Como configurar Dual WAN no pfSense com Failover e Load Balancing

Por que usar múltiplos links de internet na sua empresa

Toda operação corporativa moderna depende de uma conexão com a internet contínua e estável. Quando o único link da empresa cai, o impacto financeiro costuma ser imediato, paralisando sistemas de atendimento, vendas e comunicação interna. Para mitigar esse risco, a implementação de uma arquitetura Dual WAN — que consiste em conectar dois ou mais provedores de internet em um único roteador de borda — tornou-se padrão em ambientes que exigem alta disponibilidade. Antes de mergulharmos na configuração prática, é útil entender como essa redundância se assemelha a ter duas rotas diferentes para o trabalho, onde, se a principal estiver congestionada ou interditada, o tráfego desvia automaticamente pela secundária.

No ecossistema de redes de código aberto, o pfSense destaca-se como uma das plataformas mais robustas para gerenciar essa complexidade sem exigir licenças de alto custo. Ele permite não apenas o failover (quando o sistema assume a conexão reserva apenas na queda da principal), mas também o load balancing (divisão inteligente do tráfego entre os links disponíveis). Para entender melhor a saúde da sua conexão antes de mexer na borda, vale a pena conferir o guia sobre como diagnosticar perda de pacotes usando mtr para isolar problemas pontuais do provedor. O segredo para uma transição bem-sucedida reside na criação de gateways lógicos e na monitoração constante da latência e do descarte de pacotes em cada interface.

Configurando múltiplos gateways e monitoramento de pacotes

O primeiro passo prático no painel administrativo do pfSense é garantir que ambas as conexões de internet (por exemplo, a fibra óptica principal e o link de rádio ou cabo reserva) estejam fisicamente conectadas às placas de rede designadas como WAN1 e WAN2. Cada uma delas receberá um endereço IP, seja por DHCP, IP estático ou PPPoE. O ponto crítico aqui é a configuração do monitoramento de gateway, que instrui o firewall a enviar picos de teste (ICMP echo requests) para um endereço IP confiável na internet, como o DNS público do Google ou da Cloudflare, medindo ativamente a integridade física e lógica daquele canal de dados específico.

Quando o pfSense detecta um aumento expressivo na perda de pacotes ou latência inaceitável em uma das interfaces, ele marca aquele gateway como degradado ou inativo. Essa verificação constante previne o fenômeno conhecido como 'black hole', onde o provedor perde o acesso à internet mas mantém a interface física ativa, iludindo o roteador comum. Para quem gerencia ambientes complexos, combinar essa redundância de WAN com a agregação interna de switches através do guia de como configurar LACP em switches para dobrar a velocidade garante que o gargalo nunca esteja na rede interna da empresa. Ajustar os thresholds de perda de pacotes e tempo limite (latency and packet loss thresholds) evita falsos positivos durante oscilações rápidas da operadora.

Criando grupos de balanceamento de carga e failover

Com os gateways devidamente configurados e monitorados, o próximo passo é uni-los em um 'Gateway Group' (Grupo de Gateways). É nessa seção que definimos a estratégia de distribuição. Podemos criar um grupo voltado estritamente para failover, colocando o link principal como 'Tier 1' e o link reserva como 'Tier 2', indicando ao sistema que o segundo só deve ser acionado caso o primeiro falhe completamente ou atinja o limite crítico de perda de pacotes definido no monitoramento. Se a preferência for por load balancing, ambos os gateways são alocados no mesmo Tier, permitindo que o tráfego seja distribuído com base em pesos proporcionais à capacidade de cada banda.

Na prática, isso significa que se você possui um link de 300 Megabits e outro de 100 Megabits, é possível configurar os pesos para que o primeiro receba três vezes mais conexões simultâneas do que o segundo. Essa distribuição inteligente evita que a conexão menor sature enquanto a maior permanece ociosa. Contudo, vale ressaltar que o balanceamento baseado em sessões (state-based load balancing) pode gerar problemas em sistemas bancários ou plataformas que exigem o mesmo endereço IP de origem durante toda a navegação. Para contornar isso, o pfSense gerencia tabelas de estado (sticky connections) que mantêm o tráfego de um mesmo usuário preso ao mesmo gateway durante a sessão ativa, equilibrando a carga global sem quebrar aplicações sensíveis a mudanças repentinas de IP.

Aplicando regras de firewall baseadas em rotas específicas

A inteligência do pfSense brilha quando aplicamos regras granulares na aba 'Firewall: Rules', especificamente na interface LAN. Por padrão, o tráfego interno da rede usará o grupo de gateways padrão que definimos. No entanto, cenários corporativos exigem exceções estratégicas. Por exemplo, podemos criar uma regra direcionando todo o tráfego de servidores de CFTV ou VoIP para saírem exclusivamente pelo link de fibra mais estável, enquanto os computadores do setor administrativo utilizam o grupo de load balancing. Para garantir que essas políticas personalizadas não sejam burladas por falhas locais de DNS, assegure-se de que os servidores DNS primário e secundário estejam apontados corretamente para IPs externos acessíveis por ambos os links.

Outro cuidado essencial ao implementar políticas de roteamento baseadas em regras é validar o comportamento do tráfego quando um dos links cai. Se uma regra força o tráfego a sair obrigatoriamente pela WAN1 e a WAN1 cai, a conexão daquele usuário será interrompida a menos que habilitemos opções de fallback automático na própria regra avançada do firewall. Para administradores que buscam auditar o desempenho de rede após a aplicação dessas regras, ferramentas adicionais de teste de estresse ajudam a mapear o comportamento sob carga, complementando o monitoramento nativo. A documentação rigorosa de cada alteração garante que qualquer equipe de suporte consiga reverter ou ajustar rapidamente o comportamento da borda em momentos de manutenção imprevista. Para aprofundar esses conceitos na prática em produção, confira também nossa análise técnica sobre Como testar o fusível térmico de transformadores com multímetro.

Validação, testes de estresse e considerações finais

Com toda a topologia de Dual WAN configurada, o momento mais crítico é a validação em ambiente controlado. Antes de liberar o sistema para o uso produtivo de toda a empresa, simule quedas físicas desconectando fisicamente o cabo de rede da WAN principal. Observe o tempo de reação do pfSense, o comportamento do painel de monitoramento de gateways e se as sessões ativas dos usuários migram de forma transparente para o link reserva. Monitore também o retorno automático do tráfego para o link principal assim que a conexão primária for restabelecida, evitando que a empresa continue consumindo banda cara ou limitada do link de backup desnecessariamente.

A implementação bem-sucedida de redundância e balanceamento de carga no pfSense transforma uma infraestrutura vulnerável em um ambiente corporativo resiliente e preparado para imprevistos. O segredo reside na paciência durante a etapa de ajuste fino dos parâmetros de monitoramento e na clareza das regras de roteamento aplicadas. Ao dominar esses conceitos, você garante que quedas de provedor deixem de ser crises operacionais e passem a ser apenas eventos transparentes para a rotina do negócio. Mantenha os firmwares atualizados, faça backups regulares das configurações e documente sua arquitetura de rede para assegurar longevidade e facilidade de manutenção a longo prazo.