Nat | inetshell

OPNsense: port-forward inalcanzable desde la misma subred WAN (reply-to)

OPNsense agrega reply-to a las reglas WAN y manda las respuestas al gateway aunque el cliente esté en el mismo segmento. Desactívalo y el firewall vuelve a usar su tabla de rutas.

pfSense y OPNsense: el port forward no funciona desde la propia LAN (NAT reflection y split DNS)

El tráfico LAN → IP pública no sale por la WAN, muere en el firewall. Split DNS (host override → IP interna) es lo limpio; Pure NAT + automatic outbound NAT for reflection cuando el DNS no es tuyo.