Pf

OPNsense agrega reply-to a las reglas WAN y manda las respuestas al gateway aunque el cliente esté en el mismo segmento. Desactívalo y el firewall vuelve a usar su tabla de rutas.

pfctl -sT lista tablas; pfctl -t -T show|add|delete|test|flush|replace -f. En pfSense los aliases son tablas, sshguard es el bloqueo por login fallido y los cambios a mano se van con la siguiente recarga de reglas.