A menos que essas empresas se mesclem, você deve permitir que cada empresa use seu próprio roteador com seu IP público
Isso permitirá que eles criem seu próprio túnel VPN e, o mais importante, eles serão separados.
Se você realmente precisa apenas de um roteador, você deve usar um que ofereça suporte à marcação de VLAN por porta e que ofereça suporte a todos esses IPs. Você cria a regra de roteamento (vlan vs que ip público eles usam) Eu não sei se pfsense permitir que