pfctl -sT lista tablas; pfctl -t -T show|add|delete|test|flush|replace -f. En pfSense los aliases son tablas, sshguard es el bloqueo por login fallido y los cambios a mano se van con la siguiente recarga de reglas.
Con vtnet, FreeBSD descarta paquetes con checksum sin calcular. Marca Disable hardware checksum offload y reinicia la VM aunque la GUI no lo pida; hasta entonces no fluye el tráfico.
El tráfico LAN → IP pública no sale por la WAN, muere en el firewall. Split DNS (host override → IP interna) es lo limpio; Pure NAT + automatic outbound NAT for reflection cuando el DNS no es tuyo.
Token de Cloudflare con Zone:Read + DNS:Edit sobre la zona, método DNS-Cloudflare con Token/Account ID/Zone ID, staging primero, y en el certificado una acción ‘Restart Local Service: haproxy’ para que HAProxy recargue el cert nuevo.
pkg-static no depende de libssl y sigue funcionando. certctl rehash, pkg-static install -fy pkg, pkg-static install -xfy pfSense-repo pfSense-upgrade, y después la actualización por System > Update, nunca con pkg upgrade.
Edita la CRL en System > Certificates > Certificate Revocation, pon Lifetime 730 y guarda: se regenera con fechas válidas. En versiones viejas, antes aplica el parche ‘Fix for CRL expiration lifetime’ con System Patches.