Logs Explorer con resource.type=vpn_gateway y el texto del estado IKE. ‘peer not responding’ = versión IKE, PSK, IP o UDP 500/4500; ’traffic selectors narrowed’ = subredes de fase 2 que no coinciden. Con pfSense y BGP: route maps permit in/out o no se aceptan rutas.
{prefijo}{octetos significativos del destino}{router} por ruta, en hex; la 0.0.0.0/0 tiene cero octetos de destino. Incluye siempre la ruta por defecto en la 121, porque el cliente descarta el router de la opción 3 cuando recibe la 121. Windows la pide como 249 además de 121; Kea 2.4+ la escribe como ‘192.0.2.0/24 - 192.168.1.254’; MikroTik como 0x… con code=121.
pfctl -sT lista tablas; pfctl -t -T show|add|delete|test|flush|replace -f. En pfSense los aliases son tablas, sshguard es el bloqueo por login fallido y los cambios a mano se van con la siguiente recarga de reglas.
Con vtnet, FreeBSD descarta paquetes con checksum sin calcular. Marca Disable hardware checksum offload y reinicia la VM aunque la GUI no lo pida; hasta entonces no fluye el tráfico.
El tráfico LAN → IP pública no sale por la WAN, muere en el firewall. Split DNS (host override → IP interna) es lo limpio; Pure NAT + automatic outbound NAT for reflection cuando el DNS no es tuyo.
Token de Cloudflare con Zone:Read + DNS:Edit sobre la zona, método DNS-Cloudflare con Token/Account ID/Zone ID, staging primero, y en el certificado una acción ‘Restart Local Service: haproxy’ para que HAProxy recargue el cert nuevo.
pkg-static no depende de libssl y sigue funcionando. certctl rehash, pkg-static install -fy pkg, pkg-static install -xfy pfSense-repo pfSense-upgrade, y después la actualización por System > Update, nunca con pkg upgrade.
Edita la CRL en System > Certificates > Certificate Revocation, pon Lifetime 730 y guarda: se regenera con fechas válidas. En versiones viejas, antes aplica el parche ‘Fix for CRL expiration lifetime’ con System Patches.