Я не знаю, почему вы хотите режим моста. Если у вас один публичный IP, то я предлагаю вам использовать схему ниже.
В pfSense установите правила NAT (которые также автоматически создадут правила брандмауэра) для пересылки общедоступных портов в сеть OPT1, где ваши общедоступные службы работают в ВМ. Я не уверен, зачем вам нужен DHCP на OPT1, но это нормально, если вы используете статический DHCP, который склеивает MAC-адреса виртуальных машин с определенным IP-адресом. Таким образом, NAT всегда будет перенаправлять входящие соединения на конкретную виртуальную машину.
В правилах брандмауэра разрешить передачу всех протоколов из локальной сети в OPT1. Таким образом, внутренняя сеть ЛВС сможет получить доступ к службам ВМ, но она будет защищена от Интернета и OPT1 (поэтому в случае взлома какой-либо ВМ она не сможет получить доступ к ЛВС).
В pfSense DNS forwarder переопределяет общедоступные записи DNS для полного доменного имени виртуальных машин, поэтому при подключении от локальной сети к OPT1 он указывает на виртуальную машину, расположенную в сети OPT1.
Например, у вас есть общедоступная DNS-запись для веб-сайта, которая разрешает вам общедоступный IP-адрес, как my.www.example.com->1.2.3.4
в DNS-перенаправителе переопределить общедоступный IP-адрес, установив my.www.example.com->10.1.10.50
таким образом, если подключение к виртуальной машине происходит из Интернета, оно будет передаваться через NAT на виртуальную машину в сети OPT1, но если соединение идет из локальной сети, DNS-сервер пересылки pfSense будет указывать на виртуальную машину в OPT1 с использованием частных IP-адресов.
Что касается WiFi, - используйте его в качестве точки доступа (AP). Оставьте порт WAN отключенным и настройте ip локальной сети WiFi таким образом, чтобы он находился в диапазоне локальной сети pfSense, и отключите на нем DHCP. Таким образом, компьютеры, подключенные к порту WiFi LAN (он будет работать как обычный коммутатор) и клиенты WiFi будут получать IP-адреса от DHCP pfSense.