OPNsense agrega reply-to a las reglas WAN y manda las respuestas al gateway aunque el cliente esté en el mismo segmento. Desactívalo y el firewall vuelve a usar su tabla de rutas.
pfctl -sT lista tablas; pfctl -t -T show|add|delete|test|flush|replace -f. En pfSense los aliases son tablas, sshguard es el bloqueo por login fallido y los cambios a mano se van con la siguiente recarga de reglas.
Con vtnet, FreeBSD descarta paquetes con checksum sin calcular. Marca Disable hardware checksum offload y reinicia la VM aunque la GUI no lo pida; hasta entonces no fluye el tráfico.
El tráfico LAN → IP pública no sale por la WAN, muere en el firewall. Split DNS (host override → IP interna) es lo limpio; Pure NAT + automatic outbound NAT for reflection cuando el DNS no es tuyo.