La configuración de parámetros generales en pfSense es un paso crucial para establecer la identidad del firewall y definir cómo resolverá las consultas DNS dentro de la red. Ajustar correctamente el nombre del equipo (hostname), el dominio y los servidores DNS impacta directamente en la gestión y seguridad del entorno, además de optimizar la resolución de nombres y la conectividad a Internet.
Campos principales
En esta sección de configuración básica de pfSense, se encuentran varios campos importantes que deben ser entendidos para lograr un correcto funcionamiento del nodo de seguridad:
- Hostname: Este campo define el nombre único que identificará al dispositivo dentro de la red. Es usado en los logs, alertas y para la identificación en redes internas. Por ejemplo, ‘pfSense-slave’ indica que es un equipo secundario o de respaldo.
- Domain: Representa el dominio DNS local o público asociado al firewall, un ejemplo típico sería ‘home.arpa’ para entornos domésticos o un dominio personalizado para redes empresariales. Esto ayuda a resolver nombres sin necesidad de especificar el FQDN completo.
- Primary DNS Server: Dirección IP del servidor DNS principal que el firewall usará para resolver nombres. Aunque pfSense incluye un resolver DNS automático, indicar un servidor puede ser útil para políticas específicas de resolución o para usar servidores internos.
- Secondary DNS Server: Dirección IP del servidor DNS secundario, que actúa como respaldo si el primario no responde.
- Override DNS: Esta opción habilita que los servidores DNS asignados por DHCP o PPP en la interfaz WAN puedan sobreescribir manualmente los configurados. Es útil cuando se quiere aceptar el DNS de un ISP, pero puede también ocasionar problemas si se quiere forzar un DNS específico para seguridad.
Compatibilidad de versiones y modelos
Este tipo de configuración general es común en todas las versiones modernas de pfSense, típicamente desde la serie 2.3.x en adelante. Se aplica tanto a versiones Community Edition como las profesionales o personalizadas por fabricantes que usan pfSense.
En cuanto a modelos, esta configuración es pertinente para cualquier hardware que soporte pfSense: desde appliances dedicados de Netgate, pasando por implementaciones en hardware genérico x86, hasta entornos virtuales (VMware, Hyper-V, Proxmox, etc.).
Las limitaciones derivan principalmente de la versión del software en uso; versiones antiguas podrían tener un manejo diferente o interfaces no tan intuitivas, pero los conceptos fundamentales permanecen.
Escenarios de uso y recomendaciones
Asignar correctamente el hostname y dominio facilita la distinción entre múltiples dispositivos y permite un mejor monitoreo centralizado. Sobre todo en ambientes con alta disponibilidad (HA), donde es crítico identificar masters y slaves.
La configuración DNS debe ser evaluada según la política de seguridad y rendimiento. Utilizar servidores DNS internos permite mayor control y filtrado, mientras que dejar que el DNS sea sobreescrito por DHCP puede ser conveniente en redes dinámicas o domésticas.
Sin embargo, activar la opción Override DNS puede suponer riesgos de seguridad, especialmente si los DNS asignados por el ISP no son confiables o están manipulados, pues afectaría la resolución y podría permitir ataques de DNS spoofing.
Comandos de CLI útiles para diagnóstico
pfSense permite acceder a console y shell para verificar y modificar la configuración de red y DNS. Algunos comandos útiles incluyen:
hostname: Muestra o configura el nombre actual del sistema.cat /etc/resolv.conf: Permite revisar los servidores DNS utilizados en el sistema.ping [servidor_DNS]: Verifica accesibilidad y respuesta de un servidor DNS configurado.nslookup [dominio]odig [dominio]: Comandos para probar resolución DNS desde la CLI.pfctl -sr: Muestra las reglas de firewall activas para validar tráfico permitido.service dnsmasq restartoservice unbound restart: Reinicia los servicios DNS según configuración para aplicar cambios.
Buenas prácticas de configuración
- Establecer un hostname y dominio claros y estándar para facilitar la identificación y el soporte remoto.
- Utilizar servidores DNS confiables y preferiblemente internos para evitar vulnerabilidades externas.
- Evaluar cuidadosamente la opción Override DNS; desactivarla si se requiere control estricto sobre las consultas DNS.
- Realizar pruebas de resolución DNS tras cualquier cambio para asegurar la correcta funcionalidad.
- Documentar todas las configuraciones generales para referencias futuras y auditorías.
- Actualizar pfSense regularmente para contar con las últimas mejoras de seguridad y estabilidad del DNS resolver.