pfSense: Do Zero ao Firewall
Profissional em 2026
Instalação passo a passo, comparativo definitivo com OPNsense e como escolher o hardware certo para cada cenário.
// 01
O que mudou no pfSense em 2026
A versão atual consolida refinamentos focados em segurança moderna, performance de interface e resiliência de armazenamento. Veja os destaques:
-
⚡
WebGUI significativamente mais rápida O tempo de carregamento em ambientes com centenas de regras caiu pela metade. Navegação entre menus agora é fluida mesmo em hardware modesto.
-
🔐
Algoritmos pós-quânticos no SSH Novos algoritmos de troca de chave preparados para resistir a ataques de computadores quânticos. Proteção hoje para ameaças do futuro.
-
📜
Gestão de certificados TLS aprimorada Renovação automática integrada e alertas de chaves fracas (mínimo 2048 bits exigido). Fim dos certificados expirados silenciosos.
-
💾
ZFS como padrão absoluto Nada mais de UFS opcional. ZFS garante checksum de dados, snapshots nativos e recuperação automática de corrupção em caso de queda de energia.
// 02
pfSense vs OPNsense: O Duelo Definitivo
A pergunta que todo sysadmin faz. A resposta honesta: depende do seu perfil. A tabela abaixo ajuda a decidir:
| Critério | pfSense | OPNsense |
|---|---|---|
| Interface | Clássica, densa, funcional | Moderna, responsiva, amigável |
| Ciclo de updates | Conservador (foco em estabilidade) | Quinzenal (inovação constante) |
| Modelo de licença | Open Core (Plus pago) | 100% Open Source (BSD) |
| IDS/IPS L7 | Via pacotes (Snort / Suricata) | Zenarmor nativo e facilitado |
| VPN | OpenVPN, WireGuard, IPsec | OpenVPN, WireGuard, IPsec |
| Suporte empresarial | ✔ Netgate oficial | ~ Parceiros da comunidade |
| Documentação | ✔ Extensa e madura | ✔ Boa e crescente |
// 03
Hardware: Como Dimensionar Corretamente
O pfSense é extremamente eficiente — o erro mais comum é superdimensionar (gasto desnecessário) ou subdimensionar (gargalo com IDS ativo). Regra de ouro: CPU importa mais que RAM para roteamento; RAM importa mais para estado de conexões simultâneas.
Nível 1
Intel Celeron / N-series
- Home office e uso doméstico
- Até 500 Mbps roteados
- Sem IDS/IPS ativo
- Ideal: 8 GB RAM, SSD 32 GB
- Consumo: < 10W
Nível 2 — Sweet Spot
Intel Core i3 (8ª gen+)
- PMEs e escritórios
- Até 1 Gbps com Suricata
- VPNs simultâneas sem sofrimento
- Ideal: 16 GB RAM, SSD 64 GB
- Até 50 usuários ativos
Nível 3
Intel Core i5 / i7
- Médias empresas e ISPs
- Links 10 Gbps
- IDS + VPN + Proxy simultâneos
- Ideal: 32 GB RAM, SSD 128 GB
- Centenas de usuários
// 04
Guia de Instalação: Do Zero ao Firewall Funcional
Tutorial completo com comandos reais. Siga cada etapa em ordem — ao final você terá um pfSense funcional com WAN, LAN e interface web acessível.
Preparar o Pendrive Bootável
Baixe a imagem oficial em pfsense.org/download — selecione a arquitetura AMD64, tipo USB Memstick Installer e compressão gz.
Grave com Rufus (Windows) ou via terminal (Linux/macOS):
# Identifique o dispositivo correto (NÃO confunda com seu HD!) lsblk # Descompacte e grave a imagem (substitua sdX pelo seu dispositivo) gunzip pfSense-CE-memstick-ADI-2.8.0-RELEASE-amd64.img.gz sudo dd if=pfSense-CE-memstick-ADI-2.8.0-RELEASE-amd64.img \ of=/dev/sdX bs=4M status=progress conv=fsync # Aguarde a conclusão — pode levar 2-5 minutos sync
lsblk antes do dd. Gravar no dispositivo errado apaga seus dados permanentemente.
Instalação via Console — Particionamento ZFS
Boot pelo pendrive. O instalador é curto — as escolhas críticas são:
- Keymap: Brazilian (ou deixe padrão US, tanto faz no firewall)
- Particionamento: selecione ZFS (não UFS)
- Configuração ZFS: stripe para disco único, mirror para dois discos em redundância
- Swap: recomendado 4 GB para máquinas com menos de 8 GB de RAM
Após a instalação, o sistema reinicia e exibe o menu de console (0-16). Você já tem um pfSense funcional — agora vamos configurar pelo terminal.
Atribuição de Interfaces WAN e LAN
No menu de console, selecione a opção 1 — Assign Interfaces. O sistema vai listar todas as placas de rede detectadas. Identifique pela nomenclatura:
# Exemplo de saída típica com 2 interfaces em0 00:11:22:33:44:55 (link: up) ← Conectada ao modem/roteador do provedor em1 00:11:22:33:44:66 (link: up) ← Conectada ao switch da LAN # O instalador pergunta: "Should VLANs be set up now?" → n # WAN interface name: em0 # LAN interface name: em1
Configurar IP da LAN pelo Console
Opção 2 — Set interface(s) IP address no menu. Escolha LAN. Configure conforme sua rede:
# Endereço IP da interface LAN Enter the new LAN IPv4 address: 192.168.1.1 # Máscara de sub-rede (24 = /24 = 255.255.255.0) Enter the new LAN IPv4 subnet bit count: 24 # Gateway da LAN — deixe em branco (o pfSense É o gateway) Enter the new LAN IPv4 upstream gateway: [ENTER] # Ativar DHCP na LAN? Do you want to enable the DHCP server on LAN? y Enter the start address: 192.168.1.100 Enter the end address: 192.168.1.200 # Acessar WebGUI via HTTP temporariamente? Do you want to revert to HTTP? y # apenas no primeiro acesso
Agora conecte um computador na porta LAN e acesse http://192.168.1.1 — usuário admin, senha pfsense.
Primeiros Comandos Essenciais de Diagnóstico
Com o sistema em pé, use o shell (opção 8 no menu) para diagnóstico e ajustes finos:
# Ver tabela de roteamento (confirme a rota default via WAN) netstat -rn # Listar interfaces e endereços IP atribuídos ifconfig # Testar conectividade WAN (ping ao DNS do Google) ping -c 4 8.8.8.8 # Testar resolução DNS host google.com # Ver conexões ativas no firewall (estado da tabela pf) pfctl -ss | head -20 # Ver regras de firewall carregadas pfctl -sr
# Reiniciar apenas a interface web (sem derrubar o tráfego) playback svc restart webgui # Resetar senha do admin para o padrão "pfsense" /etc/rc.initial.password # Forçar checagem e atualização de pacotes instalados pkg update && pkg upgrade # Ver uso de CPU e memória em tempo real top # Ver logs do sistema em tempo real (Ctrl+C para sair) clog -f /var/log/system.log
Configurações Pós-Instalação Recomendadas
Após o primeiro acesso à WebGUI, o wizard de configuração inicial vai guiar WAN, DNS e NTP. Além disso, faça estas configurações manualmente:
- Troque a senha admin imediatamente em System → User Manager
- Ative HTTPS em System → Advanced → Admin Access → HTTPS
- Configure DNS Resolver (Unbound) em Services → DNS Resolver — marque DNSSEC
- Ative atualizações automáticas de pacotes em System → Update
- Crie um snapshot ZFS antes de qualquer mudança grande via Diagnostics → Command Prompt
# Criar snapshot antes de mudanças críticas zfs snapshot zroot/ROOT/default@pre-config-$(date +%Y%m%d) # Listar snapshots disponíveis zfs list -t snapshot # Reverter para o snapshot se algo der errado zfs rollback zroot/ROOT/default@pre-config-20260514
Deixe um comentário