Hallo Alex,
Du musst zusätzlich dafür sorgen, dass alle anderen Anfragen über Port 53 automatisch auf den von Dir eingestellten DNS_Server geleitet werden. Wenn ein Schüler also aus irgendwelchen Gründen die DNS_Einstellungen auf dem eigenen Endgerät ändern kann, muss dafür gesorgt werden, dass alle anderen Anfragen blockiert werden und/oder alles andere über Port 53 über ein Forwarding umgeleitet wird. Zudem können auch DNS over HTTPS (DoH) bzw DNS over TLS (DoT) ein Problem sein: Wenn die Anfragen also verschlüsselt rausgehen, musst Du diese Protokolle ebenfalls abfangen, da Deine Einstellungen ansonsten hinfällig sind.
Hier steht einiges dazu:
Oder hier gleich fertig konfiguriert mit AdGuard
https://windgate.net/setup-adguard-home-opnsense-adblocker/
hth.
Viele Grüße,
Michael