Em arquiteturas com pfSense mult-WAN, muita gente acha que uma segunda WAN só pode ser usada dentro de balanceamento ou failover. Mas não: você pode usar essa WAN como gateway dedicado para um roteador ou servidor específico, criando uma camada paralela de rede — perfeita para proxies, filtros, appliances e segmentações de tráfego.
O princípio é simples: policy-based routing + NAT correto.
1. Cenário
Três interfaces:
- WAN1
- WAN2
- LAN (rede interna principal)
WAN2 está configurada como parte de um gateway group (balanceamento ou failover). Mesmo assim, você quer colocar um roteador externo numa rede separada e fazer esse roteador sair exclusivamente pela WAN2, montando uma segunda camada de proxy.
Sim, é totalmente possível.
2. O Que Torna Isso Possível
O pfSense prioriza regras de firewall sobre o gateway group.
Ou seja: se você colocar uma regra dizendo “tudo o que vier dessa rede sai pelo gateway WAN2”, ela vence o balanceamento.
Isso chama-se policy-based routing.
3. Passo 1: Criar a Rede Separada
Use uma interface física extra ou uma VLAN.
Exemplo:
Interface LAN2 ou VLAN 30.
Configure um range próprio, como:
- 192.168.30.1/24
Seu roteador ou servidor proxy ficará nessa rede.
4. Passo 2: Regra de Firewall Enviando TUDO para a WAN2
Acesse:
Firewall > Rules > LAN2 (ou a VLAN criada)
Crie uma regra:
- Source: LAN2 net
- Destination: any
- Gateway: WAN2 (o gateway individual, não o grupo)
- Coloque essa regra no topo.
Essa regra força todo tráfego da rede LAN2 a sair pelo IP público da WAN2, independentemente do balancer.
5. Passo 3: NAT para a WAN2
Esse é o ponto onde muita gente erra.
Vá em:
Firewall > NAT > Outbound
Use modo Hybrid ou Manual.
Adicione:
- Interface: WAN2
- Source: LAN2 net
- Translation / Address: IP da WAN2
Sem isso, o tráfego até sai, mas não volta — sintomas clássicos: ping funciona, navegação trava.
6. Resultado
Agora você tem:
- Rede principal → sai por balanceamento ou gateway group
- Rede do roteador/proxy → sai exclusivamente por WAN2
- Total isolamento entre os caminhos
- Independência para logs, cache, relatórios e experimentação
- Possibilidade de testar regras, inspeção, proxy transparente, DPI, rate-limit, etc, sem mexer na rede principal
Tudo usando a segunda WAN como gateway dedicado.
7. Quando Isso É Útil
- Montar uma segunda camada de proxy Squid, MikroTik, OPNsense ou appliance dedicado
- Criar uma DMZ que sai por link diferente
- Desviar algum tráfego para um link barato
- Segmentar redes de convidados
- Testar serviços externos sem influenciar o restante da empresa
8. Resumo Técnico
- WAN2 pode ser usada como gateway exclusivo
- Gateway groups não impedem policy-based routing
- A regra da rede secundária deve ficar acima das demais
- NAT para WAN2 é obrigatório
- Funciona com VLANs, redes físicas ou túneis
Simples, limpo e poderoso.