Como configurar failover de links no pfSense passo a passo

Por que sua rede precisa de failover e redundância de internet

Quando a única operadora de internet do escritório ou do homelab cai, a rotina para bruscamente. Para evitar esse tipo de transtorno, a engenharia de redes utiliza o conceito de failover, que na prática significa a capacidade de um sistema alternar automaticamente para uma conexão secundária quando a principal sai do ar. Em ambientes corporativos modernos, depender de uma única fibra óptica é um risco inaceitável que pode paralisar vendas, atendimento e sistemas internos. É justamente para resolver esse problema que entra em cena o pfSense, um sistema operacional de firewall de código aberto extremamente robusto que roda em hardware dedicado e gerencia múltiplos links de internet com facilidade.

Além do failover puro, onde a segunda internet só acorda quando a primeira morre, você também pode configurar o balanceamento de carga, distribuindo o tráfego de navegação entre duas ou mais operadoras simultaneamente. Isso maximiza o aproveitamento da largura de banda contratada e evita que os colaboradores fiquem espremidos em um único canal estreito. Para quem gerencia servidores locais, manter essa resistência é tão fundamental quanto configurar o firewall UFW no Linux para blindar a infraestrutura contra acessos indesejados. A seguir, vamos entender os conceitos fundamentais por trás dos gateways no pfSense e preparar o terreno para a configuração prática.

Entendendo gateways, grupos e monitores de link

Antes de clicar em qualquer botão na interface web do pfSense, precisamos dominar os conceitos que fazem a mágica acontecer. Um gateway é o endereço IP do roteador da sua operadora de internet, ou seja, a porta de saída para o mundo externo. Quando você possui dois links, digamos um cabo de fibra da operadora A e um link de rádio ou cabo da operadora B, você terá dois gateways distintos cadastrados no sistema operacional. O pfSense monitora esses gateways ativamente enviando pacotes de teste, conhecidos como ICMP echo ou pings, para endereços confiáveis na internet, como o DNS do Google (8.8.8.8) ou do Cloudflare (1.1.1.1).

Se a latência subir demais ou a perda de pacotes ultrapassar um limite tolerável, o pfSense conclui que aquela internet está instável e derruba o gateway correspondente. Para agrupar esses comportamentos, criamos os Gateway Groups ou grupos de gateways. Neles, você define regras de prioridade, como colocar o Link A como Tier 1 (principal) e o Link B como Tier 2 (reserva), ou colocar ambos no Tier 1 com pesos iguais para dividir a carga igualmente. Essa flexibilidade lembra muito a lógica que aplicamos ao configurar o balanceamento de carga no Nginx para APIs, onde o tráfego é distribuído de forma inteligente entre diferentes servidores de aplicação para evitar pontos únicos de falha.

Cadastrando e monitorando as interfaces WAN no pfSense

O primeiro passo prático no painel do pfSense é garantir que suas placas de rede físicas estejam corretamente mapeadas. Digamos que sua interface WAN principal seja a em0 e a conexão secundária esteja plugada na em1, renomeada no sistema como OPT1 ou WAN2. Vá em System, depois em Routing e clique na aba Gateways. Ali você verá os gateways criados automaticamente pelo assistente de instalação ou DHCP. Clique em editar o gateway principal e defina um IP de monitoramento específico, como 8.8.8.8, para que o sistema saiba exatamente para quem perguntar se a internet continua viva.

Faça o mesmo para o segundo link, apontando um IP de monitoramento confiável, como 1.1.1.1. Evite usar o IP do próprio roteador da operadora como alvo de monitoramento, pois se o modem travar a parte interna mas a porta LAN continuar respondendo, o pfSense achará que a internet está ótima, quando na verdade o cliente está sem saída para a web. Essa atenção aos detalhes de monitoramento é tão crítica quanto a validação de hardware que realizamos ao testar capacitores SMD na placa com multímetro, onde uma leitura incorreta pode comprometer o diagnóstico de todo o circuito.

Criando o grupo de failover e configurando as regras

Com os gateways devidamente cadastrados e monitorados, vá até a aba Gateway Groups dentro de Routing e clique no botão Add. Dê um nome sugestivo para o grupo, como Failover_Group. Na tabela que aparece, selecione o seu gateway principal e atribua a ele o Tier 1, indicando que ele é a primeira opção de rota. Em seguida, selecione o seu gateway secundário e atribua a ele o Tier 2, indicando que ele só deve assumir o tráfego caso o Tier 1 falhe. No campo Trigger Level, escolha Packet Loss or High Latency, o que garante que o sistema não vai esperar a conexão cair por completo para realizar a troca; qualquer engasgo severo já aciona o link de backup.

Agora precisamos dizer ao firewall que o tráfego da rede interna deve utilizar esse grupo recém-criado. Vá em Firewall, Rules e na aba LAN. Edite a regra padrão que permite o acesso de saída (que geralmente aponta para * no campo Gateway) e clique em Advanced Options. Role a página até encontrar a opção Gateway e selecione o seu grupo Failover_Group. Salve e aplique as alterações. A partir desse exato momento, toda a navegação dos computadores da rede interna passará a ser gerenciada pelo sistema inteligente de redundância do pfSense.

Validando a failover e testes práticos em ambiente real

Configuração salva não significa sistema testado. Para garantir que tudo funcionará perfeitamente em uma situação de emergência real, você precisa simular a queda do link principal. Abra um terminal no seu computador e execute um comando contínuo de ping para um endereço externo, como ping 8.8.8.8. Em seguida, vá até o seu rack e simplesmente desconecte o cabo de rede da sua internet principal (o link que está no Tier 1).

Observe a tela do seu terminal. O ping deve apresentar uma falha breve de dois ou três pacotes enquanto o pfSense detecta a perda de resposta do IP de monitoramento e realiza a comutação para o link secundário (Tier 2). Assim que o tráfego for redirecionado, o ping voltará a responder normalmente através da rota de backup. Quando você reconectar o cabo da operadora principal, o pfSense aguardará alguns segundos de estabilidade e retornará o tráfego para ela de forma totalmente transparente para os usuários da rede. Essa resistência operacional garante que sua infraestrutura mantenha a estabilidade mesmo diante de falhas imprevisíveis das operadoras locais.

Considerações finais

Implementar failover de links no pfSense é uma das medidas mais econômicas e inteligentes para elevar o nível de confiabilidade de qualquer infraestrutura de rede, seja em uma pequena empresa ou em um homelab avançado. Ao eliminar o ponto único de falha na conexão com a internet, você protege seus processos contra quedas repentinas de sinal e garante continuidade operacional ininterrupta. Com os conceitos de gateways, grupos de prioridade e monitoramento ativo devidamente configurados, sua rede ganha autonomia e robustez para lidar com as instabilidades comuns das operadoras de telecomunicações.

Lembre-se de realizar manutenções preventivas periódicas e testar a integridade dos cabos e modems para assegurar que o link de backup esteja sempre pronto para assumir o posto quando necessário. Investir tempo na configuração correta do roteamento redundante evita dores de cabeça futuras e consolida uma base sólida para a expansão dos seus serviços de TI.