--- title: "Cómo configurar OPNsense: reglas, NAT, VPN e IDS" description: "Configura un firewall OPNsense tras instalarlo: asistente inicial, reglas con alias, redirección de puertos, VPN WireGuard, IDS Suricata y copias de seguridad." category: "Seguridad de Red Avanzada" language: es source: https://cubepath.com/es/docs/seguridad-de-red-avanzada/configuracion-del-firewall-opnsense updated: 2026-09-25 --- # Cómo configurar OPNsense: reglas, NAT, VPN e IDS OPNsense es un firewall y router de código abierto basado en FreeBSD, derivado de pfSense, con actualizaciones frecuentes y una interfaz web moderna. En este tutorial partirás de una instalación limpia de OPNsense con una interfaz WAN y otra LAN, completarás la configuración inicial y crearás los elementos que casi todo despliegue necesita: reglas basadas en alias, una redirección de puertos hacia un servidor interno, una VPN WireGuard para acceso remoto, detección de intrusiones con Suricata y copias de seguridad de la configuración. ## Requisitos previos - OPNsense instalado en un equipo físico o una máquina virtual con al menos dos interfaces de red (WAN y LAN), 2 CPU, 4 GB de RAM y 20 GB de disco si vas a usar el IDS. La imagen de instalación se descarga en `https://opnsense.org/download/`. - Un equipo conectado a la LAN de OPNsense desde el que abrir la interfaz web. - Opcional: un servidor en la LAN (por ejemplo, un servidor web en `192.168.1.10`) para probar la redirección de puertos. > Nota: Durante la instalación desde la imagen, inicia sesión en la consola con el usuario `installer` y la contraseña `opnsense` para lanzar el instalador. Tras instalar, el usuario administrador es `root` con la contraseña que elijas en el instalador (por defecto, `opnsense`). ## Paso 1: Asignar interfaces desde la consola Al arrancar, OPNsense muestra en la consola las interfaces detectadas y un menú: ```output LAN (vtnet1) -> v4: 192.168.1.1/24 WAN (vtnet0) -> v4/DHCP4: 203.0.113.50/24 0) Logout 7) Ping host 1) Assign interfaces 8) Shell 2) Set interface IP address 9) pfTop ... ``` Comprueba que la WAN es la interfaz conectada a Internet y que la LAN tiene la IP que esperas (`192.168.1.1/24` por defecto). Si están cruzadas, usa la opción `1` para reasignarlas; para cambiar el rango de la LAN, usa la opción `2`. Desde un equipo de la LAN, verifica que llegas al firewall: ```bash ping -c 3 192.168.1.1 ``` ## Paso 2: Completar el asistente inicial Abre `https://192.168.1.1` en el navegador del equipo de la LAN, acepta el certificado autofirmado e inicia sesión como `root`. Si el asistente no se abre solo, lánzalo desde **System > Wizard**. Configura: - **Hostname y dominio**, servidores DNS y zona horaria. - **WAN**: DHCP o IP estática según tu proveedor. Mantén marcadas las opciones que bloquean redes privadas y bogon si la WAN tiene IP pública. - **LAN**: la IP y máscara definitivas. - **Contraseña de root**: cámbiala por una contraseña fuerte. Al terminar, comprueba el estado en **Lobby > Dashboard**: la WAN debe tener IP y puerta de enlace. Después, actualiza el sistema en **System > Firmware > Status** pulsando **Check for updates**. Si prefieres la consola, entra en la opción `8) Shell` y ejecuta: ```bash opnsense-update ``` Repite la comprobación hasta que no queden actualizaciones pendientes; algunas requieren reiniciar. ## Paso 3: Crear alias Un alias agrupa direcciones, redes o puertos bajo un nombre que se reutiliza en las reglas. Si mañana cambia una IP, la modificas en el alias y todas las reglas se actualizan. Ve a **Firewall > Aliases** y crea dos: | Nombre | Tipo | Contenido | |---|---|---| | `servidores_web` | Host(s) | `192.168.1.10` | | `puertos_web` | Port(s) | `80`, `443` | Pulsa **Apply** para guardar los cambios. ## Paso 4: Revisar y ajustar las reglas de firewall Las reglas se definen por interfaz en **Firewall > Rules**. Se evalúan de arriba abajo y la primera que coincide se aplica; lo que no coincide con ninguna regla se bloquea. La configuración por defecto es: - **WAN**: sin reglas de paso, así que todo el tráfico entrante no solicitado se bloquea. - **LAN**: una regla que permite a la LAN ir a cualquier destino, más una regla anti bloqueo que garantiza el acceso a la interfaz web desde la LAN. Como ejemplo, impide que los equipos de la LAN usen servidores DNS externos, de modo que todos resuelvan a través del firewall. En **Firewall > Rules > LAN** añade una regla y colócala por encima de la regla general: - **Action**: Block - **Interface**: LAN - **Protocol**: TCP/UDP - **Source**: LAN net - **Destination**: invierte la selección (**Destination / Invert** marcado) con destino **This Firewall** - **Destination port range**: DNS (53) - **Log**: marcado - **Description**: Bloquear DNS externo Guarda y pulsa **Apply changes**. Para comprobarlo, desde un equipo de la LAN intenta resolver con un servidor externo y luego con el firewall: ```bash dig @1.1.1.1 opnsense.org +time=2 +tries=1 dig @192.168.1.1 opnsense.org +short ``` La primera consulta debe fallar por tiempo de espera y la segunda devolver una IP. Los bloqueos aparecen en **Firewall > Log Files > Live View**. ## Paso 5: Redirigir un puerto a un servidor interno Para publicar el servidor web de la LAN en la IP pública, crea una redirección de puertos en **Firewall > NAT > Port Forward** (en las versiones más recientes, esta sección puede aparecer como **Destination NAT**): - **Interface**: WAN - **Protocol**: TCP - **Destination**: WAN address - **Destination port range**: `puertos_web` - **Redirect target IP**: `servidores_web` - **Redirect target port**: `puertos_web` - **Filter rule association**: Add associated filter rule - **Description**: Web publica Guarda y aplica los cambios. OPNsense crea automáticamente la regla de paso correspondiente en **Firewall > Rules > WAN**. Verifica la redirección desde un equipo **fuera** de tu red: ```bash curl -I http://your_wan_ip ``` ```output HTTP/1.1 200 OK Server: nginx ``` Si pruebas desde la propia LAN usando la IP pública, puede fallar: es el problema del NAT reflection, que se activa en **Firewall > Settings > Advanced**. Es preferible usar DNS interno para que los equipos de la LAN resuelvan el nombre a la IP privada. ## Paso 6: Configurar una VPN WireGuard de acceso remoto WireGuard viene integrado en OPNsense. Esta VPN permite conectar un portátil a la LAN desde cualquier lugar. 1. Ve a **VPN > WireGuard > Instances** y añade una instancia: nombre `wg-remoto`, puerto `51820`, dirección de túnel `10.99.0.1/24`. Pulsa el botón para generar el par de claves y guarda. 2. En **Peers**, añade un peer por cada dispositivo: nombre `portatil`, su clave pública (generada en el cliente), **Allowed IPs** `10.99.0.2/32` y la instancia `wg-remoto`. 3. En la pestaña **General**, marca **Enable WireGuard** y aplica. Abre el puerto en la WAN en **Firewall > Rules > WAN** con una regla **Pass**, protocolo **UDP**, destino **WAN address**, puerto `51820`. Luego, en **Firewall > Rules > WireGuard (Group)**, añade una regla **Pass** desde `10.99.0.0/24` hacia **LAN net** para que los clientes lleguen a la red interna. En el cliente (Linux con el paquete `wireguard`), la configuración sería: ```ini [Interface] PrivateKey = CLAVE_PRIVADA_CLIENTE Address = 10.99.0.2/32 DNS = 192.168.1.1 [Peer] PublicKey = CLAVE_PUBLICA_OPNSENSE Endpoint = your_wan_ip:51820 AllowedIPs = 192.168.1.0/24, 10.99.0.0/24 PersistentKeepalive = 25 ``` Tras levantar el túnel en el cliente, comprueba en **VPN > WireGuard > Status** que aparece un handshake reciente y haz ping a `192.168.1.1` desde el cliente. ## Paso 7: Activar la detección de intrusiones con Suricata OPNsense integra Suricata como IDS (solo alerta) o IPS (bloquea). Antes de activarlo en modo IPS, comprueba en **Interfaces > Settings** que las opciones de descarga por hardware (**Hardware CRC**, **Hardware TSO** y **Hardware LRO**) están deshabilitadas, porque el modo en línea no funciona correctamente con ellas. Después: 1. Ve a **Services > Intrusion Detection > Administration** y, en **Settings**, marca **Enabled**. 2. Deja **IPS mode** desmarcado de momento, para empezar solo con alertas y evitar cortar tráfico legítimo. 3. En **Interfaces**, selecciona **WAN**. 4. Pulsa **Apply**. 5. En la pestaña **Download**, selecciona los conjuntos de reglas `ET open` que te interesen (por ejemplo, los de malware, escaneos y exploits), pulsa **Download & Update Rules** y espera a que terminen. Comprueba que llegan alertas en la pestaña **Alerts** tras unas horas de tráfico. Cuando confíes en que las reglas no generan falsos positivos, activa **IPS mode** y define en **Policy** qué categorías pasan de alertar a bloquear. ## Paso 8: Programar copias de seguridad de la configuración Toda la configuración de OPNsense está en un único archivo XML (`/conf/config.xml`). Descárgala en **System > Configuration > Backups** con **Download configuration**. Marca la opción de cifrado y guarda la contraseña en un gestor: el archivo contiene claves privadas de VPN y hashes de contraseñas. En la misma página puedes restaurar una copia o volver a una de las versiones anteriores que OPNsense guarda automáticamente en **System > Configuration > History** cada vez que aplicas un cambio. ## Paso 9: Verificar el estado desde la consola Si habilitas SSH en **System > Settings > Administration** (**Secure Shell**, solo accesible desde la LAN), puedes revisar las reglas cargadas en el filtro de paquetes directamente: ```bash pfctl -sr | head -n 20 pfctl -s nat ``` Para ver las conexiones activas que el firewall está siguiendo: ```bash pfctl -ss | head -n 20 ``` ## Solución de problemas **Te has bloqueado el acceso a la interfaz web.** Desde la consola, la opción `8) Shell` te da una shell de root; ejecuta `pfctl -d` para desactivar temporalmente el filtro, corrige la regla en la web y vuelve a activarlo con `pfctl -e`. También puedes reiniciar la configuración con la opción `4) Reset to factory defaults`. **La redirección de puertos no responde.** Comprueba que el servidor interno usa OPNsense como puerta de enlace predeterminada; si no, las respuestas salen por otra ruta. Revisa también que la regla asociada existe en **Firewall > Rules > WAN**. **Tras activar el modo IPS se cae la conectividad.** Desactiva el modo IPS, confirma que las opciones de descarga por hardware están deshabilitadas y reinicia el firewall antes de volver a probar. ## Conclusión Tienes OPNsense con la configuración inicial completada, reglas mantenibles con alias, un servicio interno publicado, acceso remoto por WireGuard, Suricata vigilando la WAN y copias de seguridad de la configuración. Como siguientes pasos, puedes segmentar la red con VLAN para separar servidores y usuarios, montar alta disponibilidad con CARP entre dos instancias o exportar los logs a un sistema centralizado.