部署在两台家用路由器后的Palo Alto PA-440防火墙无法访问互联网的排查求助

我正在家里给Palo Alto PA-440防火墙做初始配置，之后要重构我的局域网，但目前防火墙连不上互联网，没法下载许可证和更新。想问问大家，我该检查或修改PA防火墙的哪些设置来解决这个问题？

我的网络环境 #

各网段网关信息 #

• LAN1：192.168.254.254/24（网关）
• LAN2：10.0.1.1/24（网关）
• LAN3：10.0.0.1/24（网关）

整体链路拓扑 #

Internet -> Arris 有线调制解调器（启用NAT）-> 群晖路由器（启用NAT）-> PA防火墙（启用NAT） -> 管理接口

各网段连接的设备：

• LAN1：MOCA设备1、MOCA设备2
• LAN2：NAS、PC、IoT设备
• LAN3：树莓派、PA防火墙管理接口

当前网络测试情况 #

• LAN3设备的测试结果：
  • ✅ 能ping通LAN2的设备
  • ✅ 能解析互联网网站的DNS
  • ❌ 无法ping通LAN1的设备
  • ❌ 无法打开LAN1的网站或互联网网站
• LAN2设备的测试结果：
  • ✅ 能ping通PA防火墙和LAN1的设备
  • ✅ 可以正常访问互联网，也能打开LAN1的管理GUI

现有配置说明 #

LAN1和LAN2都是消费级设备，配置了标准的NAT和DHCP，包括给下游网关设置了DHCP保留地址。LAN3的PA防火墙已经在源地址上配置了动态IP和端口NAT，目前还设置了一条宽松的策略，允许所有从内部区域到外部区域的流量。日志显示PA的这条规则已经匹配并放行出站流量，但会话要么是超时结束，要么状态显示为n/a。

我正准备在LAN2和LAN3上同时做抓包排查，先提前来求助大家，谢谢！

注意：我不能把有线调制解调器改成桥接模式，因为要用到MOCA设备；也不想立刻把群晖路由器改成桥接，因为它和NAS有很多自定义设置，得等PA防火墙更新配置好之后再迁移过去。

备注：内容来源于stack exchange，提问作者MJA