OPNsense es uno de los sistemas de firewall y routing más utilizados del mercado, por todas las capacidades con las que cuenta y por su precio… ¡Es gratis! Y, aunque, se puede instalar directamente sobre cualquier equipo, virtualizar este tipo de sistemas siempre es ventajoso por una sencilla razón: siempre puedes volver atrás.

Si virtualizamos OPNsense, en este caso, con Hyper-V, y realizamos algún cambio o actualización que afecte a toda nuestra red, siempre podemos hacer una snapshot y volver atrás sin apenas tiempo de inactividad. En cosa de 5 minutos, será como si no hubiese pasado nada.

Escenario de implementación

El escenario en esta guía es el siguiente:

Concretamente, se trata de un servidor de Hyper-V que va a albergar todo tipo de máquinas y que no me interesa que se vean entre algunas de ellas.

Por ejemplo, en la LAN 100, vamos a tener un controlador de dominio de Active Directory y un servidor de archivos, a los que accederemos por VPN (con Wireguard). Sin embargo, en la LAN 101, tendremos un servidor web con Nextcloud y un servidor Docker, que serán accesibles desde Internet con Cloudflare Tunnels.

Por seguridad, como Cloudflare Tunnels expone y enruta hacia toda la red interna, es recomendable mantener las dos redes separadas.

La máquina virtual que usaremos para OPNsense tendrá las siguientes capacidades:

Descarga de OPNsense

Para descargar OPNsense, acudimos a la web oficial: https://opnsense.org/download/

Elegiremos AMD64 como arquitectura y DVD como tipo de imagen. En cuanto al mirror, seleccionamos el que esté más cerca de nuestra ubicación. Por último, pulsamos en «Download».

Configuración de los switches

Abrimos el Administrador de Hyper-V y pulsamos en «Administrador de conmutadores virtuales».

Pulsamos en «Nuevo conmutador de red virtual» y elegimos «Interno». Hacemos clic en «Crear conmutador virtual».

Por ejemplo, lo llamamos «OPN – LAN 100» y pulsamos en Aplicar.

Repetimos los pasos para crear un segundo conmutador interno que se llame «OPN – LAN 101».

Por último, creamos un conmutador de tipo externo que se llame «OPN – WAN 1». Si ya teníamos un conmutador externo creado y asignado a la interfaz de red, utilizaremos el conmutador existente.

Creación de la máquina virtual

Ahora, vamos a crear la máquina virtual. En el Administrador de Hyper-V, pulsamos en Nuevo > Máquina virtual.

Lo primero será elegir el nombre y ubicación de la máquina virtual. Por ejemplo, la podemos llamar «OPN – Firewall 1». También, voy a cambiar la ubicación de almacenado para que se instale sobre un disco duro mecánico.

Como generación, elegimos Generación 1 y, en cuanto a RAM, le asignamos 2 GB (2048 MB).

Nos saltamos la parte de funciones de red y pasamos a crear un disco duro virtual. Con una capacidad de 16 GB es suficiente.

Seguimos con el asistente hasta finalizar. Después, pulsamos con el botón derecho sobre la máquina y pulsamos en «Configuración».

Pulsamos en «Unidad de DVD» y marcamos la casilla «Archivo de imagen». Hacemos clic en «Examinar» y elegimos la ISO que nos hemos descargado previamente (habremos tenido que descomprimir el archivo BZ2 con alguna utilidad como 7-Zip).

Pulsamos en «Adaptador de red» y elegimos el conmutador virtual externo que hemos creado antes.

Ahora, hacemos clic en «Agregar hardware» y en «Adaptador de red». Elegimos uno de los conmutadores de red internos.

Repetimos con el otro adaptador interno y así es como debería quedar nuestra máquina virtual.

Pulsamos en «Aceptar» para aplicar todos los cambios.

Instalación de OPNsense

Ahora, nos conectamos a la máquina virtual haciendo doble clic sobre ella y pulsamos en «Iniciar».

Esperamos a que el sistema termine de cargar.

Para iniciar la instalación, introducimos las siguientes credenciales:

• Login: installer
• Password: opnsense

En la primera pantalla, dejamos la selección que viene por defecto y pulsamos Intro.

Hacemos lo mismo en la segunda pantalla.

A continuación, elegimos el almacenamiento que hemos montado antes. Podremos identificarlo por su capacidad, en este caso, 16 GB.

Nos pedirá confirmación. Pulsamos la tecla Y.

Ahora, comenzará la instalación de OPNsense.

Cuando la instalacion termine, tenemos que quitar el DVD de instalación pulsando en Medios > Unidad de DVD > Expulsar OPNsense.

Pulsamos la tecla C para finalizar la instalación y reiniciar. Si os da un error «vm_fault: pager read error», simplemente, pulsad el botón para desconectar la máquina y la volvemos a iniciar.

Ahora, la máquina volverá a arrancar, pero lo hará desde la unidad de almacenamiento y no desde el DVD.

Configuración de interfaces en OPNsense

Iniciamos sesión con las siguientes credenciales:

• Login: root
• Password: opnsense

Ahora, pulsamos 1 para empezar a configurar las interfaces de red según la tabla del comienzo de la publicación.

En las preguntas sobre si deseamos configurar LAGGs y VLANs, indicamos que no escribiendo la letra N.

El siguiente paso es indicar la interfaz WAN. Como no sabemos la asignación que ha hecho la máquina virtual, volvemos a mirar las propiedades de la máquina virtual y buscamos la dirección MAC que corresponde al conmutador externo. Para ello, tenemos desplegar la interfaz con el icono + y hacer clic en «Características avanzadas».

En mi caso, se trata de la interfaz «hn0». Así que escribo el nombre de la interfaz y pulso Intro.

Repetimos la misma operación para las interfaces LAN asociándolas con los conmutadores virtuales internos. Finalmente, no escribimos nada y pulsamos Intro. OPNsense nos pedirá confirmación de los cambios. Escribimos «y» para confirmar.

En ese momento, el sistema asignará la subred 192.168.1.0/24 a la LAN y cogerá una IP de la red por DHCP para la interfaz WAN.

Escribimos la opción 2 para empezar a configurar el direccionamiento de las interfaces de red.

A continuación, elegimos la opción 1 para configurar la interfaz LAN1. Indicamos que no vamos a configurar la interfaz vía DHCP e indicamos la dirección IP 192.168.100.1 y la máscara de subred en notación CIDR, en este caso, 24. En la última pregunta, simplemente, pulsamos Intro.

En las preguntas sobre IPv6, indicaremos que no o las dejaremos en blanco pulsando Intro.

Sobre el DHCP, queda a la elección de cada uno. Al tratarse de una interfaz de red interna de Hyper-V, no debería preocuparnos que OPNsense comience a asignar direcciones IP a los dispositivos de nuestra red física. En caso de habilitar DHCP, tendremos que indicar la IP de comienzo del rango y la IP de finalización.

En la pregunta sobre el cambio de HTTPS a HTTP, indicaremos que no y diremos que sí a la hora de generar un nuevo certificado auto-firmado para la interfaz web. En cuanto a restaurar los accesos por defecto a la interfaz web, indicamos que no.

Repetimos los mismos pasos para la interfaz LAN 2, que en OPNsense aparecerá como OPT1. Recordemos que, en esta ocasión, estamos configurando el direccionamiento 192.168.101.0/24.

Abrimos un navegador, como Microsoft Edge, y vamos a la URL https://192.168.100.1 para acceder a la interfaz web.

Las credenciales por defecto son las mismas que hemos utilizado antes para configurar OPNsense.

En la primera página que aparece, pulsamos «Next» para realizar la configuración inicial.

Indicamos un hostname para el firewall, el dominio si así lo queremos y cambiamos el idioma.

El siguiente paso es cambiar la zona horaria. En mi caso, Europe/Madrid.

En el caso de la configuración de la WAN, como se utiliza el DHCP de la red física, simplemente pulsamos en «Siguiente». Hacemos lo mismo con la interfaz LAN, puesto que la hemos configurado previamente.

Por último, cambiamos la contraseña «root» para evitar mantener la contraseña por defecto.

Pulsamos en «Recargar» para aplicar los cambios.

Finalmente, pulsamos en Interfaces > LAN y editamos la descripción para tener identificado qué estamos conectando en cada interfaz.

Pulsamos en Guardar y en Aplicar cambios. Hacemos lo mismo con la interfaz OPT1 para que pase a llamarse LAN 101, y con la WAN para que se llame WAN 1. Con estos pequeños cambios, ya tenemos todas las interfaces correctamente configuradas.