En muchas empresas, quedarse sin Internet no es una opción. Servicios en la nube, correo o aplicaciones de gestión dependen de una conectividad estable. Aquí es donde los firewalls permiten configurar múltiples conexiones WAN para garantizar alta disponibilidad.
Con WAN Failover, si una línea de Internet falla, el tráfico se redirige automáticamente a la segunda conexión, asegurando la continuidad del negocio sin intervención manual.
En este artículo te explico cómo configurar dos WAN en pfSense para que, si un ISP se cae, el sistema conmute automáticamente al enlace de respaldo. Aunque si tienes más de dos WAN, los pasos son los mismos.
Es importante destacar que esto es WAN Failover (alta disponibilidad) y NO ES Load Balancing. En el failover solo una conexión está activa y la otra queda como respaldo, mientras que en el balanceo ambas se utilizan simultáneamente.
Tabla de contenidos
Laboratorio
Para este laboratorio, partiremos de una instalación de pfSense con una interfaz WAN y otra LAN ya configuradas, además de un ordenador conectado a la LAN desde el que realizaremos las pruebas.
El objetivo será añadir una segunda conexión WAN y configurar el Failover, de manera que, si la conexión principal deja de estar disponible, pfSense utilice automáticamente la conexión secundaria.
Si estás aprendiendo y no dispones de dos conexiones a Internet físicas para realizar las pruebas, puedes simular este escenario mediante una máquina virtual. En mi caso, utilizaré VMware Workstation para ejecutar pfSense con tres interfaces de red:
- NIC 1 — WAN 1: configurada en modo Puente (Bridged), para utilizar la conexión de red del equipo anfitrión.
- NIC 2 — LAN: configurada en modo Personalizado (Custom), para crear la red interna a la que conectaremos el ordenador desde el que realizaremos las pruebas.
- NIC 3 — WAN 2: configurada en modo NAT, para proporcionar una segunda salida a Internet independiente de la interfaz WAN principal a efectos de este laboratorio.
Por su parte, el ordenador que utilizaremos para las pruebas tendrá una única interfaz de red conectada a la misma red virtual personalizada que la interfaz LAN de pfSense.
Con esta configuración podremos comprobar el comportamiento del Failover y verificar que pfSense cambia a la segunda WAN cuando la conexión principal deja de estar disponible..
Esquema de red
Este será el esquema de red que utilizaremos durante el laboratorio. Las direcciones IP son de ejemplo, por lo que tendrás que adaptarlas a tu propia configuración.
- WAN 1 (conexión principal)
- IP de la interfaz: 192.168.200.100
- Máscara de red: 255.255.255.0 (/24)
- Gateway: 192.168.200.254
- WAN 2 (conexión secundaria)
- IP de la interfaz: 192.168.233.100
- Máscara de red: 255.255.255.0 (/24)
- Gateway: 192.168.233.2
- LAN (red local)
- IP de la interfaz: 192.168.1.254
- Máscara de red: 255.255.255.0 (/24)
Una vez definido el escenario de red que utilizaremos en el laboratorio, vamos a pasar a la configuración práctica de pfSense.
Configurar Multi-WAN Failover en pfSense
Agregar segunda interfaz en pfSense
El primer paso será añadir y configurar la segunda interfaz WAN para que pfSense pueda utilizarla como conexión alternativa si falla la principal.
Para ello, accedemos a Interfaces y seleccionamos la interfaz de red que hemos asignado a la segunda WAN. A continuación, configuraremos su direccionamiento IP y habilitaremos la interfaz.
Editamos cada interfaz para asignarle un nombre identificativo y configurar su direccionamiento según el esquema del laboratorio.
En este ejemplo usamos IP estática, pero tu conexión WAN puede requerir DHCP, PPPoE u otra configuración.
Configurar la monitorización de las interfaces WAN
Una vez configuradas las dos interfaces WAN, debemos comprobar la IP de monitorización (Monitor IP) de cada gateway. pfSense utiliza esta dirección para verificar que la conexión a Internet funciona correctamente, ya que una interfaz puede seguir activa aunque haya perdido el acceso a Internet.
Para revisar la configuración, accedemos a System > Routing > Gateways. En esta pantalla aparecen los gateways asociados a las dos interfaces WAN, donde podremos consultar y configurar la IP de monitorización de cada uno.
Es recomendable configurar una IP de monitorización diferente para cada gateway WAN. De esta forma, pfSense comprobará la conectividad de cada conexión de manera independiente.
Si ambos gateways utilizan la misma IP de monitorización y esta deja de responder por algún motivo, pfSense podría marcar las dos conexiones como caídas, aunque ambas interfaces WAN sigan activas.
Por este motivo, conviene elegir una dirección IP fiable y accesible a través de cada conexión WAN, evitando que un problema con un único destino de monitorización afecte al estado de ambas conexiones.
En mi caso, he elegido:
- La IP 8.8.8.8 como dirección de monitorización del gateway de la WAN 1.
- La IP 1.1.1.1 para la monitorización del gateway de la WAN 2.
De esta forma, cada conexión WAN utiliza una dirección de monitorización diferente.
Crear grupo de gateways
Ahora vamos a crear un grupo de gateways (Gateway Group). Este mecanismo nos permite definir la prioridad de las conexiones WAN y configurar el failover en pfSense. De esta forma, si la conexión principal deja de funcionar correctamente, el tráfico se redirigirá automáticamente a la conexión de respaldo.
Para crear el grupo, vamos a System > Routing > Gateway Groups > Add. Aquí configuraremos el nombre del grupo, la prioridad de cada gateway (Tier) y el nivel de activación (Trigger Level).
Nombre del Grupo
Es importante elegir un nombre que nos permita identificar rápidamente su función, por ejemplo, si se trata de una configuración de failover o de load balancing.
También recomiendo incluir los nombres de las interfaces WAN y su orden de prioridad. Así sabremos de un vistazo qué conexión se utiliza como principal y cuál queda como respaldo.
Gateway Priority (Tier)
En este apartado indicamos a pfSense la prioridad de cada gateway, es decir, qué conexión queremos utilizar primero y cuál debe entrar en funcionamiento si la principal falla.
Cuanto más bajo sea el número del Tier, mayor será la prioridad:
- Tier 1: conexión principal.
- Tier 2: conexión secundaria o de respaldo.
- Tier 3: siguiente conexión de respaldo, si la hubiera.
En mi caso, configuraré la WAN 1 como conexión principal (Tier 1) y la WAN 2 como conexión secundaria (Tier 2).
Trigger Level
Este parámetro indica a pfSense qué condición debe detectar para considerar que una conexión tiene problemas y activar la siguiente conexión disponible según la prioridad configurada.
En mi caso, seleccionaré Packet Loss or High Latency. Esto significa que pfSense tendrá en cuenta tanto la pérdida de paquetes como una latencia elevada para determinar si la conexión está funcionando correctamente.
Aquí es donde entra en juego la Monitor IP que hemos configurado anteriormente para cada gateway. pfSense utiliza esa dirección para comprobar el estado de la conexión y detectar posibles problemas.
Por eso es importante configurar correctamente estas direcciones de monitorización: si no son accesibles o no responden como esperamos, pfSense podría interpretar que la conexión tiene problemas cuando realmente no los tiene.
Por último, añadimos una descripción para identificar el grupo y guardamos los cambios.
Establecer el Gateway predeterminado
Ahora que ya hemos configurado las dos interfaces WAN y creado el grupo de gateways, vamos a indicarle a pfSense cuál será su gateway por defecto, es decir, qué conexión utilizará para salir a Internet.
Esto también afecta al tráfico generado por el propio firewall, como las descargas e instalaciones de paquetes y las actualizaciones del sistema.
En nuestro caso, configuraremos el grupo de gateways que acabamos de crear para que pfSense utilice la WAN 1 como conexión principal y, si deja de estar disponible según las condiciones que hemos definido, pase automáticamente a utilizar la WAN 2.
En System > Routing > Gateways, seleccionamos en el apartado Default gateway IPv4 el grupo de gateways que hemos creado anteriormente.
Añadir de Widget de Gateways
Ahora, para comprobar rápidamente si los gateways están funcionando correctamente, podemos añadir el widget Gateways al panel principal de pfSense.
Desde aquí podremos ver el estado de cada gateway y comprobar si está online o si ha detectado algún problema de conectividad.
Simulación y pruebas
Vamos a realizar una prueba desconectando el cable de la WAN1. Veremos cómo su gateway pasa al estado Offline y pfSense cambia automáticamente al gateway de la WAN2, que pasa a ser la puerta de enlace predeterminada, tal como se muestra en la imagen.
Como dato adicional, pfSense identifica la puerta de enlace predeterminada mediante un icono con forma de mundo. Cuando la WAN1 deja de estar disponible, este icono pasa a mostrarse junto a la WAN2, indicando que es la conexión que se está utilizando para salir a Internet.
Conclusión y mejoras
Con esto ya tenemos configurado el failover en pfSense. Hemos preparado las dos interfaces WAN, configurado las IP de monitorización, creado el grupo de gateways y establecido dicho grupo como gateway por defecto.
Sin embargo, todavía nos queda un detalle importante: decidir qué gateway o grupo de gateways utilizará el tráfico que pasa por el firewall.
Para ello, podemos configurar las reglas del firewall y asignarles un gateway o un grupo de gateways concreto. De esta forma, podremos controlar qué conexión WAN utilizará cada tipo de tráfico.
Además, si tenemos varias subredes que deben comunicarse entre sí, debemos asegurarnos de que las reglas del firewall permitan esa comunicación y de que el tráfico interno no se desvíe hacia una conexión WAN.
En el próximo post veremos cómo configurar estas reglas para utilizar un gateway o un grupo de gateways específico y controlar correctamente el tráfico en nuestra configuración multi-WAN.