Cómo configurar Dual WAN en pfSense con Failover y Load Balancing

Por qué usar múltiples enlaces de internet en su empresa

Toda operación corporativa moderna depende de una conexión a internet continua y estable. Cuando el único enlace de la empresa cae, el impacto financiero suele ser inmediato, paralizando sistemas de atención, ventas y comunicación interna. Para mitigar este riesgo, implementar una arquitectura Dual WAN —que consiste en conectar dos o más proveedores de internet en un solo enrutador de borde— se ha vuelto estándar en entornos de alta disponibilidad. Antes de sumergirnos en la configuración práctica, es útil entender que esta redundancia equivale a tener dos rutas diferentes hacia el trabajo: si la principal está congestionada o cortada, el tráfico se desvía automáticamente por la secundaria.

En el ecosistema de redes de código abierto, pfSense destaca como una de las plataformas más robustas para gestionar esta complejidad sin licencias costosas. Permite no solo failover (donde el sistema asume la conexión de respaldo solo ante la caída de la principal), sino también load balancing (división inteligente del tráfico entre enlaces disponibles). Para evaluar la salud inicial de su conexión antes de tocar el borde, vale la pena revisar la guía sobre cómo diagnosticar pérdida de paquetes usando mtr para aislar problemas puntuales del proveedor. El secreto de una transición exitosa radica en crear pasarelas lógicas y monitorear constantemente la latencia y la pérdida de paquetes en cada interfaz.

Configurando múltiples pasarelas y monitoreo de paquetes

El primer paso práctico en el panel de administración de pfSense es asegurar que ambas conexiones de internet (por ejemplo, fibra óptica principal y un enlace de respaldo por radio o cable) estén conectadas físicamente a las tarjetas de red designadas como WAN1 y WAN2. Cada una recibirá una dirección IP por DHCP, IP estática o PPPoE. El punto crítico aquí es la configuración del monitoreo de pasarela, que instruye al firewall a enviar paquetes de prueba ICMP echo request a una IP confiable en internet, como los DNS públicos de Google o Cloudflare, midiendo activamente la integridad física y lógica de ese canal de datos.

Cuando pfSense detecta un aumento notable en la pérdida de paquetes o latencia inaceptable en una interfaz, marca dicha pasarela como degradada o caída. Esta verificación constante previene el fenómeno de 'agujero negro', donde el proveedor pierde internet pero mantiene activa la interfaz física, engañando a los enrutadores comunes. Para entornos complejos, combinar la redundancia WAN con la agregación interna de switches mediante la guía de cómo configurar LACP en switches para duplicar la velocidad garantiza que el cuello de botella nunca esté en la red local. Ajustar los umbrales de pérdida y latencia evita falsos positivos durante fluctuaciones rápidas del operador.

Creando grupos de balanceo de carga y failover

Con las pasarelas configuradas y monitoreadas, el siguiente paso es unirlas en un 'Gateway Group'. Aquí es donde definimos la estrategia de distribución. Podemos crear un grupo exclusivo para failover situando el enlace principal en 'Tier 1' y el de respaldo en 'Tier 2', indicando al sistema que active el secundario solo si el principal falla por completo o alcanza el límite crítico de pérdida de paquetes. Si se prefiere load balancing, ambas pasarelas se asignan al mismo Tier, permitiendo distribuir el tráfico en función de pesos proporcionales a la capacidad de cada ancho de banda.

En la práctica, esto significa que si posee un enlace de 300 Mbps y otro de 100 Mbps, puede configurar los pesos para que el primero reciba tres veces más conexiones simultáneas que el segundo. Esta distribución inteligente evita que la conexión menor se sature mientras la mayor permanece ociosa. Sin embargo, el balanceo basado en sesiones puede generar problemas en sistemas bancarios o plataformas que exigen la misma IP de origen durante toda la navegación. Para solucionarlo, pfSense gestiona tablas de estado (sticky connections) que fijan el tráfico de un usuario al mismo gateway durante su sesión activa, equilibrando la carga global sin romper aplicaciones sensibles.

Aplicando reglas de firewall basadas en rutas específicas

La inteligencia de pfSense brilla al aplicar reglas granulares en la sección 'Firewall: Rules', específicamente en la interfaz LAN. Por defecto, el tráfico interno utilizará el grupo de pasarelas predeterminado. No obstante, los escenarios corporativos exigen excepciones estratégicas. Por ejemplo, podemos crear una regla que dirija todo el tráfico de servidores de videovigilancia o VoIP para que salgan exclusivamente por el enlace de fibra más estable, mientras que los equipos administrativos utilizan el grupo de balanceo. Para asegurar que estas políticas de enrutamiento no fallen por problemas de DNS local, verifique que los servidores DNS primario y secundario apunten a IPs externas accesibles por ambos enlaces.

Otra precaución esencial al implementar enrutamiento basado en políticas es validar el comportamiento del tráfico cuando un enlace cae. Si una regla fuerza la salida por WAN1 y WAN1 falla, la conexión del usuario se interrumpirá a menos que habilitemos opciones de reintento automático en la configuración avanzada de la regla. Para administradores que auditan el rendimiento tras aplicar reglas, las herramientas auxiliares de pruebas de estrés ayudan a mapear el comportamiento bajo carga, complementando el monitoreo nativo. Documentar rigurosamente cada cambio garantiza que cualquier equipo de soporte pueda revertir o ajustar el comportamiento del borde ante mantenimientos imprevistos. Para profundizar en estos conceptos arquitectónicos en producción, consulte también nuestro análisis técnico sobre Cómo probar el fusible térmico de transformadores con multímetro.

Validación, pruebas de estrés y consideraciones finales

Con toda la topología Dual WAN configurada, el momento más crítico es la validación en un entorno controlado. Antes de liberar el sistema para el uso productivo de toda la empresa, simule fallos físicos desconectando el cable de red de la WAN principal. Observe el tiempo de reacción de pfSense, el comportamiento del panel de monitoreo y si las sesiones de usuario migran de forma transparente al enlace de reserva. Monitoree también el retorno automático del tráfico al enlace principal tan pronto como se restablezca la conectividad primaria, evitando consumir innecesariamente ancho de banda costoso o limitado del respaldo.

Implementar con éxito redundancia y balanceo de carga en pfSense transforma una infraestructura vulnerable en un entorno corporativo resiliente y preparado para imprevistos. El secreto radica en la paciencia durante el ajuste fino de los parámetros de monitoreo y en la claridad de las reglas de enrutamiento aplicadas. Al dominar estos conceptos, las caídas de proveedor dejan de ser crisis operativas y pasan a ser eventos transparentes para la rutina del negocio. Mantenga los firmwares actualizados, realice copias de seguridad de las configuraciones y documente su arquitectura de red para garantizar la longevidad y el mantenimiento sencillo a largo plazo.