Firewall Regeln werden scheinbar nach zoning defaults angewendet.

Ganz wichtig ist, die Grundregel der Firewall-Logik zu beachten: Innerhalb einer Zone oder einer Zonenverbindung (z.B. Hotspot --> Internal) werden Regeln grundsätzlich von oben nach unten abgearbeitet. Das erklärt auch Deine zweite Frage: Die Standard-Regeln kannst Du nicht anpassen, aber einfach Deine eigenen darüber schreiben. Dadurch werden die Standard-Regeln ggf. übergangen, je nachdem, was Du in Deine Regeln reinschreibst.

Bei der Hotspot-Zone glaube ich mal gehört zu haben, dass Geräte hier vollständig isoliert werden, diese Zone ist wohl wirklich nur für nackten Internetzugang gedacht. Ich mag mich täuschen, allerdings hatte ich auch schon mal keinen Erfolg damit, eine Zugriffsfreigabe für Hotspot-Clients zu bauen.

Eine Lösung ist, das Gastnetzwerk in die "Internal"-Zone zu packen und dann selbst alle gewünschten Abschottungsmaßnahmen zu treffen. Hier wird es dann definitiv klappen, auf einzelne Geräte anderer Subnetze zugreigen zu dürfen.

Als letzten Stolperstein musst Du noch im Kopf haben, dass auch manche Hosts Zugriffe aus allen Netzen außer ihrem eigenen blockieren. Die Windows-Firewall ist z.B. so ein Kandidat, ohne vorherige Anpassung wirst Du keinen Windows-Computer aus einem "Fremdnetz" heraus auch nur anpingen können.