Introducción actualizada a pfSense CE y pfSense Plus, sus funciones y arquitectura.
pfSense es una plataforma de firewall, routing y servicios de red basada en FreeBSD. Puede ejecutarse sobre hardware dedicado o como máquina virtual y sirve tanto para un laboratorio doméstico como para un perímetro empresarial con varias conexiones WAN, VLAN, VPN, alta disponibilidad y políticas complejas de filtrado.
La forma más útil de entender pfSense no es pensar en él como “un firewall con interfaz web”, sino como un sistema operativo especializado en red. Su núcleo utiliza tecnologías de FreeBSD y el filtro de paquetes PF, mientras que la interfaz web, los servicios integrados y el sistema de paquetes convierten ese conjunto en una plataforma administrable.
La propia documentación de Netgate recuerda el origen del nombre: uno de los lemas tempranos del proyecto era “making sense of PF”, es decir, hacer más accesible y manejable la potencia del filtro PF mediante una plataforma completa de firewall, router y VPN.
Desde 2021 existen dos líneas claramente diferenciadas:
No conviene describir Plus simplemente como “la versión de pago de CE”. Netgate lo presenta como un producto separado, con una cadencia de actualizaciones más frecuente y capacidades que no siempre aparecen en Community Edition.
A fecha de esta revisión:
Ambas ramas actuales utilizan una base FreeBSD 16-CURRENT específica de Netgate, pero no debemos asumir que tendrán siempre exactamente las mismas funciones o el mismo calendario.
Fuentes oficiales: versiones de pfSense y qué es pfSense Plus.
Las funciones más habituales son:
El gran valor de pfSense está en reunir estas funciones dentro de una interfaz coherente, sin ocultar completamente la lógica de red al administrador.
pfSense utiliza un firewall stateful. Esto significa que no analiza cada paquete como si fuera independiente: mantiene una tabla de estados y conoce las conexiones activas.
Las reglas pueden filtrar tráfico por interfaz, protocolo, dirección de origen y destino, puertos, aliases, horarios y otros criterios. En condiciones normales las reglas se evalúan en la interfaz por la que entra el tráfico al firewall.
Los aliases son especialmente útiles porque permiten asignar nombres lógicos a conjuntos de IP, redes o puertos. En vez de repetir veinte direcciones en múltiples reglas podemos mantener un alias y reutilizarlo.
Una regla bien escrita debe responder a una necesidad concreta. Crear reglas “permitir todo y después vemos” facilita el laboratorio, pero es una mala base para una red que pretende estar segmentada.
pfSense soporta NAT de salida, port forwarding, 1:1 NAT y otras variaciones de traducción de direcciones.
NAT no es un sustituto del firewall. Es posible traducir una dirección y aun así tener una política insegura, o no usar NAT y mantener una red correctamente protegida mediante reglas y routing.
En IPv6 la filosofía cambia todavía más: normalmente podemos enrutar prefijos reales sin necesidad de NAT tradicional y depender del firewall para controlar qué tráfico está permitido.
Una de las funciones más útiles de pfSense es actuar como router/firewall entre VLAN.
Podemos separar, por ejemplo:
Cada segmento puede tener políticas distintas. Un equipo IoT puede acceder a Internet sin tener permiso para iniciar conexiones hacia la red de administración. Los invitados pueden navegar sin ver equipos internos. Los servidores pueden aceptar únicamente los puertos necesarios.
La VLAN no ofrece seguridad por sí sola: la seguridad aparece cuando el routing entre segmentos pasa por un punto donde existen reglas bien diseñadas.
Las versiones actuales de pfSense incorporan Kea DHCP como backend moderno para DHCPv4 y DHCPv6.
La transición es importante porque el antiguo ISC DHCP está deprecado y será eliminado progresivamente. Kea permite, entre otras cosas, registro dinámico de nombres DHCP en el DNS Resolver y alta disponibilidad en modo hot standby.
En un par HA, los nodos pueden compartir información de leases a través de la interfaz de sincronización y el nodo secundario puede asumir el servicio si el primario deja de responder.
pfSense incluye dos enfoques de DNS:
En muchos entornos Unbound es la opción natural porque permite resolución recursiva, DNSSEC, overrides locales e integración con registros DHCP.
En configuraciones Multi-WAN debemos pensar cuidadosamente cómo saldrá el tráfico DNS: una configuración que solo conozca servidores alcanzables por una WAN puede hacer que una caída de ese proveedor parezca una caída total de Internet.
pfSense ofrece varias tecnologías de VPN, cada una con características diferentes.
Es una opción clásica para túneles site-to-site, interoperabilidad con firewalls empresariales y determinados escenarios de acceso remoto.
Continúa siendo muy flexible para acceso remoto y site-to-site. Puede trabajar con certificados, usuarios y diferentes métodos de autenticación.
En las versiones actuales, WireGuard se instala mediante el Package Manager. Netgate lo describe como un protocolo Layer 3 sencillo y rápido que opera en kernel.
Su simplicidad tiene ventajas de rendimiento y configuración, pero también implica que no incorpora de forma nativa muchas de las funciones de autenticación y gestión de usuarios que encontramos alrededor de OpenVPN.
Documentación oficial: WireGuard en pfSense.
pfSense puede administrar varias conexiones a Internet y utilizar Gateway Groups para establecer failover o diferentes políticas de salida.
Por ejemplo, podemos definir:
Sin embargo, Multi-WAN no consiste solo en añadir una segunda interfaz. Debemos revisar DNS, reglas LAN, gateway groups, servicios iniciados desde el propio firewall, VPN, rutas y comportamiento de IPv6.
Netgate resume los requisitos en su documentación de Multi-WAN.
Un diseño HA de pfSense combina varias tecnologías:
Por eso no es del todo correcto hablar simplemente de “un clúster CARP”. CARP resuelve la redundancia de direcciones, pero la alta disponibilidad completa depende de más piezas.
El modelo habitual es activo/pasivo: un firewall atiende normalmente el tráfico y el segundo permanece preparado para asumir las IP virtuales y los estados si falla el principal.
Más información: High Availability en pfSense.
Una de las fortalezas de pfSense es su Package Manager. En lugar de incorporar todas las herramientas posibles en la instalación base, muchas funciones se añaden cuando realmente las necesitamos.
Entre los paquetes conocidos están:
Netgate advierte que instalar paquetes desde repositorios externos no oficiales puede romper upgrades o incluso dejar un sistema sin arrancar. En un firewall perimetral, añadir software sin necesidad también aumenta superficie de ataque.
pfSense puede ejecutar IDS/IPS mediante paquetes como Snort o Suricata.
Estas herramientas comparan tráfico con firmas y reglas y pueden alertar o bloquear determinados patrones. Son potentes, pero requieren recursos y administración: un conjunto de reglas demasiado agresivo puede generar falsos positivos o reducir el rendimiento.
IDS/IPS no sustituye una buena política de firewall, actualizaciones, segmentación ni hardening de los servicios internos.
El Captive Portal permite presentar una página de autenticación o aceptación antes de dar acceso a una red. Es útil en Wi-Fi de invitados, hoteles, centros educativos y otros entornos controlados.
No debemos confundir un portal cautivo con cifrado Wi-Fi. La seguridad radioeléctrica y la política de acceso son capas distintas.
pfSense puede priorizar, limitar o clasificar tráfico mediante colas y limiters.
Esto resulta útil para:
QoS no crea ancho de banda: redistribuye un recurso limitado. Una política mal dimensionada puede incluso empeorar el rendimiento.
pfSense funciona correctamente en ambos modelos.
Tiene la ventaja de aislar el perímetro del resto de la plataforma de virtualización. Si el hipervisor se reinicia, el router/firewall no desaparece con él.
Es excelente para laboratorios y también puede utilizarse en producción con un buen diseño. Proxmox VE, VMware y otros hipervisores permiten presentar NIC virtuales o realizar passthrough de interfaces físicas.
En producción debemos analizar:
Para laboratorios tenemos también la guía histórica Instalación paso a paso de pfSense 2.6.
Para hardware genérico, la documentación actual establece como mínimos:
Estos valores son mínimos técnicos, no una recomendación universal.
El dimensionamiento real depende de:
Netgate recomienda especialmente NIC Intel en sistemas construidos por el usuario por la calidad de sus drivers en FreeBSD. También desaconseja interfaces Ethernet USB debido a fiabilidad y rendimiento.
Las versiones actuales se instalan mediante el Netgate Installer.
La imagen del instalador no contiene todos los paquetes de pfSense: durante la instalación obtiene por Internet los componentes correspondientes. Esto permite seleccionar una versión disponible y mantener un único medio de instalación.
El instalador es gratuito, pero Netgate lo distribuye mediante una cuenta de Netgate Store. Para equipos de terceros, un sistema sin elegibilidad para Plus puede instalar Community Edition.
Hay imágenes AMD64 para USB e ISO y una variante AARCH64 destinada a determinados dispositivos ARM de Netgate.
Documentación: Netgate Installer.
El artículo que publicamos en 2023 incluía fotografías de varios appliances Netgate de aquella época. Las conservamos porque forman parte del material original y ayudan a visualizar que pfSense también se distribuye en equipos específicamente diseñados para firewall y routing.
Importante: estas imágenes son una referencia histórica del catálogo de entonces; para conocer los equipos que Netgate vende actualmente hay que consultar su catálogo vigente.
El catálogo actual de appliances puede consultarse en Netgate Appliances.
La mayor parte de la administración diaria se realiza desde WebConfigurator. La apariencia ha evolucionado entre versiones, pero la estructura por menús de sistema, interfaces, firewall, servicios, VPN y diagnóstico sigue siendo reconocible.
Podemos instalar el mejor firewall y seguir teniendo una red insegura si no existe una arquitectura clara.
Antes de definir reglas debemos conocer:
La filosofía recomendable es permitir explícitamente lo necesario y mantener segmentación entre zonas con diferentes niveles de confianza.
Si estás empezando desde cero, consulta nuestra Guía de redes informáticas desde cero.
Una configuración de pfSense puede representar horas o años de trabajo: reglas, objetos, VPN, certificados, usuarios, servicios y paquetes.
Debemos mantener copias de config.xml fuera del propio firewall. Antes de upgrades importantes o cambios de red conviene generar una copia adicional y comprobar que sabemos restaurarla.
En Plus, las instalaciones sobre ZFS disponen además de Boot Environments para facilitar rollback de actualizaciones, pero un boot environment local tampoco sustituye un backup externo.
Para laboratorios y usuarios que quieren trabajar con el proyecto abierto, pfSense CE 2.9.0 es la referencia actual.
Para appliances Netgate, despliegues con soporte comercial o funciones exclusivas de Plus, la referencia actual es pfSense Plus 26.07.
La elección debe considerar no solo precio, sino soporte, hardware, frecuencia de actualizaciones, funciones específicas y modelo operativo.
Esta introducción es el punto de entrada a nuestra serie. En los siguientes artículos tratamos instalación, interfaces, VLAN, NAT, reglas, VPN, DHCP/DNS, paquetes, Multi-WAN, alta disponibilidad y otros temas.
Guía completa de PHP 8.5: fundamentos, instalación, Composer, PSR, Laravel, Symfony, APIs, seguridad, rendimiento y…
Guía actualizada para instalar y diagnosticar Oracle VirtualBox Guest Additions 7.2.20 en GNU/Linux: headers, módulos,…
Guía de introducción a Kali Linux 2026.2: historia, rolling release, usos legítimos, herramientas, metapaquetes, VMs,…
Guía práctica para elegir herramientas de automatización de pruebas: unitarias, integración, API, contratos, Selenium, Playwright,…
Roadmap completo para aprender redes desde cero y prepararse como sysadmin: Ethernet, IPv4/IPv6, subnetting, VLAN,…
Historia y arquitectura del sistema de reservas de United Airlines diseñado por Evelyn Berezin, diferenciándolo…