Reglas de firewall en pfSense: cómo funcionan y buenas prácticas

Las reglas de firewall son el corazón de pfSense, y también la fuente de la mayoría de problemas cuando algo "no conecta". Entender cómo las evalúa pfSense te ahorra horas de prueba y error. En esta guía ves los principios que hay que tener claros, un ejemplo práctico para aislar una red de invitados y las buenas prácticas para mantener las reglas ordenadas y seguras.

Cinco principios que lo explican casi todo

1. Las reglas se aplican en la interfaz por donde entra el tráfico

En pfSense las reglas se definen por interfaz (WAN, LAN, OPT…) y filtran el tráfico entrante a esa interfaz. Para controlar lo que los equipos de la LAN pueden hacer, las reglas van en la pestaña LAN, no en la WAN. Es el error más común de quien empieza.

2. Gana la primera regla que coincide

Las reglas se evalúan de arriba abajo y se aplica la primera que coincide; las siguientes se ignoran. Por eso las reglas de bloqueo específicas deben ir por encima de las reglas de permiso generales.

3. Todo lo que no se permite, se bloquea

Cada interfaz tiene un bloqueo implícito al final. La WAN no trae reglas de permiso, así que desde Internet no entra nada que no hayas permitido. La LAN trae por defecto una regla Default allow LAN to any (para IPv4 y otra para IPv6) y la anti-lockout rule, que garantiza que no pierdas el acceso a la interfaz web desde la LAN.

4. El firewall tiene estado (stateful)

Cuando una regla permite una conexión, pfSense registra su estado y deja pasar automáticamente las respuestas. No necesitas reglas para el tráfico de vuelta. Puedes ver las conexiones activas en Diagnostics → States.

5. Block y Reject no son lo mismo

Block descarta el paquete en silencio; Reject lo descarta y avisa al origen. En la WAN usa siempre Block, para no dar información a quien escanea. En redes internas, Reject hace que las aplicaciones fallen rápido en lugar de esperar un timeout.

Ejemplo práctico: aislar una red de invitados

Supón una interfaz INVITADOS (por ejemplo, una VLAN) con la red 192.168.30.0/24, y una LAN interna 192.168.1.0/24. Queremos que los invitados naveguen por Internet, pero que no lleguen a la LAN ni a la administración del firewall.

Paso 1: crear un alias con las redes privadas

En Firewall → Aliases crea un alias de tipo Network llamado RED_PRIVADA con 10.0.0.0/8, 172.16.0.0/12 y 192.168.0.0/16. Los alias hacen las reglas más legibles y fáciles de mantener.

Paso 2: las reglas, en este orden

En Firewall → Rules → INVITADOS:

• La regla 1 debe ir antes de la 2, porque el DNS lo resuelve el propio firewall.
• This Firewall incluye todas las direcciones del pfSense, de modo que los invitados no pueden abrir la interfaz web por ninguna de sus IP.
• La regla 4 solo deja pasar lo que no se bloqueó antes: es decir, Internet.

Si la red de invitados recibe direcciones por DHCP del propio pfSense, no necesitas una regla para ello: pfSense permite automáticamente el tráfico DHCP en las interfaces donde el servidor está activo.

Paso 3: aplicar y comprobar

Pulsa Apply Changes. Desde un equipo de invitados, comprueba que navegas pero no llegas a 192.168.1.1 ni a otros equipos de la LAN. Si un cambio no parece tener efecto, recuerda que las conexiones ya establecidas siguen vivas: puedes cerrarlas desde Diagnostics → States filtrando por la IP del equipo.

Reglas de la WAN: qué hacer y qué no

• Mantén activadas las opciones Block private networks y Block bogon networks en la configuración de la interfaz WAN (salvo que tu WAN esté detrás de otro router con IP privada; en ese caso desactiva solo la primera).
• Para publicar un servicio interno, crea un Port Forward en Firewall → NAT; pfSense puede crear automáticamente la regla de firewall asociada.
• Nunca abras la interfaz web ni SSH a Internet. Para administrar en remoto, usa una VPN.
• Si debes abrir un puerto, limita el origen a las IP que lo necesiten, o usa un alias con listas de países mediante pfBlockerNG.

Buenas prácticas

• Describe cada regla con un texto claro: dentro de un año no recordarás por qué existe.
• Usa alias para servidores, redes y grupos de puertos en lugar de IP sueltas.
• Activa el log solo en las reglas que necesites auditar (por ejemplo, los bloqueos importantes), y revísalo en Status → System Logs → Firewall.
• Revisa periódicamente reglas que ya no se usan: los contadores de cada regla ayudan a detectarlas.
• Guarda un respaldo (Diagnostics → Backup & Restore) antes de cambios grandes.
• Usa las reglas flotantes (Floating) solo para casos especiales, como colas de QoS o reglas que afecten a varias interfaces: su lógica es distinta y complican el diagnóstico.

Preguntas frecuentes

¿Por qué no funciona mi regla de bloqueo?

Casi siempre por una de tres razones: está en la interfaz equivocada (recuerda: donde entra el tráfico), hay una regla de permiso más arriba que coincide antes, o la conexión ya estaba establecida antes de crear la regla.

¿Puedo bloquear redes sociales con reglas de firewall?

Solo de forma limitada, porque estos servicios usan miles de IP que cambian. Es más eficaz filtrar por DNS (por ejemplo, con pfBlockerNG) o usar un firewall con control de aplicaciones como FortiGate.

Domina pfSense de verdad

Reglas, NAT, VLANs, multi-WAN, VPN y QoS con laboratorios paso a paso: todo eso está en el curso de firewall pfSense desde cero a avanzado. ¿Aún decides plataforma? Lee nuestra comparativa pfSense vs FortiGate.