Ok mi pare di aver capito. Il tuo è un problema di DNS sostanzialmente, in questo caso l'IP mail.xxx.it da fuori funziona ma internamente all'azienda non può funzionare.
C'è una soluzione molto facile, si chiama "split-horizon DNS", in pratica fa sì che Pfsense, a seconda della rete da cui proviene la richiesta, risponda con IP differenti.
Per fare questo devi andare in "Services" -> "DNS forwarder". Non appena si apre il menù devi flaggare l'opzione "Enable DNS Forwarder". Più sotto invece vedrai che puoi inserire staticamente delle entry; Clicca sul "+" e nella pagina successiva nel campo host inserisci solamente "mail" e nel campo domain il resto, es. "miodominio.it". Nel campo IP invece gli assegni l'IP di quel server ma della sua rete lan, metti una descrizione e poi confermi.
In linea di massima questo è sufficiente ma con il DHCP potrebbe essere necessario qualche altro aggiustamento. Fai prima questa prova e poi fammi sapere.
Per vedere se funziona, dopo aver impostato la entry, fai un ping da un pc in lan su mail.xxxx.it e se funziona ti restituirà un IP della rete lan. Per sicurezza svuota la cache DNS del client prima di fare il ping, per farlo devi dare "ipconfig /flushdns" se sei in Windows, "dscacheutil -flushcache" per Mac OS X, "sudo /etc/init.d/nscd restart" per Linux (dipende dalla distro).