En pocas palabras
- pfSense (Netgate) tiene el ecosistema de paquetes más conocido y años de documentación. Su edición gratuita, CE, recibe menos versiones que la comercial, Plus, que cuesta desde USD 129 al año en hardware de terceros.
- OPNsense (Deciso) se separó de pfSense en 2014. Su edición gratuita recibe todas las funciones, con dos versiones mayores al año, WireGuard y Suricata integrados y una API documentada.
- La seguridad real no la da la marca, sino el diseño: segmentación, reglas documentadas, VPN con segundo factor y registros revisados. Los dos lo permiten.
Un origen común
Los dos son distribuciones de firewall y router basadas en FreeBSD que usan el mismo filtro de paquetes, pf. pfSense nació a mediados de los años 2000 como derivado de m0n0wall y hoy lo mantiene Netgate, en Estados Unidos. En 2014, Deciso, una empresa de Países Bajos que llevaba años patrocinando pfSense, decidió crear su propio proyecto: OPNsense, cuya primera versión salió en enero de 2015.
Once años después, según el propio proyecto, queda menos del 10 % del código heredado. OPNsense usó HardenedBSD como base hasta la versión 22.1 y después volvió a FreeBSD. Hoy son dos productos distintos que comparten conceptos: si sabes administrar uno, aprendes el otro rápido.
Licencias y precios en 2026
Aquí está la diferencia que más pesa en una pyme:
| Aspecto | pfSense | OPNsense |
|---|---|---|
| Edición gratuita | pfSense CE, con licencia Apache 2.0. | OPNsense Community, con licencia BSD de 2 cláusulas. |
| Edición comercial | pfSense Plus: incluida al comprar un equipo Netgate, o desde USD 129 al año en hardware de terceros o virtualizado, con prueba de 30 días. | Business Edition: 149 € al año por instalación, con repositorio comercial, GeoIP y OPNcentral para administrar varios equipos. |
| Uso doméstico gratis de la edición comercial | Ya no: Netgate cerró el programa gratuito Home+Lab en octubre de 2023. | No aplica: la edición gratuita ya trae todas las funciones del firewall. |
En la práctica: con OPNsense no hay una edición comercial obligatoria para tener lo último. Con pfSense, las novedades llegan primero a Plus, y CE va detrás.
Versiones y ritmo de actualizaciones
- pfSense Plus 26.07 salió el 13 de agosto de 2026, y pfSense CE 2.9.0 el 20 de agosto de 2026, ambas sobre FreeBSD 16.0-CURRENT. La CE anterior, la 2.8.1, era de septiembre de 2025: la edición gratuita recibe más o menos una versión al año, mientras que Plus tuvo tres en el mismo periodo (25.11, 26.03 y 26.07).
- OPNsense 26.7 salió el 15 de julio de 2026 sobre FreeBSD 15.1. El proyecto publica dos versiones mayores al año, en enero y en julio, y actualizaciones menores cada pocas semanas: de la 26.7.1 a la 26.7.4 entre julio y septiembre de 2026.
Para un firewall, el ritmo importa: cada actualización trae parches de seguridad de OpenSSL, OpenVPN o del propio sistema. OPNsense lo hace más predecible; con pfSense CE conviene vigilar los avisos de seguridad entre versiones.
Funciones: qué trae cada uno
| Función | pfSense | OPNsense |
|---|---|---|
| VPN | IPsec y OpenVPN integrados; WireGuard como paquete. | IPsec, OpenVPN y WireGuard integrados; WireGuard está en el núcleo desde la 24.1. |
| IDS/IPS | Suricata o Snort como paquetes. | Suricata integrado, en modo en línea. |
| Bloqueo por listas | pfBlockerNG, el paquete más popular del ecosistema. | Alias con listas remotas y complementos como CrowdSec. |
| DHCP | Kea; ISC DHCP está obsoleto y se retirará. | dnsmasq por defecto en instalaciones nuevas desde la 25.7; Kea disponible; ISC DHCP pasó a complemento en la 26.1. |
| Reglas de firewall | Interfaz clásica, muy documentada. | Nuevo sistema de reglas (MVC/API) por defecto desde la 26.7. |
| Automatización | En CE, mediante paquetes de la comunidad. | API REST documentada, con clave y secreto. |
| Alta disponibilidad | CARP y sincronización de estados. | CARP y sincronización de estados. |
| Proxy inverso | HAProxy como paquete. | HAProxy y Caddy como complementos. |
OPNsense cambió mucho en 2026: la 26.1 renombró el «port forward» a Destination NAT y la 26.7 trae un asistente para migrar el NAT de salida a Source NAT. Si sigues una guía de 2023, los menús no coincidirán.
Hardware y rendimiento
Con el mismo equipo, el rendimiento es muy parecido: los dos usan FreeBSD y pf. Lo que marca la diferencia es el hardware:
- Tarjetas de red de buena calidad, con al menos dos puertos: WAN y LAN. Si vas a separar redes con VLAN, un buen switch gestionable.
- Procesador dimensionado a lo que se activa: la VPN y el IDS/IPS consumen mucho más que el filtrado básico. Una CPU con AES-NI acelera el cifrado.
- Equipos oficiales: Netgate vende equipos con pfSense Plus y Deciso con OPNsense, ambos con soporte del fabricante.
- Virtualizado: los dos funcionan muy bien como máquina virtual en Proxmox VE, con tarjetas dedicadas o puentes separados para la WAN (paso a paso con OPNsense).
Cuál elijo yo, y cuándo
Elijo pfSense cuando…
- El equipo de TI ya lo conoce y tiene su documentación interna hecha sobre pfSense.
- La empresa depende de paquetes concretos como pfBlockerNG o de configuraciones con HAProxy muy trabajadas.
- Se quiere un equipo Netgate con pfSense Plus y el soporte del fabricante en un solo contrato.
Elijo OPNsense cuando…
- Se empieza de cero y se quiere lo último en la edición gratuita: WireGuard y Suricata integrados, actualizaciones frecuentes.
- Hay que automatizar: la API documentada facilita integrarlo con monitoreo, con Wazuh o con una IA privada que explique las alertas.
- No se quiere depender de una licencia anual para recibir novedades.
Y en los dos casos hago lo mismo: diseño la segmentación en papel, documento cada regla con su motivo, activo el segundo factor en la VPN y pruebo la conmutación desconectando el cable. Un firewall bien diseñado en cualquiera de los dos es mejor que el mejor firewall mal configurado.
Migrar de pfSense a OPNsense (o al revés)
No hay una importación oficial y completa de la configuración de uno al otro: los archivos de configuración tienen estructuras distintas. Mi método:
- Exporta y documenta la configuración actual: interfaces, VLAN, alias, reglas, NAT, VPN, DHCP y certificados.
- Limpia: es el mejor momento para eliminar reglas que nadie usa y excepciones «temporales» que se quedaron.
- Reconstruye en el nuevo firewall, primero en una máquina virtual de laboratorio.
- Prueba cada red, cada VPN y la conmutación de enlaces antes del corte.
- Corta en una ventana acordada y deja el equipo anterior listo para volver atrás en minutos.
¿Estás decidiendo el firewall de tu empresa o quieres revisar el que tienes? Te hago una auditoría y te recomiendo el que te conviene.
Hablemos ↗Preguntas frecuentes
¿OPNsense es más seguro que pfSense?
No de forma intrínseca: los dos parten de FreeBSD y pf y son seguros si se mantienen al día. La diferencia práctica está en la frecuencia de actualizaciones de la edición gratuita, más alta en OPNsense. La mayoría de los incidentes que veo vienen de reglas demasiado abiertas o de servicios publicados en internet, no del producto.
¿Puedo usar pfSense Plus gratis?
Solo si viene incluido con un equipo Netgate. En hardware de terceros o virtualizado, pfSense Plus cuesta desde USD 129 al año, con 30 días de prueba. pfSense CE sigue siendo gratuito.
¿Cuál es más fácil de administrar?
Para quien ya conoce pfSense, pfSense. Para quien empieza de cero, OPNsense tiene una interfaz más moderna y ayudas en pantalla. En ambos casos, lo que facilita la administración es tener las reglas documentadas.
¿Puedo instalarlos en Proxmox?
Sí, los dos funcionan muy bien como máquina virtual. En empresas pequeñas suelo dejar el firewall perimetral en un equipo físico para que el internet no dependa del hipervisor; en clústeres con alta disponibilidad, virtualizarlo es una buena opción. Te enseño cómo en instalar OPNsense en Proxmox VE.
¿Dónde aprendo pfSense en español?
En mi curso pfSense Firewall completo, de 0 a experto: 54 lecciones y 7 h 31 min, desde cero, con OpenVPN, IPsec, Snort, pfBlockerNG y Multi-WAN. Y si prefieres que lo implemente yo, mira firewalls pfSense y OPNsense.
Fuentes
- Netgate: versiones de pfSense (documentación oficial).
- Netgate: precios de pfSense Plus.
- Netgate: cambios en pfSense Plus Home+Lab (octubre de 2023).
- Netgate: lista de paquetes de pfSense y servicios DHCP.
- OPNsense: notas de la versión 26.7, 26.1, 25.7 y 24.1.
- OPNsense: About the Fork (historia del proyecto).
- OPNsense Business Edition (tienda oficial).
