Nem elegáns, de ha kliens oldalon csak kliensek vannak, NAT-olj (masquerade) :), elég, ha a PFSense-t látja a Zentyal szerver, a mögötte csücsülő hálókkal már nem kell foglalkozni :)