Para salir hacia afuera tienes que decir en [Firewall][Rules][LAN] que admites el tráfico hacia una de tus gateways. El ejemplo más sencillo sería:

Proto Source Port Destination Port Gateway        Description
  *      *        *        *          *  192.168.AAA.1 Admitir cualquier salida hacia el router 192.168.AAA.1 (en la red WAN)

En el caso de balanceo y/o failover, tu "pool" se convierte en el gateway. Lo tienes todo en:

http://doc.pfsense.org/index.php/Multi-Wan/Load-Balancing

Las reglas en tus WAN serían para lo que llegue de fuera. Si no tienes servicios (a dar en Internet) no te hacen falta reglas en las WAN. Si das un servicio (en Internet) tendrás que hacer un NAT hacia adentro y entonces pfSense te crea automáticamente la regla en la WAN para permitir el tráfico de tu NATeo.

Sobre el NAT hacia afuera tienes la explicación en:

http://doc.m0n0.ch/handbook/nat-outbound.html (manual de m0n0wall, de donde partió PfSense)

Y como pfSense emplea PF (Packed Filter), la explicación en el manual de PF es:

http://www.openbsd.org/faq/pf/es/nat.html

O sea que teóricamente no hace falta, pero es una forma más de "esconder" tu LAN … Yo lo prefiero así ...

También hay otras formas de montar el "tinglado". Hay quien pone los routers ADSL en modo bridge y la dirección pública de la ADSL en la WAN correspondiente. Incluso hay países donde la conexión a Internet es directa sobre la interfase WAN de pfSense. En estos casos se impone el NATeo hacia afuera ...

Saludos,

Josep Pujadas

Por otro lado, no entiendo los nats de salida. Lo hacen los routers de acceso a internet. Para que los defines?

Gracias de antemano.

Yo lo probé en su día pero tiene algunas limitaciones, a saber:

http://www.bellera.cat/josep/pfsense/cas_estudi_cs.html#balanceig

Tienes que ir a [Services] [Load Balancer] para definir el "pool"

A parte del "pool" tus reglas de cortafuegos deben permitir el tráfico que desees.

Sobre NAT, lo mismo. Tendrás que hacer NAT hacia afuera y hacia adentro, para lo que desees. Mira la sección NAT de http://www.bellera.cat/josep/pfsense/indice.html

Y por último si lo que deseas es hacer balanceo para algún servicio que tengas en Internet tendrás que tratar el tema con quien gestione tus DNS. Por ejemplo, si tienes un servidor web ahora debes tener una única IP para él. Y si quieres balancear este servicio tendrás que pasar a dos direcciones IP, con lo que necesitas que ello te lo gestione tu proveedor de Internet.

Espero haberme explicado,

Josep Pujadas