Para conectar as outras VMs ao pfSense você pode usar uma rede do tipo internal. depois de conectar as VMs acredito que seja mais uma questão de configuração de pfSense mesmo.
Quanto a questão do offload. Você consegue desativar as opções de offload por hardware através do pfSense mesmo (nesse caso não precisa rodar os comandos de alteração das VIFs) :
Network Interfaces
Hardware Checksum Offloading
Disable hardware checksum offload
Hardware TCP Segmentation Offloading
Disable hardware TCP segmentation offload
Hardware Large Receive Offloading
Disable hardware large receive offload
System > Advanced > Miscellaneous
Cryptographic & Thermal Hardware
Cryptographic Hardware
AES-NI CPU-based Acceleration
Well, it's a bit hard to tell you directly what to do vs XOA, because on XOA you are already on a validated OS (Debian) with some packages installed.
On which OS did you install Xen Orchestra in the first place?