“Configure HTTP Proxy for a Network of Guests” with Internal in Transparent mode

These are great questions, Thorsten.  That document is a How-To with little explanation about how it evolved over the last six+ years.

VII is meant to be certain that guests don't attempt to use a Standard mode.  It shouldn't be necessary as the Guest network should not be in any other Web Filtering Profile.  It was included as the result of a suggestion, but it was already in the oldest version I've kept which is six years old.

The document explains why there's a recommendation to use Standard for non-Guest networks.  The DynDNS exploit suggested may not seem likely enough in your estimation.

In both cases, the choice was made to come up with something tamper-proof.

An alternative is to not run the Guest traffic through the Proxy.  In that case, I would add a separate public IP for accesses from the guest network, using a NAT rule.

Cheers - Bob

Thanks for your explanation!
Yes, I don't see the DynDNS-Exploit as weak point in my case, as the Guest-Networks are usually used by people, who are not that deep into IT-Security...

I hope there will be an improvment on that end in the new OS...

I hope there will be an improvment on that end in the new OS...

Find out for yourself and participate in the beta.  https://community.sophos.com/products/unified-threat-management/astaroorg/f/67/t/57934

Yeah, there seems to be a little improvement from Beta1 to Beta3.
But the UI ist still a nightmare compared to the UTM UI...
Will give it a try next week.

But the UI ist still a nightmare compared to the UTM UI

Preaching to the choir here.  ;P