Si llevas un tiempo con Proxmox y tienes un stack de homelab en serio (Jellyfin, Immich, Forgejo, Headscale), es muy probable que tu seguridad de red se vea así: el router de tu proveedor, una LAN plana y todo en la misma subred. Funciona, hasta que deja de funcionar.
OPNsense cambia eso. Y correrlo como VM en Proxmox, en lugar de en hardware dedicado, te da snapshots, vuelta atrás fácil y un equipo menos en el estante. OPNsense 26.1 "Witty Woodpecker" salió en enero de 2026 y es la versión con la que recomiendo empezar: deja oficialmente obsoleto el viejo demonio ISC DHCP, trae un nuevo servicio Host Discovery y corrige muchos casos borde en el manejo de IPv6.
Así se configura bien.
¿Por qué virtualizar tu firewall?
La objeción típica es que virtualizar el firewall en el mismo host que protege está "mal". Y en sentido estrictamente de seguridad, no es una mala objeción. Pero en un homelab, los beneficios claramente compensan:
- Snapshots antes de cada cambio. Cada vez que toques reglas del firewall o actualices OPNsense, toma un snapshot primero. Si rompes algo, vuelves atrás en 30 segundos.
- Sin hardware extra. Un mini PC con Intel N100 dedicado solo al firewall está bien, pero es un equipo más que administrar. A escala de homelab, consolidar en Proxmox tiene más sentido.
- Migración fácil. Cuando cambies tu nodo de Proxmox, la VM de OPNsense se muda con él.
Si tu entorno requiere seguridad realmente alta, el hardware dedicado tiene sentido. ¿Para un homelab? Virtualízalo.
Planifica la red antes de tocar nada
Aquí es donde la mayoría de las guías se apuran demasiado. Antes de instalar OPNsense, tienes que decidir cómo va a estar estructurada tu red.
Una distribución de VLANs razonable para un homelab:
VLAN 10 — Management (Proxmox, OPNsense admin, switches)
VLAN 20 — Servers (your self-hosted services: Jellyfin, Immich, etc.)
VLAN 30 — IoT (smart plugs, cameras, anything you don't trust)
VLAN 40 — Trusted clients (your main workstations, laptops)
VLAN 50 — Guest WiFi (isolated, internet-only)No tienes que implementar todas el primer día, pero planifícalas desde ahora. Agregar VLANs después a una red plana existente es doloroso.
Para que esto funcione en Proxmox necesitas un switch administrable con soporte de etiquetado de VLAN 802.1Q. El TP-Link TL-SG108E de 8 puertos Gigabit es la opción barata clásica: unos $30, interfaz web y cumple. Si quieres algo con CLI de verdad y mejor rendimiento, el TP-Link TL-SG2210P agrega PoE y LACP.
Configuración de red en Proxmox
OPNsense necesita como mínimo dos interfaces de red: WAN y LAN. Cómo lo resuelves en Proxmox depende de tu hardware.
Opción A: dos NICs físicas, ambas en passthrough
Es el enfoque más limpio. Tu host de Proxmox se queda con una NIC para administración y le pasas dos más a OPNsense: una para WAN y otra para LAN. Para que el passthrough sea confiable necesitas NICs Intel. Para WAN, la NIC Intel I226-V de 2.5GbE es la que yo elegiría. Si quieres una tarjeta PCIe que funcione bien con los grupos IOMMU, la Intel I350-T2 de doble puerto es el estándar de oro: las tarjetas empresariales usadas cuestan unos $40-50 en eBay.
Opción B: una sola NIC física, bridge de Linux con trunk de VLANs
Si solo tienes una NIC, crea un bridge de Linux en tu host de Proxmox con VLAN-aware activado. OPNsense recibe una interfaz WAN y un trunk LAN con VLANs. Funciona perfectamente en la mayoría de los homelabs y te ahorra hardware.
Para activar VLAN-aware en un bridge de Proxmox, edita /etc/network/interfaces:
auto vmbr0
iface vmbr0 inet static
address 192.168.1.10/24
gateway 192.168.1.1
bridge-ports eno1
bridge-stp off
bridge-fd 0
bridge-vlan-aware yes
bridge-vids 2-4094Luego crea un segundo bridge para WAN conectado al puerto de tu módem/proveedor:
auto vmbr1
iface vmbr1 inet manual
bridge-ports eno2
bridge-stp off
bridge-fd 0Aplica con ifreload -a, y no olvides respaldar antes la configuración de tu host de Proxmox.
Crea la VM de OPNsense
Descarga la ISO DVD de OPNsense 26.1 desde opnsense.org: elige la arquitectura amd64 y el tipo de imagen dvd. Súbela al almacén de ISOs de Proxmox.
Configuración de VM que funciona bien:
OS: Other (FreeBSD under the hood, but OPNsense ISO handles it)
BIOS: SeaBIOS (or OVMF/UEFI — both work in 26.1)
Disk: 16–32GB, virtio-scsi, on your fastest storage
vCPUs: 2–4 (pin to physical cores if you have them to spare)
RAM: 2–4GB (2GB is fine for basic setups, 4GB if you run Zenarmor or Suricata)
Network: Add two VirtIO NICs — one attached to vmbr1 (WAN), one to vmbr0 (LAN trunk)Inicia la VM, arranca desde la ISO y sigue el instalador. Las credenciales por defecto son installer / opnsense. La instalación toma unos 3 minutos.
Después del primer arranque, entra por la consola y sigue el asistente de configuración inicial. Asigna la interfaz WAN a vtnet0 y la LAN a vtnet1. OPNsense asigna por defecto la IP de LAN 192.168.1.1/24; cámbiala si choca con tu subred actual.
Lo primero que configurar en OPNsense 26.1
Actualiza de inmediato. System → Firmware → Updates. OPNsense publica actualizaciones cada dos semanas. Instálalas antes de hacer cualquier otra cosa.
DHCP: ojo con el cambio de la 26.1. En la 26.1, Dnsmasq pasa a ser el proveedor de DHCP y DNS por defecto en instalaciones nuevas (Kea está disponible como alternativa con más funciones, sobre todo para delegación de prefijos IPv6). Si migras desde una instalación vieja de OPNsense, tus asignaciones de ISC DHCP no se migran solas. Expórtalas primero.
Crea las interfaces VLAN. Interfaces → Other Types → VLAN. Crea una entrada para cada ID de VLAN que planificaste, todas apuntando a tu interfaz LAN padre (vtnet1). Luego asigna cada VLAN como una interfaz nueva en Interfaces → Assignments. Actívalas, ponles una IP fija (por ejemplo, 192.168.20.1/24 para la VLAN 20) y activa DHCP en cada una.
Reglas de firewall. La postura por defecto de OPNsense es permisiva en LAN y bloqueada en WAN. Para que la segmentación por VLANs funcione de verdad, necesitas reglas explícitas. Un punto de partida sensato:
# VLAN 30 (IoT) — internet only, no access to other VLANs
Block: source VLAN30_net → destination RFC1918 private ranges
Allow: source VLAN30_net → destination any
# VLAN 20 (Servers) — allow from Trusted, block from IoT
Allow: source VLAN40_net → destination VLAN20_net
Block: source VLAN30_net → destination VLAN20_netEstas reglas se agregan en Firewall → Rules → [interfaz VLAN]. OPNsense evalúa las reglas de arriba hacia abajo y gana la primera que coincide.
Configura la VPN con WireGuard
OPNsense 26.1 incluye WireGuard en el kernel por defecto (sin plugin). Así obtienes una VPN de acceso remoto a tu homelab, útil incluso si ya usas Headscale, porque WireGuard en OPNsense te da control de políticas de firewall sobre el tráfico de la VPN que Headscale/Tailscale no ofrece tan fácilmente.
VPN → WireGuard → Local → Add. Genera un par de llaves, define la red del túnel (por ejemplo, 10.10.10.1/24), elige un puerto (51820 es el predeterminado) y agrega una entrada de peer por cada dispositivo. En Firewall, crea una regla en la interfaz de WireGuard para permitir tráfico hacia tu VLAN de servidores.
Con un router de viaje, puedes correr WireGuard del lado de OPNsense y hacer que todo el tráfico de un GL.iNet o similar viaje por el túnel hasta tu casa automáticamente.
Suricata IDS/IPS: ¿vale la pena en un homelab?
Respuesta corta: sí, pero configúralo con cuidado.
Services → Intrusion Detection → Administration. Actívalo en tu interfaz WAN. En un homelab, córrelo primero en modo IDS (solo alertas): el modo IPS (bloqueo) genera falsos positivos que te van a arruinar la noche.
Recomendación de reglas: activa ET Open (gratis). Sáltate los feeds de pago salvo que los necesites específicamente. ET Open cubre las categorías de amenazas relevantes para una red doméstica.
Nota de rendimiento: Suricata necesita RAM dedicada. Si le diste 2 GB a OPNsense, súbelo a 4 GB antes de activar Suricata. En hardware moderno, a escala de homelab, no vas a notar el uso extra de CPU.
El nuevo servicio Host Discovery
OPNsense 26.1 agregó un servicio Host Discovery (Services → Host Discovery) que observa tu red de forma pasiva y arma un inventario de dispositivos conectados: direcciones MAC, hostnames y marcas de primera/última vez visto. No es revolucionario, pero es realmente útil para detectar dispositivos intrusos en tu VLAN de IoT o equipos que deberían tener IP fija pero están tomando asignaciones de DHCP.
Actívalo en tus interfaces VLAN, no en WAN.
Hardware recomendado si pasas a un equipo dedicado
Si en algún momento quieres sacar OPNsense de Proxmox y darle hardware dedicado, estas son las opciones que yo consideraría:
- Económico: un Dell OptiPlex 7060 Micro usado con una NIC Intel I350-T2 adicional. Menos de $100 en total, maneja routing de 1 Gbps con margen.
- Moderno y eficiente: un Beelink EQR6 o un mini PC AMD Ryzen similar con ranura PCIe. Silencioso, de bajo consumo y lo bastante rápido para multigigabit si tu proveedor algún día llega ahí.
- Tipo appliance: el Protectli VP2410 está hecho específicamente para OPNsense/pfSense, con 4 NICs Intel i225, AES-NI y sin partes móviles. Cuesta más, pero el formato es muy limpio.
Para protección con UPS (imprescindible si OPNsense es tu router principal), el APC BE600M1 mantiene la carga de un mini PC por más de 45 minutos según el fabricante.
Problemas comunes
La regla de snapshot antes de cada cambio. Ya lo mencioné, pero vale repetirlo. VMs de Proxmox → OPNsense → Snapshots → Take Snapshot. Hazlo antes de cada cambio importante. Una regla de firewall mal puesta puede dejar todo tu homelab inaccesible.
Aislamiento de la interfaz de administración de Proxmox. La interfaz web de Proxmox debería estar en la VLAN de administración (VLAN 10), sin acceso desde internet e idealmente sin acceso desde las VLANs de IoT o de invitados. Configúralo en las reglas de OPNsense desde el principio: es más fácil antes de tener 30 reglas.
El bug de certificados ECDSA con OIDC externo. Si integras OPNsense o Proxmox con Authentik para SSO y ves errores 401 durante la autenticación OIDC, la causa suele ser que Proxmox no maneja bien los certificados de firma ECDSA. Regenera el certificado de firma de Authentik como RSA y funcionará.
NICs VirtIO vs. e1000. Usa VirtIO para las VMs de OPNsense en Proxmox: rinde mucho mejor que el e1000 emulado. OPNsense 26.1 maneja VirtIO sin problemas sobre FreeBSD.
No pongas OPNsense en el mismo pool de almacenamiento que tus VMs pesadas. Si tu almacenamiento de Proxmox está bajo mucha E/S por una transcodificación de Jellyfin o el machine learning de Immich, la latencia de OPNsense se dispara. Ponlo en un SSD aparte o, como mínimo, en otro pool.
A dónde te lleva esto
Después de un fin de semana de configuración, tendrás un homelab con segmentación de red real: tus dispositivos IoT no pueden llegar a tus servidores, tus servidores son accesibles desde tu VLAN de confianza, WireGuard te deja entrar de forma remota y Suricata vigila tu WAN. Es una postura de seguridad mucho mejor que una LAN plana, y todo corre en hardware que ya tienes.
OPNsense 26.1 es la versión más pulida de OPNsense hasta la fecha. El abandono de ISC DHCP, el nuevo servicio Host Discovery y el ritmo de actualizaciones cada dos semanas lo hacen una buena apuesta a largo plazo. Empieza con la VM en Proxmox, toma snapshots sin miedo y agrega complejidad (Suricata, más VLANs, peers de WireGuard) poco a poco.
Aviso: este artículo contiene enlaces de afiliado. Si compras a través de ellos, puedo ganar una pequeña comisión sin costo extra para ti.
¿Quieres algo así para tu negocio?
Instalo infraestructura privada y autoalojada en Proxmox: IA, automatización y herramientas internas en hardware que es tuyo, documentado y entregado. Ver el stack de IA privada →
¿No sabes qué necesitas? Agenda una llamada gratis.