Cuando tenemos una conexión a Internet con un sistema operativo orientado a entornos profesionales como pfSense, es totalmente necesario verificar externamente si la conexión a Internet está funcionando correctamente, para descartar problemas de configuración en los servidores VPN o en los túneles VPN que tengamos configurados. Gracias a UptimeRobot vamos a poder comprobar de forma remota si la conexión a Internet funciona bien, pero antes deberemos hacer unas configuraciones muy específicas en pfSense para que el sistema operativo no detecte falsos ataques.
La monitorización en un entorno doméstico o profesional es esencial para saber en todo momento qué es lo que está ocurriendo con nuestra conexión a Internet. La herramienta UptimeRobot nos permitirá monitorizar desde la nube si nuestra conexión a Internet se ha caído, o existe algún tipo de problema y no está funcionando adecuadamente. Aunque hay otras herramientas muy interesantes como Uptime Kuma, si no tienes un servidor donde ejecutar este popular programa, UptimeRobot es una gran opción, además, es completamente gratuito, aunque tiene sus limitaciones.
Este tutorial se ha realizado con pfSense CE 2.5.0 y UptimeRobot, pero a día de hoy hemos comprobado que pfSense CE 2.8.1 (versión 2025) sigue siendo perfectamente válido, no hay ningún menú diferente.
¿Qué es UptimeRobot y cómo monitorizará la conexión?
UptimeRobot es un servicio web completamente gratuito que nos permitirá monitorizar la conexión a Internet de forma remota, este servicio dispone de decenas de servidores repartidos por todo el mundo, los cuales intentarán conectarse con nuestro equipo a través de TCP, UDP e incluso ICMP para comprobar que la conexión a Internet está funcionando correctamente. La versión gratuita nos permite comprobar hasta 50 host en intervalos de 5 minutos, suficiente para un entorno doméstico y para pequeñas y medianas empresas, aunque es posible que en tu empresa necesites saber más rápidamente si la conexión a Internet se cae. Si compras la versión premium podrás configurar intervalos de un minuto para comprobar si la conexión a Internet está funcionando bien, y dispondrás de más hosts para monitorizar, todo ello centralizado en la misma cuenta.
En RedesZone ya hemos hablado anteriormente de este servicio a fondo, sin embargo, si estamos utilizando un sistema operativo como pfSense, el cual es muy configurable y es capaz de detectar ataques de denegación de servicio y ataques por fuerza bruta, es posible que detecte estas conexiones como posibles ataques, y directamente bloquee la comunicación desde la IP de origen.
Una característica que nos ha gustado mucho de UptimeRobot, es que nos permitirá recibir avisos por email, Telegram, Twitter, Slack, Microsoft Teams y más, por lo que tendremos siempre una notificación de si existe algún problema. Además, siempre podremos instalar la app oficial de UptimeRobot para Android y iOS:
Una vez que ya sabemos todo lo que UptimeRobot puede hacer por nosotros, vamos a ver cómo configurar correctamente pfSense para evitar alertas de ataque falsas.
| Método | Fiabilidad | Seguridad | Recursos | Recomendación |
|---|---|---|---|---|
| ICMP (Ping) | Baja (bloqueos frecuentes) | Sin autenticación | Mínimos | ❌ No recomendado |
| HTTPS (Puerto 443) | Media (depende de la GUI) | Certificados TLS | Altos | ⚠️ Secundario |
| SSH (Puerto 2222) | Alta (protocolo de sistema) | Autenticación por clave | Moderados | ✅ Primario |
Beneficios de monitorizar una red
Establecer una monitorización para una red, se ha convertido en un esencial tanto en el mundo empresarial como en muchas redes domésticas. Esto nos ayuda a garantizar que el rendimiento sigue intacto, y se mantienen los estándares de seguridad y fiabilidad en la red. Esto da la oportunidad a los administradores de detectar y poner solución a los problemas, antes de que estos se conviertan en un problema más grande. Siendo esto algo muy importante en redes empresariales, donde mantener todo el sistema en producción es de vital importancia.
Las herramientas de monitorización de redes, pueden identificar estas anomalías en el tráfico de red. Pero no se detiene ahí, sino que también puede analizar la utilización de la CPU, el espacio en el disco duro, y otros parámetros que son esenciales para que todo el sistema se mantenga activo y funcionando de la forma adecuada. Por lo que a la seguridad se refiere, realizando rastreos del tráfico de red en tiempo real, se pueden detectar actividades maliciosas. Pueden ser intentos de intrusión, filtración de datos, entre otros. Por lo cual podremos tomar las medidas necesarias, para que ese problema no se siga reproduciendo. Puede llegar a causar una gran pérdida de datos, lo cual afecta de diferentes formas a una empresa.
El rendimiento de la red es otro de los factores que siempre están en el punto de mira. Con las herramientas de monitorización adecuadas, podemos identificar cuellos de botella, enlaces que pueden estar congestionados, o incluso dispositivos que cuentan con un bajo rendimiento. Con toda esta información, los administradores pueden tomar las medidas necesarias para optimizar la configuración de la red. Así como sustituir o implementar nuevos equipos, incluso planificar futuras expansiones de la red. Por lo cual se trata de información, que es muy valiosa para el presente y el futuro de una empresa.
Configura pfSense para que UptimeRobot no sea bloqueado
Aunque UptimeRobot dispone de varios servidores repartidos por todo el mundo con el objetivo de monitorizar los diferentes hosts y evitar falsos positivos, en muchas ocasiones esto no es suficiente, sobre todo si tenemos muy bien configurado nuestro firewall pfSense. Todas las comprobaciones que realiza UptimeRobot se realizan desde Dallas-Estados Unidos, sin embargo, cuando se detecta una caída, el resto de nodos repartidos por el mundo comprobarán si realmente se ha caído la conexión o no. Sin embargo, en RedesZone hemos comprobado que esto no es suficiente si usas pfSense, ya que está continuamente diciéndonos que la conexión a Internet funciona correctamente, y que se ha caído, la comprobación está oscilando entre ambos estados.
En nuestro caso, la comprobación de si la conexión a Internet está levantada, la realizamos con unos «checks» en el servidor SSH del sistema operativo pfSense, el cual deberemos habilitar. Solo deberemos habilitar el servidor SSH y configurar un determinado puerto TCP de escucha, por ejemplo, el puerto 2222 para el SSH. Este puerto será accesible a través de Internet desde cualquier origen, con el objetivo de administrar el sistema operativo desde cualquier lugar.
Para solucionar el problema de los falsos positivos, debemos entrar en la interfaz web de configuración del sistema operativo de pfSense:
Nos vamos a la sección de SSH y nos aseguramos de que está habilitado, y que está escuchando en el puerto 2222, o en cualquier otro puerto.
En la sección de «Login protection», deberemos añadir todas y cada una de las redes y direcciones IP de origen de UptimeRobot. En esta «pass list» tendremos el listado de todas las direcciones IP de origen que pueden realizar «checks» contra el servidor web HTTPS o el servidor SSH configurado saltándose las restricciones del «login protection» que tenemos configurado.
En la web oficial de UptimeRobot tenemos el listado de todas las direcciones IP de origen que ellos utilizan, simplemente tendremos que ir introduciendo rango por rango o dirección IP por dirección IP. También tenemos las direcciones IPv6 que ellos usan, por si acaso en tu caso tienes IPv6 para acceder a Internet. Por último, también nos brindan un archivo txt con el listado de todas las direcciones IP para facilitar la configuración de los firewalls.
Cuando habilitamos el servidor SSH en el pfSense, si queremos que accedan desde Internet con cualquier dirección IP de origen, necesitaremos crear una regla en la sección de «Firewall / Rules«, en esta regla deberemos poner:
- Action: Pass
- Interface: WAN
- Address Family: IPv4 y/o IPv6.
- Protocol: TCP
- Source: any
- Destination: WAN Address
- Destination Port Range: el puerto del servidor SSH donde está escuchando, en nuestro caso, el 2222.
También os recomendaríamos loguear todos los paquetes que reciba el firewall, activando la opción «Log packets that are handled by this rule», finalmente le daremos una descripción y pinchamos en guardar.
Antes de acabar, un detalle importante es que coloquéis la regla de pfSense en la sección WAN en el orden correcto, porque si tenemos una regla de denegar todo general por encima de esta regla específica, estarás bloqueando el tráfico y no funcionará desde el exterior.
Si ves los logs del sistema operativo, podrás ver la dirección IP de origen que está usando UptimeRobot, y también la dirección IP de destino y puerto (nosotros). Desde aquí podrás comprobar que cada 5 minutos está realizando una comprobación de si la conexión a Internet funciona correctamente, o mejor dicho, si el servidor SSH de pfSense es alcanzable a través de Internet.
Una vez que hemos visto cómo configurar correctamente pfSense, vamos a recordar cómo crear la regla en UptimeRobot para monitorizar nuestro pfSense.
Crear la regla de monitorización en UptimeRobot
Iniciamos sesión en UptimeRobot con nuestras credenciales, si nunca has usado esta herramienta, tendrás que registrarte en su versión «Free». En el menú principal podremos ver en la sección de la izquierda todas las reglas de monitorización creadas, pinchamos en «Add New Monitor» para crear una nueva regla.
El tipo de monitor que deberás usar es «Port», le damos un nombre descriptivo, ponemos «Port: Custom Port» para poner el puerto 2222 del servidor SSH que acabamos de configurar, y el intervalo de monitorización. En la versión gratuita de UptimeRobot nos permitirá un intervalo mínimo de 5 minutos, lógicamente, cuantas más comprobaciones realice antes nos avisará de que ha habido un problema con la conexión a Internet, pero esto solo está disponible en la versión de pago.
No debes olvidar seleccionar las alertas a enviar, podremos recibir una alerta por email, Telegram u otro servicio, siempre que lo hayas dado de alta anteriormente.
Una vez que hayamos terminado, pinchamos en «Create Monitor» y ya tendremos UptimeRobot funcionando. Ahora deberás revisar en pfSense que has recibido correctamente el paquete, comprobando los logs del firewall en la sección WAN, puedes filtrar los logs poniendo el puerto de destino 2222 que es el puerto del SSH, también podrás comprobar que la dirección IP de origen está dentro del rango de direcciones IP que os hemos indicado anteriormente.
¿Puedo limitar las conexiones SSH solamente a UptimeRobot?
Si quieres habilitar el servidor SSH solamente para las direcciones de UptimeRobot, con el objetivo de comprobar si la conexión a Internet funciona bien, podrás limitar las conexiones SSH a través de la regla en el firewall. Si nos vamos a «Firewall / Aliases» podrás crear un alias con todas las direcciones IP de origen de UptimeRobot, para facilitar enormemente la configuración de la regla. Podemos poner la URL con el archivo de texto que os hemos proporcionado anteriormente, y lo ponemos directamente en el Aliases de URL (IP):
Gracias a esto, podremos incorporar todas las direcciones IPv4 y IPv6 automáticamente y sin necesidad de ir una por una, para facilitar enormemente la configuración. Tal y como podéis ver, en la sección de Aliases / URLs nos aparecerán ya cargadas estas direcciones IP públicas d eorigen que usa UptimeRobot:
Ahora tendríamos que editar la regla de SSH, y definir:
- Address Family: IPv4 y IPv6, para cubrir también las direcciones IPv6.
- Source – Single host or alias: IP_UptimeRobot
Y pinchamos en «Save» y en aplicar cambios. Ahora mismo solamente tendría acceso al servidor SSH las direcciones IP de origen definidas en el aliases, que se corresponden con las direcciones IP de UptimeRobot, para no dejar el servidor SSH expuesto a todo el mundo.
Gracias a UptimeRobot y una buena configuración en pfSense para evitar falsos positivos, podrás comprobar que la conexión a Internet funciona correctamente y no tienes una incidencia. Por supuesto, lo más recomendable es poner el dominio DNS dinámico en el propio UptimeRobot, porque si tienes una IP pública dinámica cambiará cada cierto tiempo, y podrás obtener falsos positivos de pérdida de conectividad.
| Paso | Acción | Comprobación Clave | Completado |
|---|---|---|---|
| 1 | Crear alias para IPs de UptimeRobot | Usar la URL oficial: https://uptimerobot.com/help/locations/ | ☐ |
| 2 | Habilitar servidor SSH en puerto no estándar (ej. 2222) | Verificar en System > Advanced > Admin Access | ☐ |
| 3 | Crear regla en Firewall > Rules > WAN | Origen: Alias de UptimeRobot. Destino: WAN Address. Puerto: 2222. | ☐ |
| 4 | Verificar orden de la regla | La regla de permiso debe estar POR ENCIMA de cualquier regla de bloqueo general. | ☐ |
| 5 | Configurar Pass List en IDS/IPS si fuera necesario. | Añadir el alias de UptimeRobot a la lista de exclusión. | ☐ |
Errores comunes y soluciones
La configuración de las reglas en el cortafuegos de pfSense para permitir el acceso de IPs externas, es una tarea crítica que podría exponer por error nuestro pfSense. A continuación, te explicamos cuáles son los tres errores más habituales y su solución.
- Orden incorrecto de las reglas en el firewall: pfSense evalúa las reglas de forma secuencial desde arriba hasta abajo. Si colocamos una regla de denegar todo en la parte de arriba, las reglas de abajo nunca se comprobarán, haciendo que todo quede bloqueado. Es necesario ordenar correctamente las reglas, de lo más específico (arriba) a lo más general (abajo). Asegúrate de que las reglas de «Pass» estén por encima de las reglas de bloqueo. La primera regla que coincida con el tráfico será la que se aplique.
- No confundas reglas NAT de reglas en el firewall (WAN): las reglas deben crearse en «Firewall / Rules», concretamente en la sección de WAN de Internet. No debe crearse en Firewall / NAT.
- Especificación incorrecta de puertos en las reglas: cuando se configura el campo «To» y pones varios puertos, es posible que pfSense reconozca un rango de puertos y no puertos específicos. Para resolver esto, lo más cómodo es crear un alias donde meter todos los puertos.
Como podéis ver, los errores más habituales tienen fácil solución.