Captive Portal junto com DNS atrás de IPsec

[marcoafm]

Bom dia,

Meu cenário:
Preciso usar captive portal
Meu AD/DNS está na AWS

O problema:
O captive portal somente aparece se o próprio pfSense for o DNS das maquinas clientes, certo? Assim, se eu setar o IP do AD ( que está atrás de uma VPN ) para o DHCP entregá-lo aos clientes como sendo o servidor DNS vou "enxergar" o dominio tranquilamente porém o captive portal não vai aparacer (dá erro na navegação); e, se eu setar o IP do pfSense para o DHCP entregá-lo aos clientes como sendo o servidor DNS vou "enxegar" o capitive portal porém não consigo acesso ao domínio já que o AD está atrás de uma VPN (mesmo cadastrando o dominio e respectivo IP em Services > DNS Resolver > Domain Overrides não está funcionando).

Pergunto:
Tem como fazer o captive portal funcionar mesmo se o pfSense nao for o DNS da rede?

Mesmo com a VPN totalmente funcional, se eu acessar o shell do pfSense e tentar pingar um ip remoto na VPN não dá certo. Tem como fazer o pfSense em si enxergar os hosts por trás da VPN? Se eu conseguir isso, DNS cadastrado em Domain Overrides vai funcionar.

Agradeço demais qualquer ajuda.