Cómo configurar failover de enlaces en pfSense paso a paso

Por qué tu red necesita failover y redundancia de internet

Cuando el único proveedor de internet de la oficina o del homelab se cae, la rutina diaria se detiene por completo. Para evitar este tipo de contratiempos, la ingeniería de redes utiliza el concepto de failover, que en la práctica significa la capacidad de un sistema para alternar automáticamente a una conexión secundaria cuando la principal falla. En entornos corporativos modernos, depender de una sola fibra óptica es un riesgo inaceptable que puede paralizar ventas, atención al cliente y sistemas internos. Es precisamente para resolver este desafío que entra en juego pfSense, un sistema operativo de firewall de código abierto sumamente robusto que se ejecuta en hardware dedicado y gestiona múltiples enlaces de internet con facilidad.

Más allá del failover puro —donde el segundo internet solo entra en acción cuando el primero muere—, también puedes configurar el balanceo de carga, distribuyendo el tráfico de navegación entre dos o más proveedoras simultáneamente. Esto maximiza el aprovechamiento del ancho de banda contratado y evita que los usuarios se queden limitados a un solo canal estrecho. Para quienes administran servidores locales, mantener esta resiliencia es tan fundamental como saber cómo configurar el firewall UFW en Linux paso a paso para blindar la infraestructura contra accesos no deseados. A continuación, exploraremos los conceptos fundamentales detrás de las pasarelas en pfSense y prepararemos el terreno para la configuración práctica.

Entendiendo pasarelas, grupos y monitores de enlaces

Antes de hacer clic en cualquier botón dentro de la interfaz web de pfSense, necesitamos dominar los conceptos que hacen posible esta magia de enrutamiento. Una pasarela o gateway es la dirección IP del router de tu proveedor de internet, es decir, la puerta de salida hacia el mundo externo. Cuando tienes dos enlaces, digamos una fibra de la operadora A y un respaldo de la operadora B, tendrás dos pasarelas distintas registradas en el sistema operativo. pfSense monitorea estas pasarelas activamente enviando paquetes de prueba, conocidos como pings o ICMP echo, hacia direcciones confiables en internet como el DNS de Google (8.8.8.8) o Cloudflare (1.1.1.1).

Si la latencia sube demasiado o la pérdida de paquetes supera un umbral tolerable, pfSense concluye que ese internet está inestable y descarta la pasarela correspondiente. Para agrupar estos comportamientos, creamos los Gateway Groups o grupos de pasarelas. En ellos defines reglas de prioridad, como colocar el Enlace A en el Tier 1 (principal) y el Enlace B en el Tier 2 (respaldo), o poner ambos en Tier 1 con pesos iguales para repartir la carga. Esta flexibilidad se asemeja mucho a la lógica que aplicamos al configurar el balanceo de carga en Nginx para APIs para distribuir el tráfico entre diferentes servidores backend y prevenir puntos únicos de fallo.

Registrando y monitoreando las interfaces WAN en pfSense

El primer paso práctico en el panel de pfSense es verificar que tus interfaces de red físicas estén mapeadas correctamente. Supongamos que tu interfaz WAN principal es em0 y la conexión secundaria está conectada a em1, etiquetada en el sistema como OPT1 o WAN2. Ve a System, luego a Routing y haz clic en la pestaña Gateways. Allí verás las pasarelas creadas automáticamente por el asistente de instalación o DHCP. Haz clic para editar tu pasarela principal y define una IP de monitoreo específica, como 8.8.8.8, para que el sistema sepa exactamente a quién preguntar si el internet sigue activo.

Haz lo mismo para tu segundo enlace, asignando una IP de monitoreo confiable como 1.1.1.1. Evita usar la propia IP del router del proveedor como objetivo de monitoreo; si el módem se bloquea internamente mientras su puerto LAN sigue respondiendo, pfSense asumirá que el internet está perfecto mientras tus usuarios siguen sin conexión. Esta atención a los detalles es tan crítica como la validación de hardware que realizamos al probar capacitores SMD en la placa con multímetro, donde una lectura incorrecta puede comprometer el diagnóstico de todo el circuito.

Creando el grupo de failover y configurando las reglas

Con las pasarelas debidamente registradas y monitoreadas, dirígete a la pestaña Gateway Groups dentro de Routing y haz clic en Add. Dale un nombre descriptivo al grupo, como Failover_Group. En la tabla que aparece, selecciona tu pasarela principal y asígnale Tier 1, indicando que es la ruta preferida. Luego, selecciona tu pasarela secundaria y asígnale Tier 2, indicando que solo debe asumir el tráfico si falla el Tier 1. En el campo Trigger Level, selecciona Packet Loss or High Latency, asegurando que el sistema no espere un apagón total para realizar el cambio; cualquier fallo severo activará el enlace de respaldo.

Ahora debemos indicarle al firewall que el tráfico de la red interna debe utilizar este grupo recién creado. Ve a Firewall, Rules y selecciona la pestaña LAN. Edita la regla predeterminada que permite el tráfico saliente (que generalmente apunta a * en el campo Gateway) y haz clic en Advanced Options. Desplázate hacia abajo hasta encontrar la opción Gateway y selecciona tu Failover_Group. Guarda y aplica los cambios. A partir de este preciso instante, todo el tráfico de navegación de tus equipos internos será gestionado por el sistema inteligente de redundancia de pfSense.

Validando el failover y pruebas prácticas en entornos reales

Una configuración guardada no significa un sistema probado. Para garantizar que todo funcione a la perfección durante una emergencia real, debes simular la caída del enlace principal. Abre una terminal en tu computadora y ejecuta un comando de ping continuo hacia una dirección externa, como ping 8.8.8.8. Luego, ve a tu rack de servidores y simplemente desconecta el cable de red de tu internet principal (el enlace configurado en el Tier 1).

Observa la pantalla de tu terminal. El ping debe mostrar una breve falla de dos o tres paquetes mientras pfSense detecta la pérdida de respuesta del monitor y realiza la conmutación hacia el enlace secundario (Tier 2). Una vez redirigido el tráfico, el ping volverá a responder con normalidad a través de la ruta de respaldo. Cuando vuelvas a conectar el cable de la operadora principal, pfSense esperará unos segundos de estabilidad y regresará el tráfico a ella de forma totalmente transparente para los usuarios. Esta resiliencia operativa garantiza que tu infraestructura mantenga la estabilidad ante fallos imprevisibles de los proveedores de telecomunicaciones.

Consideraciones finales

Implementar failover de enlaces en pfSense es una de las medidas más económicas y inteligentes para elevar el nivel de confiabilidad de cualquier infraestructura de red, ya sea en una pequeña empresa o en un homelab avanzado. Al eliminar el punto único de fallo en la conexión a internet, proteges tus operaciones contra caídas repentinas de señal y garantizas la continuidad del trabajo sin interrupciones. Con las pasarelas, los grupos de prioridad y el monitoreo activo configurados correctamente, tu red adquiere la autonomía y robustez necesarias para lidiar con la inestabilidad de las proveedoras de internet.

Recuerda realizar mantenimientos preventivos periódicos y probar la integridad de los cables y módems para asegurar que tu enlace de respaldo esté siempre listo para asumir el control cuando sea necesario. Invertir tiempo en una configuración adecuada de enrutamiento redundante evita dolores de cabeza futuros y consolida una base sólida para la expansión de tus servicios tecnológicos.