1. Проброс портов (Destination NAT) — для входящих: адрес назначения меняется на внутренний.
2. Правила фильтрации (Rules) — пропустить или заблокировать; их имена и показаны ниже.
3. Исходящий NAT (Source NAT) — на выходе адрес источника меняется на адрес файрвола.
4. Схема читается слева направо: сеть-источник → правило → сеть-назначение. Пунктир — на этом пути подменяется адрес (NAT). Наведение подсвечивает только пути этого узла, клик по правилу открывает его соединения.
5. Сети, в которых есть адрес самого OPNsense — интерфейсы, туннели WireGuard и сети из настроенных правил, — собираются в группу «Сети OPNsense» автоматически; сети на WAN-интерфейсах выносятся в отдельную группу «Сети WAN». Под каждой подсетью подписан интерфейс, на котором она работает (берётся из таблицы ARP и из туннелей WireGuard).
6. У каждого правила подписаны порты назначения, по которым сейчас идут соединения (наведите — покажет все порты со службами).
7. Схема повторяет путь пакета: подмена назначения (проброс порта) идёт до правил, подмена источника (исходящий NAT) — после. Если подмены нет, связь просто минует эту колонку.

Показано фактическое поведение из таблицы состояний: какие правила реально пропускают трафик и где происходит подмена адресов. Сами конфигурации правил через API OPNsense недоступны.