¿Tienes por ahí una torre vieja cogiendo polvo que ya no te sirve para jugar o trabajar? Pues no la tires, porque puedes aprovechar tus PCs antiguos al máximo convirtiéndola en el cerebro de tu red doméstica. Montar tu propio cortafuegos con OPNsense es una pasada, ya que te permite dejar atrás los routers básicos que nos encasquetan las operadoras, que suelen saturarse cuando les exiges un poco o se calientan en verano, dejándote tirado en el peor momento.
La idea aquí es aprovechar la potencia de un procesador de PC, que es infinitamente superior a la de un router comercial, para gestionar el tráfico, filtrar contenidos y segmentar tu red. No hace falta que seas un experto en redes para empezar, aunque sí requiere ser un poco de manos con la configuración y que tengas claro que el consumo eléctrico será algo mayor que el de un aparatito pequeño, pero el control que ganas sobre tu seguridad es, sencillamente, otro nivel.
El hardware necesario para montar tu router casero
Para que esto funcione de Dios, no te sirve cualquier ordenador. Lo ideal es una torre que tenga ranuras PCI Express libres en la placa base. Olvídate de los portátiles o los Mini, ya que necesitamos conectar tarjetas de red físicas. Para la entrada de internet, lo más recomendable es una tarjeta de red de alta velocidad (si puedes, una de 10 Gbps) que soporte la fibra óptica actual.
El punto crítico son los puertos Ethernet. Un router necesita, como mínimo, dos interfaces: una para la WAN (la que va al modem de la operadora) y otra para la LAN (la que reparte internet a tu casa). Si quieres conectar varios dispositivos por cable sin complicaciones, lo mejor es instalar una tarjeta de red de varios puertos (por ejemplo, de 4 puertos Gigabit). Esto evita que el procesador se sature gestionando cada paquete y te asegura que no haya cuellos de botella en tu conexión.
En cuanto a los componentes internos, no hace falta que te gastes una fortuna. Un procesador Intel i3 o incluso uno más antiguo de doble núcleo es más que suficiente. Lo importante es que el consumo energético sea bajo (un TDP moderado) porque el equipo estará encendido las 24 horas. Con 4 GB de RAM y un SSD pequeño para el sistema operativo vas sobrado. Un truco para ahorrar luz y evitar ruidos es bajar la velocidad de la CPU desde la BIOS y, si es posible, prescindir de la tarjeta gráfica dedicada usando la integrada.
Instalacja i wdrożenie systemu
OPNsense se basa en FreeBSD, por lo que no vamos a usar Windows. Para instalarlo, necesitas un pendrive formateado en FAT32 con la imagen del sistema (elige la versión VGA para poder ver lo que haces en pantalla). Un detalle fundamental es wyłącz Bezpieczny rozruch en la BIOS, ya que FreeBSD a veces se lleva mal con esa opción, y asegúrate de que el USB sea la primera prioridad de arranque.
Durante la instalación, el sistema te pedirá crear una contraseña para el usuario root; elige una segura pero que no se te olvide. Una vez instalado, el PC se reiniciará y entrarás en un menú de modo texto. Aquí es donde debes asignar las interfaces de red. Para no liarte, conecta un cable en cada puerto y mira cuál se activa en pantalla; así sabrás exactamente cuál es tu WAN y cuál tu LAN. Normalmente, la WAN recibirá una IP automáticamente por DHCP desde el router de tu operadora, mientras que la LAN llevará la IP por defecto, que suele ser 192.168.1.1.
Virtualización: OPNsense en Proxmox o KVM
Si tienes un servidor más potente, no hace falta dedicar un PC entero solo al firewall. Puedes usar la virtualización con Proxmox o KVM. En Proxmox, por ejemplo, puedes crear interfaces lógicas y puentes (bridges) para gestionar el tráfico. Es muy útil si quieres segmentar la red sin necesidad de múltiples tarjetas de red físicas, ya que puedes usar el estándar 802.1Q para crear Sieci VLAN (sieci wirtualne).
En un entorno virtualizado, puedes configurar una red de gestión (Mgt) para comunicarte con el firewall sin pasar por la red de los usuarios. Esto es vital para seguridad, ya que así puedes limitar el acceso a la administración del sistema solo a tu equipo de confianza, evitando que cualquier invitado en tu Wi-Fi intente entrar en el panel de control del router.
El problema del Wi-Fi y la segmentación
Aquí viene el truco: OPNsense no se lleva bien con los drivers de las tarjetas Wi-Fi comerciales. Por eso, la mejor solución es usar un Punto de Acceso (AP) externo. Puedes reciclar un router viejo configurándolo en «modo AP» o desactivándole el servidor DHCP para que solo actúe como puente inalámbrico. Conectas este AP a uno de los puertos LAN de tu PC-Router y listo.
Si quieres ir un paso más allá, puedes usar un switch gestionable para crear redes aisladas. Por ejemplo, puedes destinar la VLAN 50 exclusivamente para el Wi-Fi de invitados o dispositivos IoT, separándola totalmente de tu red de trabajo (VLAN 10). En OPNsense, tendrás que configurar el servidor DHCP (como Kea) para cada subred y crear reglas de firewall específicas que permitan el tráfico hacia la WAN pero bloqueen la comunicación entre la red Wi-Fi y tus archivos personales, aplicando un hardening de homelab con VLAN.
Configuración final y puesta a punto
Una vez que el sistema arranca, ya no necesitas pantalla ni teclado en el PC. Todo se gestiona desde el navegador web escribiendo la IP de la LAN. Lo primero es configurar el Outbound NAT (enmascaramiento) para que los dispositivos de tu red interna puedan salir a internet usando la IP pública de tu WAN. Si notas que los clientes tienen IP pero no navegan, revisa que el servidor DNS (Unbound) tenga las listas de acceso configuradas para escuchar las peticiones de todos tus subredes.
Recuerda que, por defecto, OPNsense bloquea todo el tráfico en las interfaces nuevas. Tendrás que ir a la sección de reglas y crear una regla de paso (Pass) para permitir que el tráfico de tu LAN llegue a la WAN. Si tu operadora es muy restrictiva y usa la dirección MAC del router original para otra cosa, puedes usar clonar la MAC en OPNsense para engañar al sistema y que te asigne conexión.
Montar este sistema te permite tener una control total sobre quién entra y sale de tu red, gestionar el ancho de banda para que nadie se coma toda la conexión descargando juegos y, sobre todo, aprender cómo funciona realmente internet en tu casa. Aunque el consumo eléctrico sea algo superior al de un router de plástico, la potencia de procesamiento y la seguridad que aporta el uso de un hardware dedicado compensan con creces el pequeño incremento en la factura de la luz.
