Cómo instalar y configurar OPNsense desde cero para un homelab

agosto 3, 2026 Alfonso Moreno | Sysadmin Senior 89 Visitas 11 min de lectura

OPNsense es un sistema operativo derivado de FreeBSD pensado para actuar como firewall, router y plataforma de red. Ofrece una interfaz web pulida, actualizaciones firmadas y un catálogo creciente de plugins. Esta guía acompaña desde la descarga de la imagen verificada hasta las primeras reglas de firewall, con énfasis en montajes de homelab sobre hardware reciclado o mini-PCs.

TL;DR — Lo que vas a tener al final

Tiempo de setup: 4-6 horas para setup completo.
Requisitos: CPU con VT-x, 16+ GB RAM, 64+ GB SSD.
Resultado: Homelab con VMs/LXC, backups PBS, monitoring integrado.
Troubleshooting: Logs de Proxmox, snapshots, restore drills mensuales.

1. Por qué OPNsense y qué aporta frente a un router doméstico

Un router típico de operador cumple su función, pero deja poco margen al administrador: pocas opciones de firewall, sin segmentación de VLANs decente, sin VPN transparente, sin DNS DoH o sin integración con servicios externos. OPNsense, en cambio, expone todo eso en una GUI y un shell potentes, montados sobre una base BSD estable.

En un homelab destacan algunas funciones concretas:

Firewall stateful con pf, portado desde OpenBSD a FreeBSD.
Servidor DHCP y DNS, con reenvío condicional y vistas por interfaz.
Portal cautivo para invitados, con vouchers y límites.
VPN (IPsec, OpenVPN, WireGuard incluido en el core desde 23.1).
Informes de uso y telemetría por interfaz.
Actualizaciones firmadas con verificación criptográfica de la imagen.

2. Elegir hardware: mini-PC, appliance o VM

Para un homelab pequeño basta un mini-PC de bajo consumo (Protectli, Topton, Qotom) con 4 GB de RAM, 32 GB de almacenamiento y dos o más NICs. Evita WiFi interna; usa un AP dedicado. Virtualizado, OPNsense funciona en Proxmox o XCP-ng con KVM y necesita al menos dos NICs virtuales (WAN + LAN). Los drivers típicos son igb, ax o ice. Conviene un puerto con bypass hardware para cortes eléctricos largos.

3. Descargar, verificar y elegir imagen

El proyecto publica nuevas imágenes dos veces al año, normalmente en enero y julio. Aunque una versión esté recién anunciada, conviene actualizar tras instalar para tomar el último set de parches.

3.1. Verificación criptográfica

Para verificar la imagen se usan tres mecanismos: SHA-256, firma OpenSSL (.sig) y clave pública (.pub). Los pasos oficiales son:

openssl sha256 OPNsense-<version>-<type>-amd64.img.bz2
bunzip2 OPNsense-<version>-<type>-amd64.img.bz2
openssl base64 -d -in OPNsense-<version>-<type>-amd64.img.sig -out /tmp/image.sig
openssl dgst -sha256 -verify OPNsense-<version>.pub -signature /tmp/image.sig OPNsense-<version>-<type>-amd64.img

Primero compara la salida SHA-256 con el archivo de checksums descargado. Desde OPNsense 24.1, la firma se genera sobre la imagen sin comprimir, por eso bunzip2 va antes de openssl dgst. El último comando debe imprimir Verified OK. Compara además la clave pública .pub del mirror con una copia publicada por el proyecto para reducir el riesgo de un mirror comprometido.

3.2. Tipos de imagen

OPNsense publica cuatro tipos para x86-64; cambian el medio de arranque y la consola:

Tipo	Medio	Consola	Uso típico
dvd	ISO	VGA	Live CD, máquinas virtuales
vga	USB	VGA	Instalación en servidor físico
serial	USB	Serial 115200	Hardware sin pantalla
nano	USB/SD preescrito	Serial + VGA	Equipos embedded, sin teclado

La elección no es definitiva: toda imagen Full permite ejecutar después el instalador, incluso para clonar la instalación actual a otra unidad. La imagen nano se aplica con dd; las demás se graban a USB desde un sistema libre o con Etcher/Rufus en Windows:

sudo dd if=OPNsense-##.#.##-vga-amd64.img of=/dev/sdX bs=16k status=progress

4. Instalación paso a paso en un servidor físico

Una vez grabado el USB, conecta teclado y monitor, enciende el equipo y pulsa la tecla de arranque (habitualmente F12, F11, DEL o ESC). Selecciona el dispositivo USB para arrancar.

El sistema entra en el Live environment. Las credenciales por defecto son:

usuario: installer
contraseña: opnsense

Si por descuido tecleas en el login root, escoge la opción 8 Shell y lanza opnsense-installer a mano.

El asistente pide, de forma muy guiada:

Keymap: deja la predeterminada salvo teclado exótico.
Install (UFS|ZFS): ZFS es la opción recomendada por su integridad. Para tarjetas SD/MMC antiguas se elige UFS por la menor carga de escritura.
Particionado: stripe en un solo disco es válido; mirror solo si el hardware lo permite.
Selección de disco: confirma cuidadosamente: en SD/MMC verás mmcsd0, no da0, que es el USB.
Contraseña de root: cámbiala, incluso en homelab.
Complete Install: extrae, escribe y reinicia.

Tras el reinicio, entra con root y la nueva contraseña. OPNsense intentará detectar las interfaces: em0, em1, ix0, igb0… Lo habitual es que la primera sea LAN y la segunda WAN, aunque la elección es arbitraria. Ahí arrancamos con el primer reto importante: la asignación de interfaces.

5. Asignar interfaces y direcciones IP

OPNsense arranca con una asistencia que pregunta qué interfaz será WAN, cuál LAN y, si lo necesitamos, qué interfaces adicionales quedan como OPT. Antes de responder, identifica las NICs con pciconf -l o mira las luces de actividad. Lo más seguro es empezar con una WAN con DHCP y una LAN con IP estática, dejando el resto sin asignar.

La asignación manual se puede reconfigurar desde la consola con la opción 1 Assign interfaces. Se aceptan VLANs (opcional en este punto) y la puerta de enlace WAN por DHCP o estática, según el operador.

Verificamos la conexión:

ping 8.8.8.8

Si responde, la WAN funciona. Si no, revisa DHCP o el MTU (en PPPoE suele estar en 1492).

6. Configuración inicial desde la GUI

Para entrar a la GUI conectamos un PC a la LAN y visitamos https://192.168.1.1/ (la IP por defecto). El navegador mostrará una advertencia de certificado autofirmado: aceptarla y continuar, o añadir la CA en el cliente para silenciar la alerta.

Credenciales por defecto (recordatorio crítico: cambiarlas de inmediato):

usuario: root
contraseña: opnsense

El primer paso dentro del panel es entrar en System → Wizard y rellenar los datos básicos: hostname, dominio, servidores DNS, idioma de la GUI y zona horaria. El asistente ofrece también configurar las interfaces, lo que ayuda a no saltarse pasos.

Después, en System → Settings → Administration se endurece el acceso: cambiar la contraseña, desactivar el acceso HTTP, mover el puerto HTTPS o escuchar solo en LAN. Si tienes pensado entrar desde fuera, conviene habilitar un certificado de Let’s Encrypt o crear un usuario específico con permisos limitados.

7. Servir DHCP, DNS y VLANs

El corazón de un homelab es la red interna. En OPNsense:

Interfaces → LAN: confirmar o ajustar la IP estática. Mantener 192.168.1.1/24 es válido en una red pequeña; si necesitas escalar, segmenta.
Services → DHCPv4 → LAN: activa el servidor DHCP y define un rango, por ejemplo 192.168.1.100–192.168.1.200, con gateway por defecto en 192.168.1.1 y DNS por defecto dentro de OPNsense si activas DNS Resolver.
Services → Unbound DNS: decide si resolverás de forma recursiva o reenviarás consultas a servidores upstream. DNS-over-TLS puede configurarse en Unbound; DNS-over-HTTPS suele requerir un componente o plugin adicional según la versión.
Interfaces → VLANs: añade VLAN 10 (Guest), 20 (IoT), 30 (Servers). En la sección de VLAN describe el trunk en la interfaz física que conecte al switch gestionable.

La segmentación que OPNsense dibuja en VLANs tiene su espejo en reglas de firewall que verás más adelante. Mantén la coherencia de numeración si vas a ampliarla con tiempo.

8. Reglas de firewall mínimas para homelab

OPNsense tiene la política deny by default en WAN y allow by default en LAN en una instalación limpia. Conviene endurecerlo desde el inicio.

Las reglas mínimas son:

En LAN: permitir todo a la salida. Es una práctica común en homelabs pequeños donde la red es de confianza, aunque en producción real se recomienda filtrar protocolos.
En WAN: ninguna regla por defecto. Cualquier acceso entrante no solicitado se descarta.
En Guest VLAN: permitir solo DNS y DHCP hacia OPNsense, denegar accesos al resto de VLANs.
En Servers VLAN: permitir explícitamente los puertos hacia internet que necesitas (HTTPS para Nextcloud, por ejemplo) y denegar todo lo demás por defecto.

Antes de la regla WAN necesitas un port forward hacia el servidor interno. Una regla de firewall por sí sola no “publica” nada, solo permite tráfico que ya fue dirigido al host. La secuencia segura en OPNsense es:

Firewall → NAT → Port Forward: crear una entrada nueva con interfaz WAN, protocolo TCP/IPv4, destino WAN address, puerto origen 443 (o el que decidas), redirección a la IP interna del servidor (por ejemplo 192.168.1.50) y puerto destino 443, asociada a localhost o al alias del servidor. Marcar “NAT reflection” solo si sabes lo que haces; por defecto, dejarla en disable.
Asociar la regla automáticamente: OPNsense ofrece “Add associated filter rule” en el mismo formulario. Si lo activas, generará una regla WAN similar a la del ejemplo siguiente; si lo desactivas, crea la regla de firewall a mano.
Cambiar el puerto por defecto si solo necesitas acceso ocasional: mover el servicio al puerto WAN 8443 u otro alto reduce exposición a escaneos masivos. Evita exponer 80/443 si no son imprescindibles.
TLS vigente y certificado válido: nada de self-signed en WAN. Usa os-acme-client o un reverse proxy local (HAProxy, Caddy) que gestione Let’s Encrypt.
Reverse proxy o DMZ en producción real: la regla WAN directa expone el servidor a internet sin intermediario. Para cualquier cosa que no sea jugar, pon un proxy que termine TLS y haga autenticación, y mueve el servidor a una VLAN dedicada sin rutas a la LAN.

Un ejemplo mínimo para un servidor web casero (regla WAN entrante, asumiendo que ya creaste el port forward):

Acción	Interfaz	Protocolo	Origen	Destino	Puerto destino
Pass	WAN	TCP	any		443
Block	WAN

Truco: activa Logging en las reglas mientras afinamos la red. Más tarde se apagan para reducir el ruido en /var/log/filter.log.

9. Plugins imprescindibles para un homelab

OPNsense tiene un catálogo oficial de plugins en System → Firmware → Plugins. Los más útiles en homelab:

os-haproxy: balanceo TCP o terminación TLS cuando se exponen varios servicios tras OPNsense.
WireGuard u OpenVPN: revisa primero los menús VPN ya incluidos en tu versión; instala un plugin solo cuando la documentación de esa versión lo pida.
os-acme-client: gestión automática de certificados de Let’s Encrypt.
os-freeradius: autenticación para la red WiFi empresarial, si se va a montar WPA2-Enterprise.
os-telegraf o os-collectedd: exportación a InfluxDB o Prometheus, especialmente útil combinado con Grafana para ver tráfico por interfaz.

La instalación es un click desde la GUI, y los servicios aparecen automáticamente en los menús correspondientes.

10. Actualizaciones y backups

OPNsense libera ediciones con cadencias diferentes: la Business Edition tiene soporte comercial y la Community Edition es la que suele usar un homelab. Para evitar meter ramas de pago donde no toca, revisa la página de descarga antes de elegir canal y mantén un canal estable entre actualizaciones mayores.

Para actualizar de forma segura:

Hacer backup en System → Configuration → Backups. Es un XML que importa cualquier instalación nueva del mismo nivel.
Comprobar el changelog del plugin o versión principal antes de pulsar.
Actualizar desde System → Firmware → Updates. Hay que confirmar dos veces porque la operación es potencialmente destructiva.
Reiniciar servicios solo si la actualización lo recomienda.

Programa los backups automáticos a un volumen CIFS o USB para no depender de la GUI. Para escenarios con datos sensibles cifra el XML antes de moverlo al almacenamiento externo.

11. Errores comunes y cómo evitarlos

Los fallos más repetidos al instalar OPNsense por primera vez:

Verificar la conectividad a internet antes de tocar reglas: sin ping a 8.8.8.8 no avanzar con cortafuegos.
Asignar WAN y LAN al revés. Cambiar en consola con la opción 1.
Olvidar registrar un static mapping DHCP para dispositivos críticos (NAS, servidor).
Creer que las VLANs funcionan sin configurar el switch: el switch debe estar en modo trunk en el puerto que las conecta.
Actualizar sin leer el release notes. Las migraciones mayores a veces desactivan plugins o cambian rutas.
Desactivar el firewall por error. La regla por defecto en WAN lo prohíbe, pero al añadir reglas permisivas se puede “pinchar” la red.

Antes de pasar a producción, repasa las recomendaciones oficiales de OPNsense sobre NAT y reglas WAN, y complementalas con su propia guía de hardening.

Conclusiones

OPNsense es una herramienta muy capaz para un homelab: pocos requisitos, GUI pulida, núcleo BSD maduro y un ecosistema de plugins suficiente. La curva de aprendizaje inicial se centra en entender la asignación de interfaces y en planificar las VLANs; el resto va fluyendo a medida que se completan necesidades concretas (VPN, portal cautivo, DNS dinámico).

Más allá de la instalación básica, los siguientes pasos suelen ser montar una VPN, segmentar la red y añadir backups automáticos. Quien aterrice ahí tendrá un firewall con entidad profesional. Si tu objetivo es exponer servicios, recuerda complementarlo con TLS vigente y, si tienes presupuesto, separar la WAN dedicada del resto mediante servicios autoalojados.

Preguntas frecuentes

¿Por qué Cómo instalar y configurar OPNsense desde cero para un homelab es relevante para sysadmins Linux?

Forma parte del flujo diario de administración. Los conceptos explicados se aplican directamente a servidores en producción y resuelven problemas reales que enfrentan sysadmins hispanohablantes.

¿Qué necesito para empezar con Cómo instalar y configurar OPNsense?

Distribución Linux actualizada (Debian, Ubuntu, RHEL, Fedora o Arch), acceso root, y conexión a internet. Para producción: entorno de staging separado antes de aplicar cambios.

¿Cuáles son los errores más comunes con Cómo instalar y configurar OPNsense?

Los tres más frecuentes: (1) saltar la lectura de logs, (2) aplicar cambios directos en producción sin probar, (3) olvidar permisos y ownership. La documentación y un plan de rollback siempre.

¿Cuándo usar Cómo instalar y configurar OPNsense y cuándo una alternativa?

Esta solución es ideal para el caso descrito. Alternativas como Docker, Ansible o configuración manual pueden ser mejores según contexto: portabilidad, escala y reproducibilidad son los factores clave.

¿Cómo migro desde una configuración previa a Cómo instalar y configurar OPNsense?

Documentar el estado actual, probar la nueva configuración en staging, validar funcionalmente, y aplicar en producción con rollback plan listo. Los posts de SoyLinux incluyen troubleshooting para los problemas más comunes.