En pfSense, la configuración de reglas de firewall es fundamental para controlar el tráfico de red y garantizar un acceso seguro a servicios externos, como el acceso a Internet desde una red interna. Esta configuración permite especificar qué tipo de tráfico está permitido o denegado, abordando así problemas de conectividad o seguridad en la red. El objetivo principal es habilitar de forma controlada el acceso a Internet desde una red externa o interna, limitando los riesgos asociados con accesos no autorizados o tráfico malicioso.
Campos principales
Una regla de firewall en pfSense se compone de varios campos clave que definen su comportamiento. En el contexto de habilitar acceso a Internet, los campos que destacan son:
- Destination (Destino): En este campo se especifica la dirección IP o rango IP destino del tráfico. Puede definirse un destino específico o usar «any» para indicar cualquier destino. Esto controla hacia dónde va el paquete dentro de la red o fuera de ella.
- Destination Port Range (Rango de puertos destino): Este campo define el puerto o rango de puertos TCP/UDP de destino que la regla afectará. Puede usarse un puerto específico, rangos o el puerto «Internet» como alias para simplificar reglas comunes.
- Log: Opción para habilitar el registro del tráfico que coincida con la regla. Es útil para auditorías o para identificar patrones de tráfico, aunque puede consumir espacio local de logs rápidamente.
- Description (Descripción): Un campo texto donde se indica el propósito de la regla para facilitar su identificación y mantenimiento administrativo. Tiene un límite de 52 caracteres en pfSense.
- Tracking ID, Created, Updated: Información de auditoría interna que indica cuándo y quién creó o modificó la regla, útil para el seguimiento y control de cambios.
Compatibilidad de versiones y modelos
Estas configuraciones de reglas de firewall son estándar en pfSense desde versiones base como la 2.4 en adelante, incluyendo actualmente la versión 2.7.x. Se aplican a todas las implementaciones de pfSense, ya sea en hardware dedicado, máquinas virtuales o appliances certificados.
En cuanto a hardware, pfSense está diseñado para trabajar en una amplia gama de dispositivos, desde equipos modestos hasta appliances empresariales. La gestión y creación de reglas con estos campos no está limitada por el modelo, pero sí por el rendimiento: dispositivos con poca memoria o CPU podrían experimentar latencias en aplicaciones con reglas complejas o muy numerosas.
No existen limitaciones explícitas en cuanto a configuraciones de reglas simples, aunque el operador debe ser cuidadoso con reglas muy permisivas o con logging excesivo, que puedan impactar en la estabilidad o en la rapidez del firewall.
Escenarios de uso y recomendaciones
Una regla típica que habilita acceso a Internet desde una red externa implica definir un destino como «any» y permitir tráfico sobre puertos comúnmente usados para navegación web (como 80 y 443) o para servicios específicos. En el ejemplo, se utiliza un puerto personalizado «Internet», posiblemente un alias con varios puertos de uso común.
Este tipo de regla es esencial en escenarios donde los usuarios o dispositivos necesitan tener acceso hacia fuera, pero se quiere controlar y limitar el rango de puertos o servicios para minimizar riesgos, como propagación de malware o exfiltración de datos.
Es importante establecer descripciones claras para facilitar auditorías futuras y considerar el logging cuando se está solucionando problemas o se necesita monitoreo detallado, sin saturar la capacidad de almacenamiento local.
Un riesgo habitual es dejar reglas demasiado abiertas con destino «any» y sin restricción de puertos o sin control de estados, lo que puede exponer la red a ataques o tráfico no deseado.
Comandos de CLI útiles para diagnóstico
pfSense ofrece una CLI poderosa para diagnosticar reglas y tráfico de firewall. Algunos comandos útiles incluyen:
pfctl -sr: Muestra las reglas activas actualmente en el firewall.pfctl -sa: Muestra todas las configuraciones y estados configurados, incluyendo tablas y reglas.tcpdump -i: Permite capturar tráfico en interfaces específicas para puertos web.port 80 or port 443 pfctl -vv -s state: Lista con detalle los estados de conexión actualmente mantenidos por pf.pfctl -t: Si se utilizan tablas (alias), este comando muestra las direcciones actuales listadas.-T show
Buenas prácticas de configuración
- Usar alias para puertos y direcciones IP permite mantener reglas claras y facilitar cambios a futuro.
- Definir rangos de puerto lo más específicos posibles para minimizar exposición.
- Mantener descripciones claras y actualizadas en cada regla para facilitar auditorías internas.
- Evitar habilitar el registro masivo en producción para no saturar almacenamiento, usarlo sólo para diagnóstico.
- Probar y validar reglas en entornos controlados antes de aplicarlas en producción para evitar bloqueos accidentales.
- Actualizar pfSense regularmente para aprovechar mejoras de seguridad y rendimiento.