Você precisa definir um endereço IP, um endereço de gateway padrão (o endereço da sua caixa pfSense) e um endereço de servidor DNS no roteador Tomato para que ele tenha acesso à Internet quando usado nessa configuração. Você também quer ter certeza de que o servidor DHCP está desabilitado no roteador Tomato, de forma que os únicos endereços IP na rede sejam estaticamente atribuídos ou vindos do pfSense.
Você está efetivamente desativando o roteamento no sistema Tomato e usando-o como um ponto de acesso e troca somente.