Seguridad perimetral con pfSense: tu muralla digital, paso a paso

¿Ya tienes pfSense instalado y funcionando? Perfecto, porque en este artículo no vamos a repetir el proceso de instalación (si lo necesitas, tienes la guía básica aquí). Hoy vamos a dar el siguiente paso: convertir pfSense en el guardián perimetral de tu red, separando zonas, controlando accesos y añadiendo capas de defensa que te permitan dormir tranquilo.

¿Qué es la seguridad perimetral y por qué importa?

Piensa en tu red como una casa: no basta con ponerle llave a la puerta principal (el servidor), necesitas una valla, cámaras y zonas separadas para invitados y familia. La seguridad perimetral consiste justo en eso: segmentar, vigilar y controlar los puntos de entrada y salida de tu red, minimizando el riesgo de que una brecha comprometa todo tu entorno.

En términos técnicos, la seguridad perimetral actúa como la primera línea de defensa entre tu red interna y el mundo exterior. Es el equivalente digital a las murallas medievales: define claramente dónde termina tu territorio y dónde empieza el salvaje oeste de Internet. Y como cualquier buena muralla, no solo debe ser sólida, sino que debe tener puertas controladas, guardias vigilantes y sistemas de alarma.

Los tres pilares de la seguridad perimetral

Una estrategia efectiva de seguridad perimetral se apoya en tres pilares fundamentales:

• Segmentación: Dividir tu red en zonas con diferentes niveles de confianza y requisitos de seguridad.
• Control de acceso: Definir quién puede entrar, salir y comunicarse entre zonas.
• Monitorización: Vigilar constantemente el tráfico para detectar comportamientos anómalos o amenazas.

pfSense te ofrece herramientas robustas para implementar estos tres pilares sin necesidad de hardware dedicado carísimo ni certificaciones CISSP. Vamos a ver cómo hacerlo paso a paso.

Redirección de puertos: abre solo lo necesario

En lugar de exponer máquinas completas a Internet (lo que puede ser peligroso si no sabes exactamente lo que haces), pfSense te permite redirigir solo los puertos que realmente necesitas hacia dentro de tu red. Por ejemplo, si tienes un servidor web o un servicio concreto, puedes abrir solo el puerto 80 (HTTP) o 443 (HTTPS) y apuntarlo al dispositivo adecuado, manteniendo el resto de la red protegida y oculta.

¿Cómo hacerlo?

• Ve a Firewall > NAT > Port Forward en pfSense.
• Añade una nueva regla para el puerto que quieras abrir.
• Indica la IP interna del dispositivo al que debe llegar ese tráfico.
• Guarda y aplica los cambios.

Este método es mucho más seguro que exponer una máquina entera en una DMZ, especialmente si no tienes experiencia gestionando servicios públicos.

Configuración avanzada de Port Forward

Pero vamos un paso más allá. Una redirección de puertos básica es solo el principio. Aquí tienes algunas configuraciones avanzadas que deberías considerar:

1. Port Knocking para servicios críticos

Si tienes servicios sensibles como SSH, puedes implementar port knocking: el puerto permanece cerrado hasta que recibe una secuencia específica de intentos de conexión a otros puertos. Esto añade una capa extra de seguridad mediante oscuridad.

En pfSense puedes configurarlo con el paquete fwknop (Firewall Knock Operator):

• Instala el paquete desde System > Package Manager
• Configura una clave secreta y la secuencia de puertos
• El firewall solo abrirá el puerto SSH temporalmente cuando detecte la secuencia correcta

2. Limitación de tasa (Rate Limiting)

Para protegerte contra ataques de fuerza bruta, configura limitación de conexiones en tus reglas de Port Forward:

• En la configuración de la regla, ve a Advanced Options
• Activa Limit concurrent connections y establece un máximo (por ejemplo, 10 conexiones simultáneas)
• Configura Max new connections / per second para evitar floods (por ejemplo, 3 conexiones/segundo)

3. Geo-blocking: bloquea países enteros

Si tu servicio solo debería ser accesible desde España, ¿por qué permitir conexiones desde Rusia o China? Con el paquete pfBlockerNG puedes:

• Bloquear rangos IP completos por país de origen
• Crear listas blancas de países permitidos
• Actualizar automáticamente las listas de IP geolocalizadas

Crea una red separada para dispositivos menos confiables

¿Tienes dispositivos de los que no te fías mucho (IoT, smart TVs, gadgets de marcas raras, etc.)? Lo ideal es ponerlos en una red aparte, aislada de tu red principal, pero que puedan acceder a Internet y resolver nombres de dominio (DNS).

Paso a paso: segmentación de red

1. Crea una nueva interfaz o VLAN
   • Ve a Interfaces > Assignments y añade una nueva interfaz física o VLAN.
   • Asígnale un nombre descriptivo, por ejemplo, «IOT» o «Invitados».
2. Configura el DHCP
   • Ve a Services > DHCP Server y habilita el servidor DHCP para la nueva red, para que los dispositivos reciban IP automáticamente.
3. Crea reglas de firewall para la red separada
   • Ve a Firewall > Rules y selecciona la interfaz de la nueva red.
   • Añade las siguientes reglas en este orden (¡el orden es fundamental!):

   Orden y descripción de las reglas:

   1. Permitir DNS:
      • Acción: Pass
      • Protocolo: UDP
      • Origen: la red menos confiable (por ejemplo, IOT net)
      • Destino: any
      • Puerto destino: 53
      • Descripción: Permitir consultas DNS
   2. Bloquear acceso a la red interna:
      • Acción: Block
      • Protocolo: any
      • Origen: la red menos confiable
      • Destino: 192.168.0.0/16
      • Descripción: Bloquear acceso a la red interna
   3. Permitir acceso a Internet:
      • Acción: Pass
      • Protocolo: any
      • Origen: la red menos confiable
      • Destino: any
      • Descripción: Permitir acceso a Internet

   Así, los dispositivos de esa red podrán navegar y actualizarse, pero no verán ni accederán a tus ordenadores personales ni servidores.

   Consejo: Si quieres ser aún más estricto, puedes crear un alias en pfSense que incluya todos los rangos privados (192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12) y usarlo en la regla de bloqueo.

Diseño de arquitectura: ¿cuántas VLANs necesitas?

La segmentación no tiene un tamaño único. Aquí tienes algunos escenarios típicos:

Micro-segmentación: el siguiente nivel

Si quieres ir aún más lejos, puedes implementar micro-segmentación: en lugar de separar solo por tipo de dispositivo, separas por función específica. Por ejemplo:

• VLAN 10: Cámaras de seguridad (solo pueden hablar con el NVR)
• VLAN 20: Impresoras (solo accesibles desde PCs de trabajo)
• VLAN 30: Asistentes de voz (sin acceso a nada excepto Internet)
• VLAN 40: Dispositivos médicos IoT (totalmente aislados)

Esto requiere más trabajo de configuración pero multiplica exponencialmente tu seguridad: si comprometen una cámara, no pueden saltar a las impresoras ni a los asistentes de voz.

IDS/IPS: detección y prevención de intrusiones

Para dar un salto más en seguridad, pfSense permite instalar paquetes como Snort o Suricata, sistemas IDS/IPS que monitorizan el tráfico en busca de patrones sospechosos y bloquean ataques conocidos:

• IDS (Intrusion Detection System): Detecta actividades anómalas o maliciosas.
• IPS (Intrusion Prevention System): Además de detectar, puede bloquear automáticamente amenazas.

La instalación y configuración es sencilla desde el gestor de paquetes de pfSense, y puedes elegir qué interfaces proteger y qué reglas aplicar según tus necesidades.

Snort vs Suricata: ¿cuál elegir?

Ambos son excelentes, pero tienen diferencias clave:

Mi recomendación: Si tienes un procesador de 4+ cores y suficiente RAM (4GB+), ve con Suricata. Es más moderno, mejor optimizado y tiene mejor soporte para tráfico cifrado.

Configuración básica de Suricata

Una vez instalado Suricata desde System > Package Manager, sigue estos pasos:

1. Ve a Services > Suricata > Global Settings
   • Habilita Keep Suricata Settings After Deinstall (por si alguna vez necesitas reinstalar)
   • Configura Live Rules Update para mantener las reglas actualizadas automáticamente
2. Configura las interfaces a monitorizar
   • Ve a Interfaces y añade tu WAN
   • Opcionalmente añade LAN si quieres detectar amenazas internas
   • Activa IPS mode (inline) para bloqueo automático
3. Descarga las reglas
   • Ve a Updates y descarga al menos Emerging Threats Open (gratuitas)
   • Si quieres más protección, regístrate en Snort.org para acceder a reglas Snort VRT (también gratuitas con registro)
4. Activa categorías de reglas
   • Ve a WAN Categories (o la interfaz que configuraste)
   • Activa categorías relevantes: malware, exploit, trojan, dos, scan
   • Cuidado: No actives todas las reglas de golpe, puede generar muchos falsos positivos
5. Ajusta las supresiones
   • Con el tiempo verás alertas repetitivas de tráfico legítimo
   • Ve a Suppress para silenciar reglas específicas que generen falsos positivos

Rendimiento y hardware necesario

IDS/IPS consume recursos. Aquí tienes una guía rápida:

• Conexión 100 Mbps: 2 cores, 2GB RAM (Snort o Suricata funcionan bien)
• Conexión 500 Mbps: 4 cores, 4GB RAM (recomendado Suricata)
• Conexión 1 Gbps: 6-8 cores, 8GB RAM (Suricata con optimización)
• Conexión 10 Gbps: Hardware dedicado o appliance comercial

Si tu pfSense se queda corto de potencia, puedes configurar Suricata para monitorizar solo el tráfico WAN en lugar de todas las VLANs internas.

VPN: acceso remoto seguro

Una muralla digital no está completa sin una puerta trasera segura para que tú puedas entrar cuando estés fuera de casa. pfSense soporta múltiples protocolos VPN:

OpenVPN: la opción versátil

OpenVPN es el estándar de facto para VPNs seguras y multiplataforma. pfSense incluye un asistente que te configura todo en minutos:

1. Ve a VPN > OpenVPN > Wizards
2. Selecciona Local User Access para usuarios individuales
3. Crea una Autoridad de Certificación (CA) interna
4. Genera certificados para los usuarios que necesiten acceso
5. Descarga el paquete de configuración del cliente

Ventajas: Compatible con Windows, Mac, Linux, iOS, Android. Muy seguro con encriptación AES-256.

Desventajas: Puede ser bloqueado por firewalls corporativos agresivos (usa el puerto 1194 UDP por defecto).

WireGuard: el nuevo estándar

WireGuard es el protocolo VPN moderno: más rápido, más simple, más seguro. pfSense lo soporta mediante el paquete oficial:

1. Instala WireGuard desde Package Manager
2. Ve a VPN > WireGuard
3. Crea un túnel con claves públicas/privadas
4. Configura los peers (usuarios o sitios remotos)

Ventajas: Rendimiento brutal (3-4x más rápido que OpenVPN), reconexión instantánea al cambiar de red, código auditado y minimalista.

Desventajas: Configuración manual más técnica, menos opciones de autenticación (basado en claves, no usuarios/contraseñas).

IPsec: para site-to-site

Si necesitas conectar dos ubicaciones completas (tu casa con la oficina, por ejemplo), IPsec es la mejor opción:

• Ve a VPN > IPsec > Tunnels
• Configura Phase 1 (autenticación) y Phase 2 (encriptación)
• Define las subredes que deben verse mutuamente

IPsec es el protocolo más complejo pero también el más robusto para conectar redes enteras de forma permanente.

DNS seguro y filtrado de contenido

Tu firewall también puede actuar como guardián de lo que se consulta en tu red:

pfBlockerNG: bloqueo de publicidad y malware a nivel DNS

pfBlockerNG es una navaja suiza para control de DNS y IP:

• Bloqueo de publicidad: Suscríbete a listas como EasyList o Steven Black’s hosts
• Bloqueo de malware: Listas de dominios conocidos por distribuir malware
• Control parental: Bloquea categorías completas (adulto, juego, redes sociales)
• Telemetría: Bloquea llamadas de telemetría de Windows, Apple, Google

Instalación:

1. Instala pfBlockerNG-devel desde Package Manager
2. Ve a Firewall > pfBlockerNG > DNSBL
3. Activa DNSBL y selecciona las listas que quieres (recomiendo empezar con Ads_Basic y Malicious)
4. Actualiza las listas y fuerza una recarga

Todos los dispositivos de tu red estarán protegidos sin instalar nada adicional.

DNS over TLS (DoT): privacidad mejorada

Por defecto, las consultas DNS viajan sin cifrar. pfSense puede configurarse para usar DNS over TLS, cifrando las consultas hacia resolvers externos:

1. Ve a Services > DNS Resolver
2. Activa DNS Query Forwarding
3. Añade servidores DoT como dns.quad9.net@853 o cloudflare-dns.com@853
4. Activa Use SSL/TLS for outgoing DNS Queries to Forwarding Servers

Ahora tu ISP no podrá espiar qué dominios consultas.

Monitorización y alertas

Una muralla es inútil si no tienes guardias vigilando. pfSense ofrece múltiples formas de monitorizar tu red:

Dashboard personalizado

El dashboard de pfSense es completamente customizable. Añade widgets útiles:

• Interfaces: Tráfico en tiempo real de cada interfaz
• Gateways: Estado de conectividad WAN
• System Information: Uso de CPU, RAM, temperatura
• Services Status: Verifica que todos los servicios estén activos
• Firewall Logs: Últimas conexiones bloqueadas
• Suricata Alerts: Amenazas detectadas recientemente

ntopng: análisis de tráfico profundo

El paquete ntopng te da visibilidad total del tráfico de tu red:

• Identifica qué dispositivos consumen más ancho de banda
• Detecta protocolos y aplicaciones (Netflix, YouTube, BitTorrent)
• Analiza patrones de tráfico históricos
• Detecta comportamientos anómalos (por ejemplo, una bombilla IoT que de repente genera tráfico SSH)

Alertas por email

Configura notificaciones para eventos críticos:

1. Ve a System > Advanced > Notifications
2. Configura tu servidor SMTP (puedes usar Gmail, SendGrid, etc.)
3. Activa notificaciones para:
   • Caída de gateway WAN
   • Detección de intrusión (Suricata)
   • Uso de disco crítico
   • Temperatura alta de CPU

Buenas prácticas y mantenimiento

• Actualiza pfSense y los paquetes de seguridad regularmente para evitar vulnerabilidades conocidas. pfSense publica actualizaciones de seguridad frecuentemente.
• Haz copias de seguridad de la configuración antes de hacer cambios importantes. Ve a Diagnostics > Backup & Restore y descarga un XML de tu configuración. Guárdalo en un lugar seguro fuera del firewall.
• Revisa los logs de vez en cuando: pfSense ofrece registros detallados para detectar intentos de acceso no autorizados o comportamientos anómalos. Dedica 10 minutos cada semana a revisar Status > System Logs > Firewall.
• Prueba tus backups: No basta con hacer copias de seguridad. Ocasionalmente, restaura una configuración antigua en un entorno de prueba para verificar que funciona.
• Documenta tus reglas: Usa el campo «Description» en cada regla de firewall. En 6 meses no recordarás por qué creaste esa regla específica que permite el puerto 8472 UDP.
• Implementa el principio de mínimo privilegio: Empieza bloqueando todo y ve abriendo solo lo necesario. Es más seguro que hacer lo contrario.
• Configura NTP: Asegúrate de que pfSense tenga la hora correcta (Services > NTP). Los logs con timestamps incorrectos son inútiles para correlacionar eventos.
• Monitoriza el espacio en disco: Los logs de Suricata pueden crecer rápidamente. Configura rotación de logs en Status > System Logs > Settings.

Checklist de seguridad trimestral

Cada 3 meses, dedica una hora a revisar:

• ☐ Actualizar pfSense a la última versión estable
• ☐ Actualizar todos los paquetes instalados
• ☐ Revisar reglas de firewall obsoletas o redundantes
• ☐ Verificar que las listas de pfBlockerNG se actualizan correctamente
• ☐ Comprobar alertas de Suricata de los últimos 30 días
• ☐ Revisar usuarios VPN activos (eliminar los que ya no necesitan acceso)
• ☐ Hacer backup de la configuración y verificar que se puede restaurar
• ☐ Revisar uso de ancho de banda por interfaz y dispositivo
• ☐ Verificar que las alertas por email funcionan (enviar test)
• ☐ Comprobar espacio en disco disponible

Escenarios comunes de troubleshooting

«Mis dispositivos IoT no pueden conectarse tras crear la VLAN»

Causa probable: No hay regla permitiendo DHCP en la interfaz IOT.

Solución: Añade una regla permitiendo UDP puerto 67 (DHCP server) y 68 (DHCP client) desde la red IOT hacia el firewall.

«Suricata bloquea mi conexión legítima»

Causa probable: Falso positivo de una regla demasiado agresiva.

Solución: Ve a Alerts, identifica la regla (SID) que está bloqueando, y añádela a Suppress List. Alternativamente, pasa esa categoría de reglas a modo «alert» en lugar de «block».

«La VPN conecta pero no puedo acceder a nada»

Causa probable: No hay regla de firewall permitiendo tráfico desde la interfaz OpenVPN hacia tu LAN.

Solución: Ve a Firewall > Rules > OpenVPN y añade una regla permitiendo el tráfico desde OpenVPN net hacia LAN net.

«pfBlockerNG bloquea sitios que necesito»

Causa probable: Lista demasiado agresiva o sitio legítimo en una blocklist.

Solución: Ve a pfBlockerNG > DNSBL > DNSBL Logs, encuentra el dominio bloqueado y añádelo a la whitelist. O ajusta qué listas tienes activas.

Recursos adicionales y documentación

pfSense tiene una comunidad enorme y documentación excelente:

• Documentación oficial: docs.netgate.com/pfsense
• Foro oficial: forum.netgate.com (en inglés pero muy activo)
• Reddit r/PFSENSE: Comunidad activa con casos de uso reales y troubleshooting
• Lawrence Systems (YouTube): Tutoriales en vídeo excelentes sobre pfSense
• Netgate Hangouts: Webinars gratuitos cada mes sobre temas específicos

Despedida

¿Listo para construir tu propia muralla digital? Recuerda, la seguridad perimetral es una de las mejores inversiones que puedes hacer para proteger tu red y tus datos, tanto en casa como en la oficina. pfSense te ofrece capacidades de nivel empresarial sin el precio empresarial, pero requiere tiempo y dedicación para configurarlo correctamente.

La seguridad no es un producto, es un proceso. No basta con configurar pfSense una vez y olvidarte. Dedica tiempo regularmente a revisar logs, actualizar reglas y mantenerte informado sobre nuevas amenazas. Con pfSense como guardián de tu perímetro y un poco de disciplina, puedes dormir tranquilo sabiendo que tu red está protegida como se merece.

¿Tienes dudas, quieres ver ejemplos de reglas o necesitas una mano con la segmentación de tu red? Déjalo en los comentarios o cuéntanos tu experiencia. Y si aún no has instalado pfSense, no olvides que tienes disponible nuestra guía básica paso a paso.

¡Nos leemos en el próximo artículo y, mientras tanto, que ningún susto digital cruce tu perímetro!

Preguntas Frecuentes

¿Qué es pfSense y por qué es el mejor firewall para homelab?

pfSense es un firewall/router open source basado en FreeBSD que transforma un PC común en una solución de seguridad perimetral enterprise. Ofrece firewall avanzado, VPN (IPsec, OpenVPN, WireGuard), QoS, balanceo de carga, IDS/IPS con Snort/Suricata, portal cautivo, proxy transparente y más. Es gratuito, con interfaz web profesional, extremadamente estable y usado en empresas reales. Para homelabs es la barrera definitiva entre tu red interna e internet, superior a routers domésticos en funcionalidad, transparencia y control total.

¿Qué hardware necesito para instalar pfSense en mi homelab?

Mínimo: CPU de 2 cores, 2GB RAM, SSD de 8GB, y dos NICs Ethernet (una WAN, una LAN). Recomendado para homelab: CPU Intel con AES-NI (para VPN rápida), 4GB+ RAM, SSD de 32GB, y NICs Intel Gigabit (mejor compatibilidad). Puedes reutilizar un PC viejo (ThinkCentre, OptiPlex) añadiendo tarjeta PCIe con más puertos Ethernet. Para VLANs avanzadas, usa switch managed + VLAN tagging. Consumo eléctrico: 10-25W, muy bajo 24/7.

¿pfSense es completamente gratis o hay versión de pago?

pfSense CE (Community Edition) es 100% gratis y open source, sin limitaciones funcionales. Incluye todas las features principales: firewall, VPN, routing, IDS/IPS, QoS, etc. pfSense Plus (antes pfSense+) es la versión comercial con features extra (ZFS boot, REST API, mejores updates) pero requiere hardware Netgate oficial o suscripción. Para homelabs, pfSense CE es más que suficiente y totalmente gratuito para siempre. Alternativa: OPNsense (fork de pfSense, también gratis).

¿Puedo usar pfSense para bloquear publicidad como Pi-hole?

Sí, instala el paquete pfBlockerNG (gratis) que hace DNS blocking similar a Pi-hole pero integrado en el firewall. Bloquea ads, trackers, malware y telemetría a nivel de red para todos los dispositivos sin configuración individual. pfBlockerNG es más potente: además de DNS, filtra por IP/geolocalización, integra listas de amenazas, y tiene visualización de estadísticas. Puedes combinar pfSense + pfBlockerNG para eliminar la necesidad de Pi-hole separado, simplificando tu stack de homelab.

¿Cómo configuro VPN en pfSense para acceso remoto al homelab?

pfSense soporta tres tipos: OpenVPN (más compatible, setup fácil con wizard), WireGuard (más rápido, moderno, recomendado 2025), e IPsec (para site-to-site). Para acceso remoto personal: usa WireGuard (paquete oficial). Configura servidor WireGuard en pfSense, genera configs para clientes (móvil, laptop), y accede a tu LAN completa como si estuvieras en casa. Con AES-NI en CPU, cifrado casi sin overhead. Alternativa: OpenVPN con certificados si necesitas compatibilidad legacy.

¿Puedo segmentar mi red en VLANs con pfSense?

Absolutamente, es una de sus mejores features. Crea VLANs para aislar: IoT (cámaras, smart home), invitados, servidores, laboratorio de pruebas, etc. Necesitas switch managed con soporte VLAN 802.1Q. En pfSense: defines VLANs, asignas interfaces, configuras firewall rules entre VLANs (permite/bloquea tráfico inter-VLAN), y opcionalmente DHCP por VLAN. Esto previene que dispositivos IoT comprometidos accedan a tu red principal, mejorando seguridad enormemente con zero-trust networking.

¿Necesito activar IDS/IPS (Snort/Suricata) en pfSense?

Para homelab serio, sí. Suricata (recomendado, más moderno) detecta y bloquea ataques en tiempo real: port scans, exploits conocidos, C2 malware, brute force, etc. Descarga reglas gratis (ET Open) o premium (Snort Talos). Consume CPU según tráfico (con 4GB RAM y CPU decente es manejable). Si solo usas homelab para aprender, puedes omitir. Si expones servicios a internet (web, VPN), IDS/IPS es altamente recomendado como capa extra de defensa. Revisa logs semanalmente para detectar anomalías.

¿pfSense o OPNsense para homelab en 2025?

Ambos excelentes, diferencias menores. pfSense: comunidad más grande, más documentación/tutoriales, estabilidad probada, plugins maduros. OPNsense: interfaz más moderna, updates más frecuentes, desarrollo más abierto, WireGuard integrado nativamente (en pfSense es paquete). Para principiantes, pfSense por la cantidad de guías disponibles. Para usuarios avanzados que valoran UI moderna, OPNsense. Funcionalmente son 95% equivalentes; la elección es preferencia personal. Ambos son 100% gratis y capaces para homelab profesional.