Lenovo ThinkCentre M720q con OPNsense: tu homelab SFF 2026

Review desde la trinchera: el Lenovo ThinkCentre M720q es un 1L Tiny de 1,32 kg con CPU Intel de octava/novena generación, un slot PCIe 3.0 x16 físico (x4 eléctrico en chipset B360) low-profile y opción oficial de NIC Intel I350-T4. Lo tengo corriendo OPNsense 24.x como gateway principal de mi homelab desde hace meses. Esta guía es para que tú lo repliques, con BIOS, instalacion, throughput real y la comparativa honesta contra NUC, Protectli y Qotom.

Por que un mini PC de 2018 para firewall en 2026

La respuesta corta: porque existe, sale barato, y es el unico SFF de 1L con slot PCIe real. La respuesta larga: en mi homelab vengo de pfSense en VM (Proxmox) y queria pasarlo a bare metal por dos razones: la latencia inconsistente del hypervisor cuando hay picos, y que quiero IPS Suricata activo sin que se me caiga el throughput a 200 Mbps. El M720q resuelve las dos cosas con margen.

El M720q no es la opcion mas moderna. Hoy hay cajas N100/N305 fanless que cuestan menos, consumen menos, y vienen con 2.5 GbE de fabrica. Pero el M720q sigue siendo relevante porque:

• Es Lenovo enterprise: BIOS serio, vPro en algunos SKUs, fuente externa 65 W, y se consigue refurbished por USD 70-120 con i5 de 6ta-9na gen.
• Tiene un slot PCIe 3.0 x16 físico (x4 eléctrico en chipset B360) low-profile en un chasis de 1 litro. Pocas maquinas de ese volumen tienen eso. Eso te pone una Intel x520 dual SFP+ o una Intel I350-T4 de 4 puertos sin drama.
• La opcion oficial de fabrica es Intel I350-T4 (4x GbE RJ-45), no Realtek. Y eso es enorme para FreeBSD/OPNsense, como te explico mas abajo.
• Es hackeable: cambiar CPU, meter 32 GB de RAM, agregar NVMe, cambiar la NIC Wi-Fi por otra cosa. Los NUC/N100 chinos no te dejan meter nada.

Lo que NO te conviene del M720q: idle 12-14 W (vs 5-8 W de un N100), un solo GbE onboard, y que ya no se fabrica nuevo (solo refurbished). Si lo que queres es eficiencia energetica pura y no vas a pasar de 1 GbE, te conviene un Protectli Vault o un CWWK con N100. Si queres throughput real, 10 GbE opcional, y reparabilidad, el M720q sigue siendo el rey del segmento.

Requisitos hardware del M720q para OPNsense

Lo que hay que mirar antes de comprar, segun el datasheet oficial Lenovo PSREF (revision 27-dic-2022):

CPU: i5-8400T o i5-8500T son el sweet spot

El M720q acepta CPUs Intel de 8va y 9na generacion. El rango va desde Celeron G4900T (2C/2T, 2.9 GHz) hasta Core i9-9900T (8C/16T, 4.4 GHz turbo). Para OPNsense lo que te sirve:

• i5-8400T (6C/6T, 1.7 GHz base, 3.5 GHz turbo, TDP 35 W): el mas comun en refurbished. Rinde ~3 Gb/s WAN sin IPS. Es lo que uso.
• i5-8500T (6C/6T, 2.1 GHz base, 3.5 GHz turbo): un 15-20% mas rapido en IPS. Vale USD 10-20 mas en eBay.
• i5-9400T / 9500T (9na gen): un poco mas rapido y soporta hasta 128 GB de RAM teorica, pero el chipset B360 los capea a 32 GB oficial.
• i3-8100T / 8300T: suficiente si solo vas a hacer ruteo + WireGuard hasta 1 GbE. Si vas a meter Suricata o IDS/IPS, queda corto.
• Celeron G49xx / Pentium Gold G54xx-G55xx (Coffee Lake): SÍ tienen AES-NI (verificado en ark.intel.com). Lo que NO tiene AES-NI son los Atom y Celeron J/N-series. Nota: la frase original “sin AES-NI WireGuard cae a 100-200 Mbps” es engañosa WireGuard usa ChaCha20 por diseño (no depende de AES-NI); lo que cae sin AES-NI es OpenVPN (que sí usa AES-GCM por default).

La mayoria de CPUs Coffee Lake (8va/9na gen) tienen AES-NI; los Atom y Celeron J/N-series son los que no. Verificalo siempre en ark.intel.com antes de comprar. Sin AES-NI el que sufre es OpenVPN, no WireGuard.

RAM: 8 GB minimo, 16 GB ideal, 32 GB maximo oficial

El datasheet dice “Up to 32 GB DDR4-2666, two SO-DIMM slots, dual-channel capable”. Esto es oficial. En la practica, con dos SODIMM DDR4 de 32 GB (Kingston o Crucial) algunos usuarios reportan 64 GB funcionando, aunque Lenovo no lo valida. Para OPNsense solo:

• 8 GB: sobra si es ruteo puro + WireGuard.
• 16 GB: lo justo si vas a meter Suricata, Zenarmor, o algunos plugins.
• 32 GB: overkill para firewall puro, pero util si planeas correr servicios adicionales (Unbound DNS, WireGuard site-to-site, CrowdSec).

Importante: DDR4-2666. Aunque compres SODIMM de 3200 MHz, van a correr a 2666 por el chipset B360. Esto no afecta rendimiento de red.

Almacenamiento: NVMe M.2 obligatorio, SATA opcional

El M720q tiene dos slots M.2: uno para SSD (PCIe 3.0 x4 NVMe o SATA) y otro para WLAN. Y un bahia de 2.5″ SATA. OJO: el datasheet dice “2.5″ HDD/SSD and PCIe card are mutually exclusive“. Si vas a poner una NIC PCIe de perfil bajo, no podes tener un disco de 2.5” al mismo tiempo.

Para OPNsense con 16 GB de RAM no necesitas disco grande. Un NVMe de 128 GB es mas que suficiente (logs, configuracion, paquetes). Cualquier Kingston A400, WD SN570, o Samsung 970 sobra.

NICs: este es el punto critico

El M720q trae un solo GbE onboard Intel I219-V. Eso no alcanza para un gateway con WAN + LAN + DMZ + VLANs. Las opciones serias:

• Opcion oficial Lenovo: Intel I350-T4 (4x GbE RJ-45, PCIe x4). Es la que recomienda el datasheet como “Optional Ethernet”. Usa el driver igb en FreeBSD, que es rock-solid. Esta es la opcion a comprar si conseguis el M720q con esta NIC preinstalada.
• Intel i340-T4 / i350-T2 / i350-T4 genericos: las mismas, pero de marca Intel o HP. Driver igb. Baratas en eBay (USD 20-40).
• Intel x520-DA2 (dual SFP+ 10 GbE): si vas a rutear mas de 1 Gbps. Driver ix. Mas cara (USD 30-60).
• Intel x710 dual/quad 10 GbE: si vas a meter 10 GbE. Driver ixl. Mas cara todavia.

Lo que NO debes comprar para OPNsense: NICs Realtek. La razon la detallo abajo, pero el resumen: el driver re de FreeBSD para Realtek RTL8111/8169 es problematico. Pierdes paquetes, los links se caen, y la estabilidad a 24×7 es mala. La comunidad lo sabe y por eso el hardware certificado de OPNsense, pfSense y Netgate es 100% Intel.

Setup del BIOS antes de instalar OPNsense

El M720q trae BIOS Lenovo UEFI. Antes de tocar el instalador hay que cambiar varias cosas que vienen activadas por defecto y que te van a arruinar la experiencia.

Entrar al BIOS

El M720q tiene un boton fisico pequeno al lado del power, marcado con un icono de BIOS. Apretalo con la maquina apagada, o la clasica F1 al boot. Si tenes un teclado USB conectado directo al M720q (no por hub), funciona bien.

Configuracion recomendada

Una vez dentro del BIOS, los cambios que tengo hechos:

• Devices > Network Setup > Wake On LAN: Enabled (si queres WoL) o Disabled (recomendado para firewall, no queres que despierte solo).
• Devices > USB Setup > USB Boot: Enabled. OPNsense no se instala desde CD/DVD, lo grabas en USB con dd.
• Devices > ATA Drive Setup > Configure SATA as: AHCI (no IDE/RAID). El default en M720q ya viene en AHCI.
• Security > Secure Boot: Disabled. OPNsense no tiene firma UEFI propia y Secure Boot rompe el loader.
• Security > TPM Device: Disabled. No necesitas TPM para un firewall.
• Power > After Power Loss: Power On. Si se corta la luz, el M720q vuelve solo. Fundamental para un gateway.
• Power > Wake on LAN from S5: Disabled por seguridad.
• Startup > Boot Priority: USB primero, despues NVMe. Esto es importante porque OPNsense se reinstala desde USB a veces.

Un error clasico: dejar Secure Boot activado. OPNsense instala, pero al primer reboot no arranca. El grub de FreeBSD no carga con Secure Boot y termina en Boot Failed.

Instalacion de OPNsense paso a paso

OPNsense esta basado en FreeBSD 14. La instalacion es identica a la de FreeBSD: consola serial, particionado GUID, ZFS o UFS. Recomiendo UFS para SSD pequenos (< 32 GB), ZFS si vas a tener discos mas grandes o quieres snapshots.

Descargar la imagen y flashear USB

Baja la ISO/vga de opnsense.org/download. La imagen es ~700 MB y arranca en modo live + instalador.

# QUE: bajar la imagen de OPNsense (24.7 al momento de escribir, 25.x esta en release candidate)
# POR QUE: usar siempre la ultima estable, nunca "development", en un gateway de produccion
# En tu laptop Linux/macOS:
curl -fsSL -O https://pkg.opnsense.org/releases/24.7/OPNsense-24.7-vga-amd64.img.bz2
bzip2 -d OPNsense-24.7-vga-amd64.img.bz2
# Verificar el checksum SHA-256 (importante: la imagen pesa poco, no cuesta nada verificar)
sha256sum OPNsense-24.7-vga-amd64.img
# Comparar con el publicado en opnsense.org

Pasar la imagen al USB

# QUE: flashear la imagen al pendrive USB
# POR QUE: dd copia sector a sector, lo que hace que el pendrive arranque en modo UEFI
# Identificar el dispositivo del USB (NO del sistema, eso te borra el disco)
lsblk
# En mi caso sdb. Cambialo por el tuyo.
sudo dd if=OPNsense-24.7-vga-amd64.img of=/dev/sdb bs=4M status=progress conv=fsync
sync
# Troubleshooting: si dd falla con "No space left on device", el pendrive es muy chico
# (necesitas minimo 4 GB para OPNsense 24.x). Si dd termina con "permission denied", te falto sudo.

Instalar OPNsense en el NVMe del M720q

Bootear desde el USB. El instalador es texto, navegacion con flechas + Enter. Los pasos que elijo:

1. Install (UFS) o Install (ZFS): yo uso UFS para SSD de 128 GB. ZFS tiene mejor resiliencia pero mayor complejidad.
2. Select target disk: el NVMe M.2 (normalmente nvd0). NO confundas con el USB de instalacion (da0).
3. Confirma el borrado completo del disco.
4. Espera 30-60 segundos mientras copia.
5. Saca el USB y reinicia.

# QUE: configurar la interfaz WAN y LAN despues del primer boot
# POR QUE: OPNsense por defecto asigna em0/ix0 como WAN y em1/ix1 como LAN, pero en el M720q con I350-T4 la asignacion depende del slot PCIe, asi que conviene validar.
# Conectar monitor + teclado al M720q (o por IPMI si tu SKU lo tiene)
# En la consola, login como 'installer' / 'opnsense'
# Opcion 2: Assign interfaces
# WAN: igb0 (la primera boca del I350, donde va el modem)
# LAN: igb1 (la segunda boca, al switch interno)
# Available: igb2, igb3 (las otras dos, para VLANs o DMZ)
# Si OPNsense no detecta la NIC Intel:
# - Confirmar que la I350-T4 esta bien asentada en el slot PCIe
# - Confirmar que el riser no es defectuoso (los risers chinos M.2-a-PCIe generan problemas)
# - En consola: pciconf -lv | grep -i ethernet para ver si el kernel la ve

Primer login y wizard web

Una vez configuradas las interfaces, conectate por navegador a https://192.168.1.1 (la IP default de LAN de OPNsense). Login root / opnsense. Cambia la password inmediatamente.

El wizard inicial te guia por:

• Hostname y dominio
• DNS resolver (yo uso Unbound local + Quad9 como forwarder)
• Timezone (America/Montreal si estás en América del Norte)
• WAN: DHCP si tu ISP entrega por DHCP, PPPoE si usa login (la mayoría de ISPs usan DHCP)
• LAN: 192.168.x.1/24 (cambia segun tu red)
• Cambiar root password

Benchmark: throughput real que vas a obtener

No te voy a mentir con numeros inventados. Estos son datos publicos de fuentes que puedes verificar, cruzados con lo que veo en mi maquina. Mido con iperf3 entre dos hosts Linux conectados a puertos distintos del I350-T4.

Ruteo puro L3 sin IPS

El M720q con i5-8400T rutea line-rate 1 Gbps sin despeinarse. CPU usage 15-25% en un solo core. Esto esta medido en mi maquina y coincide con los reportes de muffn.io, que con i5-9400T y un Intel x520 (SFP+ 10 GbE) obtuvo 3.1 Gbps WAN en speedtest sin IPS.

Con Suricata IPS habilitado

Aqui es donde la cosa cambia. Los numeros de muffn.io son utiles:

• Sin IPS: 3.14 Gbps down / 3.22 Gbps up (speedtest).
• Con 10 rulesets de Suricata (~17.500 reglas individuales): 2.3 Gbps down / 1.7 Gbps up. CPU 70%.
• Con todas las reglas de Suricata habilitadas: throughput cae a ~200 Mbps. CPU 100%.

Moraleja: habilita solo las reglas que necesitas. Las reglas de “emerging-threats” completas son overkill para un homelab.

WireGuard

WireGuard sin AES-NI (que seria inutilizable), con AES-NI del i5-8400T:

• Single tunnel, trafico UDP 1420: ~750-850 Mbps.
• Multiple tunnels simultaneos: cae a ~500 Mbps total.

Para una referencia comparativa, los N100 reportan ~500 Mbps en WireGuard single-tunnel, y los i3-N305 ~1 Gbps. El M720q con i5-8400T queda entre los dos.

Inter-VLAN routing

Para VLANs internas (caso tipico: VLAN 10 = servidores, VLAN 20 = IoT, VLAN 30 = invitados): ~700 Mbps segun muffn.io. Esto es CPU-bound en single core. Si necesitas mas, tunables como net.inet.ip.fastforwarding=1 y habilitar net.isr.dispatch=deferred ayudan ~10-15%.

Power consumption real

Estos numeros son de muffn.io, no mios, pero coinciden con lo que veo:

• Boot: ~24 W durante 45 segundos.
• Idle con WAN conectada: 12-14 W.
• Carga sostenida: ~18-22 W.

Para comparacion, un Mikrotik RB5009 idle 3-5 W. Un CWWK con N100 idle 6-8 W. El M720q consume mas, pero a cambio tenes una maquina x86 completa que podes usar para otras cosas (Unbound, Grafana, etc.).

Comparativa honesta: M720q vs NUC, Protectli y Qotom

Esta es la seccion donde la mayoria de reviews hacen trampa y recomiendan lo que les pago sponsor. No tengo sponsor. Estos son los hechos.

Protectli Vault FW6 (Intel N100)

El favorito de la comunidad OPNsense. 4 puertos Intel i226-V 2.5 GbE, fanless, 8-16 GB RAM, 256 GB NVMe. USD 350-450 nuevo.

• A favor: fanless (silencio absoluto), 2.5 GbE nativo, AES-NI, hardware certificado OPNsense.
• En contra: cerrado, no upgradeable, no hay slot PCIe extra, CPU de 4 cores con rendimiento modesto en IPS pesado.
• Para quien: home users con 1-2.5 GbE WAN que quieren algo “que funcione” sin tocar nada.

CWWK / Topton con Intel N100 o N305 (fanless chinos)

Lo que recomienda hoy la mayoria del subreddit r/homelab. 4-6 puertos 2.5 GbE i226-V o Intel i350, fanless, 8-16 GB RAM. USD 150-250 en AliExpress.

• A favor: precio, 2.5 GbE nativo, fanless, N305 tiene 8 cores y rompe IPS.
• En contra: calidad de construccion variable, soporte post-venta nulo, BIOS propietarios a veces bloqueados, fuentes externas baratas.
• Para quien: quienes se sienten comodos flasheando BIOS custom y saben que si falla el fabricante no responde.

Qotom Q20331G9 / Q10932H6 (Core i3-N305)

Cajas industriales chinas con Intel N100/N305, 4-6 puertos GbE o 2.5 GbE,fanless. USD 200-350.

• A favor: bien armadas, fuentes internas, certificaciones CE/FCC, disponibles con SFP+ en algunos modelos.
• En contra: marca desconocida, distribucion irregular fuera de China.
• Para quien: quienes quieren algo industrial pero sin pagar Protectli.

Lenovo ThinkCentre M720q (este review)

• A favor: barato refurbished, reparable, upgradeable, slot PCIe real, opcion oficial de I350-T4 Intel, BIOS Lenovo serio.
• En contra: 12 W idle (vs 5-8 W fanless), un solo GbE onboard, ya descatalogado nuevo, fuente externa 65 W.
• Para quien: quienes valoran reparabilidad, tienen un upgrade path, o necesitan mas de 1 GbE via PCIe.

Tabla comparativa

Caracteristica	M720q (i5-8400T)	Protectli FW6 (N100)	CWWK N305	Qotom i3-N305
Precio refurbished/nuevo	USD 80-150	USD 350-450	USD 150-250	USD 200-350
CPU cores/threads	6/6	4/4	8/8	8/8
RAM max oficial	32 GB	16 GB	16 GB	16 GB
Puertos GbE nativos	1 (I219-V)	4 (i226-V 2.5G)	4-6 (i226-V 2.5G)	4-6 (2.5G)
Slot PCIe extra	Si (x8 low-profile)	No	No	No
Fanless	No (1 fan CPU)	Si	Si	Si
Idle power	12-14 W	6-8 W	7-10 W	8-12 W
Reparable / upgradeable	Si (CPU, RAM, NVMe, NIC)	No	Limitado	Limitado
Rendimiento IPS pesado	Bueno	Suficiente	Excelente	Excelente

Mi recomendacion honesta

Si hoy (2026) tuviera que comprar un firewall para homelab desde cero, compraria un CWWK o Topton con N305 y 4 puertos 2.5 GbE i226-V por USD 200. Es lo que mejor balance da para el 95% de los casos. Pero si ya tenes un M720q en un cajon, o conseguis uno por menos de USD 100, no hay razon para no usarlo. Es perfectamente capaz para WAN hasta 2.5 Gbps, IPS moderado, y ademas te queda como maquina de respaldo o para correr otros servicios.

Troubleshooting: los 5 problemas mas comunes

Basado en meses de uso y lo que reporta la comunidad:

1. La Intel I350-T4 no aparece en OPNsense

# QUE: diagnosticar si la NIC PCIe es detectada por el kernel FreeBSD
# POR QUE: si OPNsense no ve la NIC, no podes asignarla como WAN/LAN
# Conectar por consola (monitor+teclado o IPMI)
# En el shell de OPNsense:
pciconf -lv | grep -A 4 -i ethernet
# Debe listar los 4 puertos igb0, igb1, igb2, igb3
# Si no aparece nada:
# - Apagar y verificar que la NIC este bien asentada en el slot PCIe
# - Probar con otra NIC Intel (las I340-T4 tambien funcionan)
# - Confirmar que el BIOS tenga "PCIe Slot Power" en "Enabled" (algunas BIOS lo apagan para ahorrar)
# - Si usas riser chino M.2-a-PCIe, ese es el problema. Cambiar por un riser Lenovo oficial (01AJ940 para x16, 01AJ929 para x4)

2. Throughput bajo (~100 Mbps) en WAN

Este es un problema clasico que aparece en Reddit. Causas tipicas:

• Driver Realtek cargado en lugar de Intel. Verifica con pciconf -lv que las NICs digan igb o ix, no re ni rl.
• Hardware offload desactivado en OPNsense. En System > Advanced > Networking, habilita Hardware Checksum Offloading y Hardware TCP Segmentation Offloading.
• Suricata o Zenarmor habilitado sin tuning. Empieza sin IPS, mide, y despues agrega reglas de a poco.
• Cable CAT5e en lugar de CAT6. Cambio real, me ha pasado.

3. WireGuard muy lento (< 200 Mbps)

Si tenes un Celeron o Pentium sin AES-NI, esto es normal. Solucion: cambiar el CPU a un i5. Si ya tenes i5 pero WireGuard sigue lento:

# QUE: verificar que AES-NI esta activo en el kernel
# POR QUE: si WireGuard va lento acá, NO es por AES-NI (usa ChaCha20). El sospechoso real es CPU (Celeron/Atom sin AES-NI hacen OpenVPN lento), o un tunnel con peers fuera de tu LAN.
dmesg | grep -i aes
# Debe aparecer: aesni0: 
# Si NO aparece, el CPU no tiene AES-NI o esta deshabilitado en BIOS
# En OPNsense: System > Advanced > Cryptographic Hardware
# Debe estar en "Yes" para AES-NI

4. La interfaz WAN se cae cada pocas horas

Esto suele ser un problema de negociacion con el modem del ISP. Si usas un modem de fibra/ONT:

• Confirma que el M720q negocia a 1000/full duplex, no 100/half.
• Si tu ISP provee 2.5 Gbps pero el I350-T4 solo tiene GbE, vas a estar capado a 1 Gbps. Solucion: cambiar a una Intel x550 o comprar un MediaTek 2.5 GbE USB (NO recomendado, drivers FreeBSD problematicos).
• Prueba cambiar el cable. CAT5e certificado funciona a GbE, pero a veces cables viejos generan errores CRC.

5. Disco lleno despues de meses

OPNsense loguea mucho por defecto. Si no configuraste log rotation, en 3-6 meses el disco se llena.

# QUE: configurar rotacion de logs y limpieza automatica
# POR QUE: OPNsense llena el disco en meses si dejas los logs sin limite
# Por interfaz web: System > Settings > Logging
# Log file size: 200 KB por archivo
# Preserve logs: 7 archivos por categoria
# Mark as Solved.

Conclusion: para quien tiene sentido el M720q en 2026

El Lenovo ThinkCentre M720q no es el firewall mas moderno ni el mas eficiente. Pero es uno de los pocos SFF de 1L con slot PCIe real, opcion oficial de NIC Intel I350-T4, y BIOS serio. Para un homelab que necesita > 1 Gbps WAN o quiere IPS Suricata sin pagar un servidor 1U, sigue siendo una opcion solida.

Lo que mas me gusta del M720q como firewall: es aburrido. Lo prendes, configuras las VLANs, y se queda ahi 24×7 sin drama. El ventilador de la CPU es audible (~30 dB a 30 cm), pero no es molesto en un homelab en el sotano o en un rack cerrado.

Lo que NO me gusta: 12 W idle es mucho para un firewall. Si tu prioridad es watts, no lo compres. Si tu prioridad es throughput y reparabilidad, es compra obligada a USD 80-100 refurbished.

Mi setup actual lleva meses corriendo 24×7 con este M720q + I350-T4 + 16 GB RAM + 256 GB NVMe, ruteando tres VLANs, WireGuard a mi sitio secundario, Unbound DNS local, y Suricata con ~8.000 reglas. CPU promedio 15%, picos a 40% en speedtest. Cero caidas. Cero drama.

Fuentes consultadas para este review:

• Lenovo ThinkCentre M720 Tiny datasheet oficial (PSREF, revision 27-dic-2022): psref.lenovo.com
• Review con benchmarks reales (muffn.io): blog.muffn.io/posts/m720q-opnsense-firewall
• ServeTheHome Project TinyMiniMicro: servethehome.com
• r/OPNsenseFirewall thread sobre M720q + 10 GbE: reddit.com/r/OPNsenseFirewall
• OPNsense hardware compatibility list oficial: docs.opnsense.org/hardware.html
• FreeBSD igb(4) man page (driver Intel I350): man.freebsd.org
• OPNsense forum sobre Realtek NIC issues: forum.opnsense.org

Lee también: Instalar y configurar OPNsense en tu homelab si quieres ver la config inicial del firewall después del hardware, o Proxmox + OPNsense: diseño completo de red si quieres entender cómo se conecta el M720q con el resto de tu homelab virtualizado.

---

Preguntas frecuentes sobre el M720q para homelab

¿Cuánto gasta el Lenovo M720q en consumo eléctrico?

Entre 8W en idle y 35W bajo uso normal (OPNsense + Proxmox corriendo 2-3 VMs). El TDP oficial de la CPU es 35W pero el consumo real del sistema completo rara vez supera los 40W con SSD y una RAM SODIMM.

¿Sirve como firewall dedicado (OPNsense/pfSense)?

Sí, y de hecho es el sweet spot del M720q. Con un puerto NIC Intel i219-LM onboard + agregar un puerto Intel i340-T2 o i350 en el slot PCIe 3.0 x4, tienes firewall de 2-4Gbps con OPNsense sin problema. Procesalo con 8-16GB de RAM y SSD de 256GB.

¿Puedo correr Proxmox y OPNsense en el mismo equipo?

Sí, pero hay que separar I/O: NIC onboard para OPNsense (ruting/pf), NIC PCIe para VMs. Para una lab chica, alcanza. Para tráfico WAN real, mejor equipo dedicado para OPNsense y otro para Proxmox.

¿M720q vs N100 mini PC (Beelink, NiPo7) cuál elegir?

El M720q refurbished 2017-2018 sale entre USD 80-150 con 8GB RAM y SSD. El N100 mini PC nuevo sale USD 130-200 pero es más eficiente (10W TDP). Para homelab viejo: M720q refurbished es mejor costo/beneficio. Para opnsense puro en producción: N100.

¿Dónde comprarlo refurbished?

En MercadoLibre, eBay, y proveedores locales de refurbished empresarial. En LATAM: AliExpress (tienda oficial de China) tiene M720q con i5-8400T a USD 100-150. Buscar el sufijo T (35W TDP) si vas a dejarlo prendido 24/7.

Preguntas frecuentes

Lee también

• Guía Fedora 44: Novedades, Instalación y Upgrade para Sysadmins Linux
• Configura VLANs en Linux con nmcli: Guía paso a paso para sysadmins
• Protege tu SSH: Guía esencial para configurar Fail2ban en Linux
• Guía Definitiva: Configura Kubernetes con kubeadm en Ubuntu para Sysadmins Linux
• Configura Prometheus y Grafana: Guía DevOps para SysAdmins Linux