Ragazzi, grazie a tutti per i suggerimenti, ho combinato con la porta dello switch in trunk con la VLAN 835, collegata al virtual bridge vmbr835 di Proxmox, sui cui c'è la WAN di pfsense (vtnet0). Il PPPoE è diretto, senza creazione di VLAN nel firewall.
Le prestazioni però non sono da urlo, come sottolineava LucaTNT nei casi di pfsense virtualizzato; con il router DrayTek che mi avevano fornito arrivavo a 650/280Mbps, con pfsense sono poco sopra i 400:
