „deutschlandfunk.de“ nicht mehr. Dieser Seite kann man nun wirklich nicht vorwerfen, dass die Schüler dort während Schulzeit nicht landen sollen. Nach etwas Recherche stellte sich heraus, dass eine der Filterlisten das Wort „fun“ blockiert hat, das in „deutschlandfunk“ enthalten ist. Jetzt kann man sich die Frage stellen, ob „fun“ in der Schule erlaubt oder verboten sein soll 
Viele Grüße,
Michael