Wenn dein Grafana extern läuft, muss du dem eben als Datenquelle ElasticSearch mit der IP-Adresse der OPNSense und den entsprechenden Port einrichten.
In der Regel dürfte das die Gateway-IP der OPNSense des Netzes sein. wo dein Grafana läuft.
Ich würde fast wetten, du brauchst auf eine Firewall-Regel, welche den Zugriff auf die „Firewall“ als Ziel mit dem Port erlaubt.
Das ich zenarmor und den Rest nicht nutzen, kann ich dir das nicht näher beschreiben.