Qué es OPNsense: un cortafuegos de código abierto para la oficina

OPNsense — firewall y enrutador de código abierto. Se instala en un equipo independiente, mini-PC o máquina virtual, y se convierte en la puerta de enlace entre la red de la oficina e Internet: filtra el tráfico, asigna direcciones, levanta VPN, cambia al proveedor de reserva. El proyecto se distribuye bajo la licencia BSD simplificada de dos cláusulas, funciona sobre FreeBSD y publica versiones mayores dos veces al año; la actual es 26.7 «Xenial Xenops».

Qué puede hacer

Según la descripción del proyecto:

• firewall con seguimiento del estado de conexiones para IPv4 y IPv6;
• varios proveedores con balanceo y conmutación por fallo (Multi-WAN);
• VPN: IPsec, OpenVPN, WireGuard;
• par redundante de dos dispositivos por el protocolo CARP con sincronización de estado;
• sistema de prevención de intrusiones basado en Suricata con reglas de Emerging Threats;
• informes, gráficos de carga y análisis de flujos NetFlow.

El resto se añade mediante complementos desde el catálogo integrado: proxies inversos, filtros DNS, agentes de monitorización y otros.

Para quién está destinado

OPNsense tiene sentido donde un router común ya se queda corto: una oficina de 10–100 personas con dos proveedores, VPN para empleados remotos y sucursales, segmentación de la red (contabilidad, invitados, cámaras), requisitos de registrar y controlar el tráfico. Para un piso con un solo proveedor es excesivo, y para una red grande con decenas de sucursales conviene compararlo con soluciones corporativas en cuanto a soporte y gestión centralizada.

Instalación

1. Hardware. Se necesita un dispositivo con al menos dos puertos de red — WAN y LAN. Es mejor usar tarjetas de red Intel: FreeBSD tiene menos problemas con ellas. También sirve una máquina virtual, por ejemplo en Proxmox, con dos adaptadores virtuales.
2. Imagen. Se descarga desde opnsense.org y se graba en una llave USB. El instalador ofrece el sistema de archivos ZFS o UFS; ZFS es más resistente a fallos de alimentación.
3. Asignación de interfaces. Tras el primer arranque la consola pregunta qué puerto es WAN y cuál es LAN. A continuación la configuración se realiza en la interfaz web en la dirección LAN (por defecto 192.168.1.1), el asistente de configuración inicial guía por los pasos principales.

Primeros ajustes

• Cambiar la contraseña root y crear un usuario administrador separado.
• Restringir el acceso a la interfaz web solo desde la red interna. No es necesario abrirla a Internet: para administración remota existe la VPN.
• Actualizar el sistema a la última versión de la rama.
• Reglas del firewall. Por defecto desde LAN se permite todo, desde WAN — nada. Es mejor segmentar la red desde el principio: la Wi-Fi de invitados y las cámaras no deben ver los equipos de trabajo.
• Copia de seguridad de la configuración. Toda la configuración es un único archivo XML; conviene exportarlo después de cada cambio significativo.

Canal de respaldo

Para dos proveedores en OPNsense se crean dos gateways con comprobación de disponibilidad y un grupo de gateways con niveles de prioridad: el principal — nivel 1, el de reserva — nivel 2. El grupo se indica en la regla para el tráfico saliente. Cuando la comprobación del gateway principal falla, el tráfico sale por el de reserva. Más detalles sobre esquemas de redundancia — en el artículo sobre salida a Internet mediante dos proveedores.

API

Para la automatización, OPNsense dispone de una REST API. El acceso no se concede con la contraseña del administrador, sino con un par «clave y secreto» que se crea para un usuario en el gestor de usuarios. Este par se transmite como usuario y contraseña en HTTP Basic Auth:

curl -u "API_KEY":"API_SECRET" https://192.168.1.1/api/core/firmware/status

Para la API conviene crear un usuario separado con privilegios mínimos, en lugar de dar la clave al administrador.

OPNsense o pfSense

OPNsense nació como fork de pfSense en 2015, y los sistemas tienen mucho en común: FreeBSD, capacidades similares, el mismo tipo de tareas. Se diferencian en el enfoque de las versiones y en la licenciamiento: OPNsense tiene una edición abierta con lanzamientos dos veces al año, mientras que pfSense dispone de una CE abierta y una Plus comercial. Una comparación detallada — en el artículo sobre pfSense.

Cuándo OPNsense es adecuado

Si se necesita un firewall completo con VPN, canal de respaldo y segmentación de red sin pagos por licencias y hay alguien que lo vaya a mantener, OPNsense es una buena elección. Si se prefiere un dispositivo “lista para usar” con configuración mínima, es más práctico un router comercial — por ejemplo, MikroTik o Keenetic.