Danke für deine Antwort. Genau so habe ich das eingerichtet. Die Schnittstelle der Sophos steht/stand auf DHCP. Ich habe inzwischen den „Fehler“ gefunden. Nach einem Neustart des Modems, wurde die öffentliche DHCP-Adresse zugewiesen.
Ein Bug in der Firewall öffnet leider immer den Weg ins Netzwerk, egal ob Hardware oder VM. Allerdings gebe ich dir aufgrund der Qnap-Firmware Recht, da diese eine zusätzliche Fehlerquelle ist. Auf Dauer möchte ich eine Pfsense auf einer Apu laufen lassen, aber so auf die Schnelle war das meiner Ansicht nach die beste Lösung. Die Firewall des Kabel Deutschland Modems stellt für mich keine Lösung dar.