Instalar o pfSense é a parte fácil. O que separa um firewall que só liga de um firewall que protege é a configuração inicial: como você atribui as interfaces, o que define no assistente, como trata a senha padrão e se lembra de guardar a configuração antes de mexer em produção. Este guia percorre esse caminho do começo ao fim, na ordem em que ele acontece na vida real.
O objetivo aqui é a primeira instalação bem feita, com decisões conscientes em cada etapa. Vale para quem está subindo um appliance Netgate, um hardware compatível ou uma máquina virtual. Onde a escolha muda conforme o ambiente, o texto aponta o critério em vez de dar uma receita única.
Antes de instalar: requisitos e checagem de hardware
O pfSense roda sobre FreeBSD e é econômico em recursos, mas cada função pesa de um jeito. Firewall stateful puro pede pouco. VPN com criptografia, IDS e IPS com Suricata ou proxy pedem mais CPU e memória. O mínimo prático hoje é um processador 64 bits com AES-NI, 2 GB de RAM e um disco de 16 GB ou mais. Para ambientes com VPN de volume, inspeção de tráfego ou muitos estados simultâneos, dimensione acima disso.
A placa de rede importa mais do que parece. Interfaces Intel costumam ter os drivers mais estáveis no FreeBSD e evitam dor de cabeça com perda de pacote e travamento sob carga. Antes de instalar, confirme que o hardware é compatível e reserve pelo menos duas interfaces físicas ou virtuais, uma para a WAN e uma para a LAN.
Baixar a imagem e gravar a mídia de instalação
A imagem oficial do pfSense Community Edition fica no site da Netgate. Escolha a arquitetura correta (AMD64 na maioria dos casos) e o tipo de instalador. Para hardware com monitor e teclado, a imagem de instalador ISO ou USB resolve. Para appliances sem vídeo, a imagem de console serial é a indicada, porque toda a instalação acontece pela porta serial.
Depois de baixar, confira a integridade do arquivo com o hash publicado pela Netgate antes de gravar. Grave a imagem em um pendrive com uma ferramenta que escreva o arquivo bruto no dispositivo. Copiar o arquivo para dentro do pendrive não funciona: a mídia precisa ser gravada byte a byte.
A instalação no disco
Com a mídia pronta, dê boot pelo pendrive. O instalador do pfSense é objetivo. Você aceita o contrato, escolhe a instalação guiada, seleciona o disco de destino e o sistema de arquivos. Em versões recentes o ZFS é o padrão e é uma boa escolha pela integridade de dados e pela facilidade de recuperação. Ao final, o instalador copia o sistema, pede a remoção da mídia e reinicia.
A instalação em si leva poucos minutos. O ponto de atenção é escolher o disco certo, principalmente em máquinas com mais de um dispositivo de armazenamento. Apagar o disco errado é raro, mas acontece quando a instalação é feita com pressa.
Atribuir as interfaces WAN e LAN
No primeiro boot, o pfSense pede para identificar as interfaces. É aqui que muita instalação começa torta. O sistema mostra os nomes das placas (em1, igb0, vtnet0 e por aí) e você diz qual é a WAN, qual é a LAN e quais são as opcionais. Se não souber qual placa é qual, use a detecção por link: o pfSense pede para conectar o cabo em uma interface por vez e identifica sozinho.
A WAN é a interface voltada para a internet ou para o link do provedor. A LAN é a rede interna. Errar a atribuição faz o firewall bloquear justamente quem deveria passar e liberar quem deveria bloquear. Confira duas vezes antes de seguir.
Acessar a interface web pela primeira vez
Por padrão, a LAN nasce com o IP 192.168.1.1 e um servidor DHCP ativo. Conecte um computador na porta LAN, deixe que ele receba um endereço automático e acesse https://192.168.1.1 no navegador. O certificado é autoassinado neste momento, então o aviso de segurança do navegador é esperado. O login padrão é admin com a senha pfsense.
Trocar essa senha é a primeira coisa a fazer. Um firewall com credencial padrão é um firewall aberto para quem conhece o valor de fábrica. O assistente inicial vai forçar essa troca, mas não confie na memória: defina uma senha forte e guarde em um cofre de senhas.
O assistente de configuração inicial
- Hostname e domínio: dê um nome que identifique o equipamento no seu inventário.
- Servidores DNS: informe resolvedores confiáveis ou deixe o pfSense resolver por conta própria.
- Fuso horário: ajuste para o horário local, o que mantém os logs coerentes.
- Tipo de WAN: DHCP, IP fixo ou PPPoE, conforme o que o provedor entrega.
- IP da LAN: mantenha ou troque a faixa interna conforme o seu plano de endereçamento.
- Senha do admin: defina uma senha forte e única para o equipamento.
O que o assistente não configura por você
Ao terminar o assistente, você tem um firewall funcional com uma regra permissiva na LAN e a WAN protegida. Isso é o suficiente para navegar, não para colocar em produção com segurança. As regras de firewall, a segmentação em VLANs, a VPN, o DNS filtrado e o monitoramento ficam por sua conta a partir daqui.
Vale planejar a topologia antes de sair criando regras. Definir quais redes existem, o que cada uma pode acessar e o que precisa ficar isolado evita a rede plana, aquela em que tudo fala com tudo. O guia sobre segmentação de rede e o guia sobre como organizar regras no pfSense ajudam a montar essa base com método.
Primeiras regras e serviços essenciais
Depois da base pronta, os primeiros ajustes costumam ser os mesmos. Restringir a regra padrão da LAN para liberar apenas o necessário, ativar o resolvedor de DNS com validação, revisar o DHCP e conferir se a administração do firewall não está acessível pela WAN. Nenhuma interface de gestão deveria responder na internet sem uma VPN na frente.
Se o ambiente vai receber VPN de acesso remoto ou entre sites, é melhor projetar isso agora, com o endereçamento ainda limpo, do que encaixar depois. O mesmo vale para IDS e IPS: dá para adicionar a qualquer momento, mas o ajuste fino contra falsos positivos pede tempo e atenção.
Backup da configuração desde o primeiro dia
A configuração inteira do pfSense vive em um único arquivo XML. Em Diagnostics, na opção de backup e restauração, você exporta esse arquivo e guarda em local seguro. Faça isso logo após a configuração inicial e a cada mudança relevante. Restaurar leva um minuto; refazer tudo na mão depois de uma falha de disco leva horas.
Para quem quer automatizar, existe o backup automático de configuração, que envia o arquivo cifrado para a nuvem da Netgate. Com ou sem automação, a regra é a mesma: uma configuração que só existe dentro do equipamento é uma configuração que você pode perder.
Erros comuns na instalação inicial
Atenção
- Manter a senha padrão do admin após o assistente.
- Deixar a interface de administração acessível pela WAN.
- Trocar WAN e LAN na atribuição de interfaces.
- Subir em produção com a regra permissiva de LAN que vem de fábrica.
- Não exportar o backup da configuração antes de mexer no ambiente.
- Dimensionar hardware sem contar VPN, IDS e proxy no cálculo.
Quando faz sentido chamar apoio especializado
Uma instalação de laboratório qualquer um faz com paciência e a documentação da Netgate. O que muda em produção é o custo de errar: uma regra frouxa, uma segmentação ausente ou um acesso administrativo exposto viram risco real quando a empresa depende da rede para operar. A OpenSourceBrasil oferece consultoria pfSense para conduzir o projeto do dimensionamento à entrega documentada, e suporte pfSense para manter o ambiente saudável depois que ele entra no ar.