Cómo instalar OPNsense en Proxmox VE, paso a paso.

¿Conviene virtualizar el firewall?

Depende de dónde. Virtualizado te ahorras un equipo, el firewall se respalda con el resto de las máquinas y puedes hacer una instantánea antes de actualizar. El precio es que si el servidor se apaga, se va internet. Por eso, en la sede principal de una empresa pequeña con un solo servidor suelo dejar el firewall perimetral en un equipo físico; virtualizarlo encaja en clústeres con dos o más nodos (mejor aún con dos OPNsense en alta disponibilidad con CARP), en sucursales, en firewalls internos entre VLAN y en laboratorios. Lo comparo con pfSense en pfSense vs OPNsense.

1. Prepara la red de Proxmox

Necesitas dos puentes, cada uno con su tarjeta física:

• vmbr0 · LAN: el puente de siempre, donde está la IP de administración de Proxmox y tu red interna.
• vmbr1 · WAN: un puente nuevo, conectado a la tarjeta que va al módem o a la ONT del proveedor, sin IP en el host. Así Proxmox no queda expuesto a internet.

Puedes crearlo en Nodo ‣ Sistema ‣ Red ‣ Crear ‣ Linux Bridge, o en /etc/network/interfaces (cambia enp2s0 por tu tarjeta):

auto vmbr1
iface vmbr1 inet manual
    bridge-ports enp2s0
    bridge-stp off
    bridge-fd 0

ifreload -a

Si vas a usar VLAN en la LAN, marca VLAN aware en vmbr0 y crea las VLAN dentro de OPNsense.

2. Descarga la imagen de OPNsense

Para máquinas virtuales, la documentación de OPNsense recomienda la imagen DVD. Descárgala directamente en el almacenamiento de ISO de Proxmox y comprueba su suma:

cd /var/lib/vz/template/iso
wget https://pkg.opnsense.org/releases/26.7/OPNsense-26.7-dvd-amd64.iso.bz2
wget https://pkg.opnsense.org/releases/26.7/OPNsense-26.7-checksums-amd64.sha256
grep dvd OPNsense-26.7-checksums-amd64.sha256
sha256sum OPNsense-26.7-dvd-amd64.iso.bz2   # deben coincidir
bunzip2 OPNsense-26.7-dvd-amd64.iso.bz2

3. Crea la máquina virtual

Desde la consola de Proxmox, con almacenamiento local-lvm (ajústalo al tuyo):

qm create 100 --name opnsense --ostype other --machine q35 --cpu host --cores 2 --memory 4096 \
  --scsihw virtio-scsi-single --scsi0 local-lvm:32,discard=on,ssd=1 \
  --net0 virtio,bridge=vmbr0 --net1 virtio,bridge=vmbr1 \
  --cdrom local:iso/OPNsense-26.7-dvd-amd64.iso --boot order='scsi0;ide2' \
  --agent enabled=1 --onboot 1

• VirtIO en las dos tarjetas: es la que recomienda Proxmox para el máximo rendimiento. En OPNsense aparecerán como vtnet0 y vtnet1.
• q35 o i440fx: OPNsense funciona con los dos tipos de máquina.
• Memoria: 3 GB es el mínimo; con IDS/IPS o muchos complementos, sube a 8 GB.
• Arranque automático con --onboot 1: si el servidor se reinicia, internet vuelve solo.

Si usas el cortafuegos de Proxmox, desactívalo en las tarjetas de esta VM (casilla Firewall en Hardware): el firewall es OPNsense.

4. Instala OPNsense

1. Arranca la VM y abre la Consola. Cuando termine de cargar, entra con el usuario installer y la contraseña opnsense.
2. Elige el teclado y el sistema de archivos. La documentación de OPNsense dice que ZFS es la mejor opción en la mayoría de los casos.
3. Selecciona el disco virtual, confirma y espera la copia.
4. Cambia la contraseña de root y reinicia.
5. Quita la ISO: qm set 100 --ide2 none,media=cdrom.

5. Asigna WAN y LAN

En la consola de OPNsense, entra como root y usa la opción 1) Assign interfaces. Antes, mira en Proxmox (Hardware) la dirección MAC de cada tarjeta para no confundirlas: la de vmbr1 es la WAN. Con la opción 2) Set interface IP address pon la IP de la LAN; por defecto es 192.168.1.1.

Desde un equipo de la LAN, abre https://192.168.1.1 (o la IP que elegiste) y completa el asistente: nombre, DNS, zona horaria y la conexión WAN (DHCP, IP fija o PPPoE, según tu proveedor).

6. Desactiva el offloading de hardware

Es el paso que más problemas evita. En Interfaces ‣ Settings marca la desactivación de:

• Hardware CRC: OPNsense aconseja dejarlo desactivado.
• Hardware TSO: es incompatible con el IPS de OPNsense.
• Hardware LRO: puede degradar el rendimiento del enrutamiento.
• VLAN Hardware Filtering: en Disable, que es el valor por defecto desde hace años.

Guarda y reinicia la VM. La documentación de virtualización de OPNsense lo resume en una línea: «Disable all hardware off-loading settings».

7. Agente QEMU, respaldos y actualizaciones

• Agente QEMU: instala el complemento os-qemu-guest-agent en System ‣ Firmware ‣ Plugins. Proxmox podrá apagar la VM de forma ordenada y ver sus direcciones IP.
• Respaldo de la configuración: descarga el XML en System ‣ Configuration ‣ Backups y guárdalo fuera del servidor.
• Respaldo de la VM: inclúyela en los trabajos de Proxmox Backup Server.
• Antes de actualizar: una instantánea en Proxmox. Si algo sale mal, vuelves atrás en segundos.

Problemas comunes

• No hay internet en la LAN: WAN y LAN están cruzadas. Compara las MAC de Proxmox con las de la consola y reasigna.
• Velocidad muy por debajo de tu plan: offloading activo o tarjetas emuladas (e1000) en vez de VirtIO.
• Perdiste el acceso a Proxmox: la IP de administración quedó detrás del firewall que estabas configurando. Ten siempre acceso por la LAN o una consola física.
• Proxmox no apaga la VM: falta el agente QEMU o la opción QEMU Guest Agent en la VM.

Preguntas frecuentes

Fuentes

• OPNsense: instalación en máquinas virtuales y en la nube (documentación oficial).
• OPNsense: ajustes de interfaces y offloading.
• OPNsense: requisitos de hardware.
• OPNsense 26.7: notas de la versión.
• Proxmox VE: máquinas virtuales QEMU/KVM.