pfSense CE y Plus: cortafuegos para oficina y en qué se diferencia de OPNsense

pfSense — cortafuegos y enrutador basado en FreeBSD, uno de los proyectos abiertos más antiguos en este campo. Lo desarrolla la empresa Netgate, y hoy existe en dos ediciones: la abierta pfSense CE (Community Edition) y la comercial pfSense Plus. Las tareas son las mismas que las de OPNsense: puerta de enlace entre la red de oficina e Internet, VPN, varios proveedores, segmentación de la red.

CE y Plus: ¿en qué se diferencian?

Según Netgate:

Versiones vigentes según la documentación de Netgate en agosto de 2026: CE 2.8.1 y 2.9.0, Plus 26.03 y 26.07. Las versiones CE se publican con mucha menos frecuencia que Plus, y parte de las nuevas funciones aparece primero en Plus.

Para una empresa rusa es importante que Plus se compra a Netgate o a través de AWS y Azure Marketplace, por lo que la opción realista es CE.

Qué puede hacer

• cortafuegos con seguimiento de estado, reglas por interfaz, alias para grupos de direcciones y puertos;
• varios proveedores con grupos de puerta de enlace y conmutación por fallo;
• VPN: IPsec, OpenVPN, WireGuard (como paquete);
• par con tolerancia a fallos mediante CARP con sincronización de configuración;
• paquetes desde el gestor integrado: HAProxy, Suricata, pfBlockerNG y otros.

Ejemplo: HAProxy en pfSense

HAProxy se instala como paquete a través de System → Package Manager. Hay un paquete estable HAProxy y HAProxy-devel, que sigue la rama de desarrollo. Tras la instalación las opciones aparecen en el menú Services → HAProxy:

• en la sección Backend se describen los grupos de servidores a los que van las peticiones y las comprobaciones de su disponibilidad;
• en la sección Frontend — las direcciones y puertos en los que HAProxy acepta conexiones, y las reglas para elegir el backend, incluso por nombre de dominio;
• los certificados se toman del gestor de certificados de pfSense.

No se escribe el archivo de configuración a mano: el paquete lo genera a partir de la configuración de la interfaz. La documentación de Netgate señala una particularidad: aunque en la interfaz hay pestañas separadas para frontends y servidores, la configuración final consiste enteramente en secciones listen. Cómo funciona HAProxy y cómo escribir su configuración manualmente se explica en la entrada sobre HAProxy.

Instalación y actualizaciones

1. Dispositivo con dos puertos de red o máquina virtual.
2. Desde la página de descargas pfSense.org, CE y Plus se descargan mediante Netgate Installer, y el enlace a este lleva a la tienda online de Netgate.
3. Tras la instalación la consola propone asignar WAN y LAN; a continuación — el asistente de configuración en la interfaz web.
4. Las actualizaciones se aplican desde System → Update. Antes de actualizar entre versiones mayores conviene exportar la configuración (Diagnostics → Backup & Restore) y leer las notas de la versión.

Los primeros pasos son los mismos que para cualquier cortafuegos: cambiar la contraseña del administrador, restringir el acceso a la interfaz web desde la red interna, dividir la red en segmentos, configurar la copia de seguridad de la configuración.

pfSense u OPNsense

OPNsense surgió en 2015 como fork de pfSense, por lo que sus capacidades son cercanas. La elección normalmente la determinan no las funciones, sino las condiciones:

• Licencia y lanzamientos. OPNsense tiene una sola edición abierta y lanzamientos dos veces al año. pfSense CE se actualiza con menos frecuencia, y las nuevas funciones suelen llegar primero a la versión comercial Plus.
• Interfaz. Las interfaces son diferentes, y la experiencia del administrador con una de ellas es un argumento importante.
• Ecosistema. pfSense tiene más guías antiguas y discusiones en foros, OPNsense — actualizaciones más frecuentes y una API REST integrada con claves de acceso.
• Soporte. Si se necesita soporte de pago del fabricante y dispositivos listos para usar, eso es Netgate y pfSense Plus.

Para un proyecto nuevo sin dependencia de Netgate suelen elegir OPNsense. Si en la empresa ya funciona pfSense y el administrador lo conoce, no tiene sentido cambiar solo por cambiar de plataforma.

Cuándo encaja pfSense

pfSense CE encaja en una oficina que necesita un cortafuegos completo con VPN, canal de respaldo y paquetes como HAProxy sin pagos de licencia. Si no se necesita tanta flexibilidad y se prefiere un dispositivo listo, es más sencillo escoger un router — MikroTik o Keenetic.