Instalación y configuración básica de pfSense para empresas

pfSense es un firewall y router de código abierto basado en FreeBSD que se utiliza en empresas como punto central para la segmentación de red, VPN, filtrado de tráfico y detección de intrusiones. Para las pequeñas y medianas empresas, representa una alternativa rentable a las soluciones comerciales más caras, ofreciendo funciones que se encuentran en dispositivos con un precio diez veces superior.

TL;DR — puntos clave

• pfSense es una solución de firewall gratuita con soporte comercial (Netgate)
• Para hasta 50 empleados, es suficiente un dispositivo de clase Netgate 4200 o un mini PC similar con 2–4 interfaces GbE
• Pasos críticos: WAN/LAN separados, deny por defecto, segmentación VLAN, sincronización horaria, copias de seguridad periódicas de la configuración
• Para acceso remoto use WireGuard o OpenVPN, nunca exponga la interfaz web en la WAN

¿Por qué pfSense en lugar de un router doméstico?

Los routers de consumo están diseñados para un uso doméstico sencillo. En una empresa, rápidamente aparecen limitaciones: VPN poco fiable, falta de segmentación adecuada, sin control de DNS y sin registros de eventos. pfSense ofrece un firewall real con inspección de estado (stateful), NAT a nivel de paquetes, HA (Alta Disponibilidad) en pareja, IPsec/WireGuard/OpenVPN integrado en el sistema y un rico ecosistema de paquetes como Suricata (IDS/IPS), pfBlockerNG (filtrado DNS) y HAProxy.

Comparemos las capacidades típicas:

Selección de hardware

El rendimiento depende principalmente de la velocidad de conexión y de los servicios activados. Como guía orientativa:

Si busca estabilidad a largo plazo y soporte comercial, recomendamos los dispositivos originales Netgate. Los mini PC más económicos funcionan excelente, pero en caso de problemas dependerá de la comunidad.

Instalación paso a paso

1. Descargue la imagen ISO/memstick de pfSense CE o Plus desde el sitio oficial y verifique la suma de comprobación (SHA256).
2. Arranque el dispositivo con la unidad USB, seleccione Install e instálelo en el SSD (se recomienda ZFS).
3. Tras el primer arranque, defina las interfaces WAN y LAN a través de la consola (WAN → al módem, LAN → al switch).
4. Abra la interfaz web en `https://192.168.1.1` con los datos por defecto `admin / pfsense`.
5. En el asistente, configure el nombre del host, la zona horaria Europe/Madrid, los servidores DNS (ej. 1.1.1.1 y 9.9.9.9) y cambie la contraseña.

Después del asistente, verifique siempre que el acceso administrativo esté permitido solo desde la red LAN — en System → Advanced → Admin Access active HTTPS y, si es posible, cambie el puerto por defecto.

Segmentación con VLAN

Una disposición plana de VLAN marca la diferencia entre una "red que funciona" y una "red segura". Segmentación mínima sugerida para PYMES:

• VLAN 10 — LAN (estaciones de trabajo, impresoras)
• VLAN 20 — Servidores (Active Directory, NAS, ERP)
• VLAN 30 — Invitados / WiFi (aislado de la LAN, solo internet)
• VLAN 40 — IoT (cámaras, sensores, alarmas)
• VLAN 99 — Gestión (acceso a switches, puntos de acceso)

En pfSense añada las VLAN en Interfaces → VLANs, luego asigne a cada una su propio rango de red y DHCP. Establezca permisos explícitos entre VLANs — por defecto debe aplicarse deny.

Reglas básicas del firewall

Al escribir reglas, se aplica el principio de mínimo privilegio. Para un entorno típico de PYME:

1. LAN → WAN: permita HTTP/S, DNS, IMAP/S, SMTPS. Bloquee y registre todo lo demás.
2. GUEST → WAN: solo TCP 80/443 y UDP 53 a sus servidores DNS.
3. IoT → WAN: permita solo dominios de destino específicos (ej. nube del fabricante de las cámaras).
4. Cualquier VLAN → Gestión: block explícito, excepto para la estación de trabajo del administrador.

VPN para acceso remoto

Para usuarios remotos recomendamos WireGuard: es rápido, fácil de mantener y respetuoso con la batería de los portátiles. IPsec sigue siendo la opción estándar para conexiones site-to-site entre sucursales. Lea más sobre las diferencias en nuestro artículo sobre soluciones VPN para empresas.

Independientemente del protocolo elegido, active siempre MFA (ej. TOTP mediante paquete FreeRADIUS + Google Authenticator) y limite el acceso a recursos internos específicos — principio Zero Trust.

Monitorización, copias de seguridad y actualizaciones

Exporte regularmente la configuración de pfSense (Diagnostics → Backup & Restore) y guárdela en una ubicación segura fuera de la red — por ejemplo, en un espacio de objetos cifrado en Azure. Realice las actualizaciones en una ventana de mantenimiento y revise siempre las notas de la versión. Para monitorizar el funcionamiento, recomendamos enviar los eventos de syslog a un recolector centralizado (Graylog, Elastic) o a Azure Log Analytics.

Errores comunes que vemos en la práctica

• Interfaz de administración expuesta en la WAN sin restricciones — es obligatorio cerrarla o limitarla con TLS + MFA y filtro de IP de origen
• El permiso por defecto "LAN → any" no limita a IoT e invitados, lo que permite el movimiento lateral de un atacante
• Falta de copia de seguridad periódica de la configuración
• No utilizar pfBlockerNG para bloquear dominios maliciosos conocidos

¿Necesito la versión de pago pfSense Plus?

Para la mayoría de las PYMES, pfSense CE gratuito es totalmente suficiente. La versión Plus (incluida con el hardware Netgate) ofrece optimizaciones adicionales, entornos de arranque ZFS y soporte comercial, lo cual recomendamos para entornos de producción.

¿Cuánto rinde pfSense en una conexión de 1 Gbps?

Las generaciones modernas de CPU (Intel N100, Atom C3000, Xeon-D) enrutan sin problemas 1 Gbps de tráfico incluso con el IDS activado. Para 2,5 y 10 Gbps recomendamos Xeon-D o una plataforma más potente.

¿Sustituye pfSense a Windows Server para DHCP y DNS?

Para DHCP, por lo general sí. Para DNS, pfSense es un excelente resolver, pero en entornos con Active Directory, el DNS interno debe ser gestionado por AD y pfSense debe actuar como forwarder para internet.

¿Con qué frecuencia se debe actualizar pfSense?

Los parches menores pueden instalarse mensualmente; las versiones mayores deben probarse en un entorno de test y actualizarse en una ventana de mantenimiento. Realice siempre una copia de seguridad de la configuración antes de actualizar.