Curso de OPNsense

Definir objetivos del firewall antes de configurar interfaces o reglas.

Diseñar zonas de red: WAN, LAN, DMZ, gestión, invitados, servidores, IoT, VPN y proveedores.

Crear esquema de direccionamiento IP, subredes, VLANs, gateways y rutas.

Identificar flujos permitidos entre zonas y flujos que deben bloquearse.

Definir servicios publicados, accesos administrativos, VPN, DNS, DHCP y monitorización.

Evaluar requisitos de alta disponibilidad, rendimiento, inspección, logs y retención.

Identificar dependencias externas: ISP, DNS público, certificados, cloud, sedes y proveedores.

Documentar topología física y lógica antes de implantar.

Evitar empezar configurando reglas sin una matriz clara de tráfico.

Taller: diseñar arquitectura OPNsense para empresa con LAN, DMZ, invitados y VPN.

Seleccionar hardware físico, appliance, máquina virtual o entorno cloud según uso previsto.

Evaluar CPU, RAM, almacenamiento, interfaces, throughput, VPN, IDS/IPS y crecimiento esperado.

Instalar OPNsense desde imagen oficial y revisar opciones iniciales.

Configurar consola, asignación de interfaces, IP LAN y acceso web.

Preparar instalación virtual en Proxmox, VMware, Hyper-V, VirtualBox o entorno equivalente.

Revisar riesgos de virtualizar el firewall en la misma infraestructura que protege.

Configurar acceso inicial seguro a la interfaz web.

Aplicar configuración mínima de red para empezar pruebas.

Validar conectividad desde cliente LAN hacia OPNsense y hacia internet.

Taller: instalar OPNsense en laboratorio y completar configuración base.

Cambiar credenciales por defecto y crear usuarios administrativos nominales.

Limitar acceso a la interfaz web desde red de gestión o IPs autorizadas.

Configurar HTTPS, certificados y parámetros básicos de seguridad.

Activar MFA cuando el entorno lo permita.

Revisar usuarios, grupos, privilegios y permisos administrativos.

Deshabilitar servicios no necesarios y reducir superficie de exposición.

Configurar acceso SSH solo si es imprescindible y con restricciones.

Registrar acciones administrativas y revisar logs de acceso.

Separar administración de usuarios, VPN, soporte y operadores.

Taller: aplicar hardening inicial para administración segura de OPNsense.

Configurar interfaces físicas, virtuales y OPT.

Crear VLANs para segmentar usuarios, servidores, invitados, IoT, gestión y DMZ.

Asignar interfaces lógicas y nombres descriptivos.

Configurar direcciones IP, gateways y parámetros básicos por interfaz.

Definir reglas iniciales por zona siguiendo mínimos privilegios.

Evitar mezclar administración, usuarios y servidores críticos en la misma red.

Documentar VLAN ID, subred, propósito, owner y nivel de confianza.

Validar conectividad entre zonas con reglas temporales controladas.

Preparar una matriz de segmentación antes de abrir tráfico.

Taller: crear VLANs y reglas base para una red corporativa segmentada.

Entender cómo OPNsense evalúa reglas por interfaz, dirección y estado.

Diseñar reglas con criterio de mínimo privilegio y claridad operativa.

Crear reglas por zona, origen, destino, puerto, protocolo, horario y descripción.

Usar descripciones útiles para auditoría y mantenimiento.

Ordenar reglas para evitar sombras, duplicidades o excepciones peligrosas.

Diferenciar reglas de entrada por interfaz, reglas flotantes y reglas especiales.

Crear reglas temporales con caducidad documentada.

Registrar tráfico bloqueado o permitido cuando ayude al diagnóstico.

Evitar reglas “any-any” permanentes salvo justificación excepcional.

Taller: construir política de firewall entre LAN, DMZ, invitados y gestión.

Crear aliases de hosts, redes, puertos, URLs y grupos funcionales.

Usar aliases para mejorar legibilidad y mantenimiento de reglas.

Agrupar servicios comunes como DNS, NTP, HTTP, HTTPS, RDP, SSH o APIs internas.

Crear aliases por equipos, sedes, proveedores, aplicaciones o entornos.

Gestionar aliases dinámicos y listas externas cuando proceda.

Evitar reglas con IPs sueltas difíciles de auditar.

Documentar owner, propósito y revisión de cada alias crítico.

Auditar aliases no usados, duplicados u obsoletos.

Integrar aliases con NAT, firewall, VPN y reglas flotantes.

Taller: refactorizar reglas usando aliases mantenibles.

Entender NAT de salida, NAT de entrada, port forwarding, reflection y hairpin.

Publicar servicios internos de forma segura mediante reglas y NAT controlado.

Configurar port forwards hacia servidores internos o DMZ.

Crear reglas asociadas y validar origen, destino, puerto y logs.

Evitar publicar servicios administrativos directamente a internet.

Aplicar restricciones por IP origen cuando el servicio no es público.

Revisar NAT reflection y alternativas más seguras con DNS interno.

Auditar servicios expuestos y puertos abiertos.

Diagnosticar errores de NAT, gateway, firewall y respuesta del servidor.

Taller: publicar servicio web en DMZ con NAT y reglas seguras.

Diferenciar outbound NAT automático, híbrido y manual.

Configurar salidas específicas por interfaz, VLAN, gateway o red.

Diseñar NAT para multi-WAN, VPN, sedes, DMZ y redes internas.

Evitar conflictos entre NAT, routing y reglas de firewall.

Crear NAT diferenciado para servidores o redes concretas.

Diagnosticar problemas de respuesta asimétrica o salida por gateway incorrecto.

Documentar reglas de NAT para auditoría y troubleshooting.

Revisar logs y estados para validar traducciones.

Evitar configuraciones manuales innecesarias que dificultan mantenimiento.

Taller: configurar outbound NAT para redes internas y salida multi-WAN.

Configurar DHCP por interfaz o VLAN con rangos, reservas y opciones.

Crear reservas para servidores, impresoras, APs, cámaras o dispositivos críticos.

Configurar DNS Resolver con Unbound y resolución local.

Crear overrides de host y dominio para servicios internos.

Gestionar forwarding DNS hacia proveedores internos, públicos o cloud.

Configurar DNSSEC, listas y opciones de resolución cuando proceda.

Evitar dependencia de DNS externo para servicios internos críticos.

Diagnosticar problemas de resolución, TTL, caché y split DNS.

Integrar DHCP/DNS con inventario, documentación y acceso VPN.

Taller: configurar DHCP y DNS interno para varias VLANs.

Configurar gateways WAN, internos, VPN o rutas hacia redes remotas.

Crear rutas estáticas hacia sedes, segmentos internos o entornos cloud.

Entender la tabla de rutas y selección de gateway.

Diagnosticar problemas de reachability, rutas faltantes y retorno asimétrico.

Usar policy based routing para enviar tráfico por rutas específicas.

Controlar rutas relacionadas con VPN, multi-WAN y redes internas.

Documentar rutas críticas, owners y dependencias.

Evitar rutas estáticas acumuladas sin revisión.

Validar rutas con traceroute, ping, logs y estados.

Taller: configurar routing entre LAN, DMZ, VPN y red remota.

Configurar múltiples conexiones WAN y gateways.

Crear grupos de gateway para balanceo, prioridad y failover.

Definir reglas que seleccionan salida por tipo de tráfico, red o servicio.

Configurar monitorización de gateway y criterios de caída.

Evitar falsos failovers por monitor IP mal elegido.

Ajustar DNS, NAT y reglas para multi-WAN.

Revisar impacto sobre VPN, servicios publicados y sesiones activas.

Documentar comportamiento esperado en caída de ISP.

Probar failover y retorno controlado.

Taller: configurar multi-WAN con failover para usuarios corporativos.

Entender WireGuard como VPN moderna, ligera y basada en claves.

Crear instancia local, peers, claves y redes permitidas.

Configurar acceso remoto de usuarios con rutas y DNS adecuados.

Configurar túneles site-to-site entre sedes o laboratorios.

Crear reglas de firewall para controlar tráfico desde WireGuard.

Gestionar peers, revocaciones, rotación de claves y documentación.

Diagnosticar problemas de handshake, rutas, DNS y firewall.

Evitar abrir acceso VPN a toda la red sin segmentación.

Revisar escenarios de routing selectivo por WireGuard.

Taller: desplegar VPN WireGuard para usuarios o sede remota.

Configurar autoridad certificadora, certificados de servidor y cliente.

Crear servidor OpenVPN para acceso remoto.

Definir redes permitidas, rutas, DNS, autenticación y cifrado.

Gestionar usuarios, grupos y revocación de certificados.

Crear reglas específicas para tráfico de clientes OpenVPN.

Preparar perfiles de cliente y distribución segura.

Diagnosticar errores de autenticación, rutas, certificados y logs.

Integrar OpenVPN con MFA o directorios si el entorno lo permite.

Comparar cuándo usar OpenVPN frente a WireGuard o IPsec.

Taller: configurar OpenVPN corporativo con acceso limitado a recursos internos.

Entender IPsec, IKE, fases, propuestas, túneles y políticas.

Configurar IPsec entre OPNsense y otra sede, cloud o firewall de terceros.

Definir redes locales y remotas, cifrados, autenticación y lifetimes.

Crear reglas de firewall para tráfico IPsec.

Diagnosticar problemas de negociación, propuestas, NAT-T, rutas y políticas.

Documentar parámetros compartidos con proveedores o clientes.

Evitar configuraciones débiles o heredadas sin justificación.

Revisar logs de IPsec y estados del túnel.

Diseñar túneles redundantes cuando hay alta disponibilidad o multi-WAN.

Taller: crear VPN IPsec site-to-site con red remota simulada.

Diseñar acceso remoto por roles, grupos, dispositivos y necesidad real.

Separar accesos de empleados, administradores, proveedores y soporte externo.

Aplicar MFA, certificados, expiración, revisión periódica y mínimos privilegios.

Crear reglas específicas por perfil de VPN.

Registrar conexiones, tráfico relevante y eventos de autenticación.

Evitar usuarios compartidos o cuentas permanentes para proveedores.

Crear procedimiento de alta, baja y revisión de accesos remotos.

Integrar VPN con directorio corporativo cuando proceda.

Preparar respuesta ante pérdida de credenciales o equipo comprometido.

Taller: diseñar modelo de acceso remoto seguro para empleados y proveedores.

Entender diferencias entre IDS e IPS y su impacto operativo.

Activar Suricata en interfaces adecuadas según arquitectura y rendimiento.

Configurar reglas, categorías, actualizaciones y políticas de bloqueo.

Revisar alertas, falsos positivos y eventos relevantes.

Ajustar IPS para no interrumpir tráfico legítimo sin análisis previo.

Medir impacto de IDS/IPS sobre CPU, throughput y latencia.

Crear procedimiento de tuning y revisión de firmas.

Integrar eventos con SIEM o reporting si el entorno lo requiere.

Evitar activar demasiadas reglas sin criterio ni monitorización.

Taller: configurar IDS/IPS y analizar eventos de prueba.

Entender el papel de plugins de seguridad avanzada en OPNsense.

Revisar capacidades de filtrado por aplicación, categorías, usuarios o políticas cuando el plugin lo permite.

Diseñar políticas diferenciadas por red: usuarios, invitados, IoT, servidores y gestión.

Evaluar impacto en rendimiento, privacidad y operación.

Integrar reporting de tráfico con decisiones de seguridad.

Analizar bloqueos, falsos positivos y excepciones.

Documentar políticas de navegación y control de aplicaciones.

Evitar aplicar inspección avanzada sin dimensionar hardware.

Coordinar filtrado con políticas internas y requisitos legales.

Taller: diseñar política de filtrado para red corporativa e invitados.

Revisar escenarios donde un proxy aporta control, logging o filtrado adicional.

Diseñar políticas de navegación por red, usuario o grupo cuando el entorno lo permite.

Configurar listas de bloqueo, excepciones y reglas de acceso.

Analizar límites del proxy frente a tráfico cifrado y aplicaciones modernas.

Gestionar logs de navegación con criterios de privacidad y retención.

Evitar crear dependencias innecesarias que dificulten experiencia de usuario.

Integrar proxy con DNS filtering, firewall y control de aplicaciones.

Diagnosticar problemas de acceso web causados por proxy o filtrado.

Documentar excepciones y aprobaciones.

Taller: crear política de navegación para red interna e invitados.

Crear o importar autoridad certificadora interna.

Generar certificados para servicios, VPN, administración o portal cautivo.

Gestionar expiración, renovación y revocación de certificados.

Usar certificados en OpenVPN, interfaz web, proxy o servicios internos.

Evitar certificados autofirmados no documentados en producción.

Crear inventario de certificados críticos y fechas de caducidad.

Proteger claves privadas y acceso a material criptográfico.

Integrar certificados con DNS interno y nombres coherentes.

Diagnosticar errores TLS, certificados no confiables y cadenas incompletas.

Taller: crear AC interna y emitir certificado para servicio OPNsense.

Crear usuarios locales, grupos y privilegios específicos.

Integrar autenticación con LDAP, RADIUS u otros directorios si procede.

Definir roles para administración, VPN, soporte, operadores y auditoría.

Aplicar mínimo privilegio en acceso a interfaz y servicios.

Revisar sesiones, logs de login y eventos de autenticación.

Gestionar MFA para accesos sensibles.

Evitar cuentas compartidas o usuarios administrativos genéricos.

Documentar procedimientos de alta, baja y revisión de usuarios.

Coordinar identidad con políticas corporativas.

Taller: configurar grupos, privilegios y acceso VPN por perfil.

Entender casos de uso del portal cautivo en invitados, sedes, eventos o aulas.

Diseñar red de invitados separada de redes internas.

Configurar portal cautivo con autenticación, vouchers o políticas simples.

Crear reglas de firewall y NAT para limitar acceso.

Aplicar restricciones de ancho de banda o horarios cuando proceda.

Registrar accesos respetando privacidad y normativa aplicable.

Evitar que invitados alcancen redes internas por error.

Personalizar mensajes y condiciones de uso.

Diagnosticar problemas de redirección, DNS, certificados y autenticación.

Taller: crear red de invitados con portal cautivo y aislamiento.

Entender arquitectura HA con nodo primario, secundario, VIPs y sincronización.

Configurar CARP para direcciones virtuales.

Configurar pfsync para estados de firewall.

Sincronizar configuración entre nodos cuando procede.

Diseñar enlaces dedicados para sincronización y gestión.

Revisar impacto de HA en NAT, VPN, reglas, gateways y servicios.

Probar failover y retorno controlado.

Documentar roles, IPs, prioridades y procedimientos de mantenimiento.

Evitar HA sin pruebas periódicas de conmutación.

Taller: diseñar y configurar HA OPNsense en entorno simulado.

Exportar configuración de OPNsense de forma segura y periódica.

Proteger backups con cifrado, control de acceso y retención adecuada.

Documentar versión, plugins, hardware, interfaces y dependencias necesarias para restaurar.

Probar restauraciones en laboratorio antes de confiar en backups.

Crear procedimiento de recuperación ante fallo de hardware, corrupción o error de cambio.

Gestionar backups antes de actualizaciones o cambios críticos.

Evitar backups almacenados solo en el propio firewall.

Revisar qué no queda cubierto por una exportación básica.

Preparar plan de sustitución rápida de appliance.

Taller: restaurar configuración OPNsense en una nueva instancia de laboratorio.

Revisar canales de actualización, notas de versión y riesgos de cambio.

Planificar actualizaciones con ventana, backup, rollback y validaciones.

Diferenciar actualizaciones de sistema, plugins, reglas IDS/IPS y listas externas.

Probar actualizaciones en entorno de laboratorio si el firewall es crítico.

Revisar compatibilidad de hardware, plugins y configuraciones personalizadas.

Crear checklist de prechecks y postchecks tras actualizar.

Evitar actualizar producción sin leer notas relevantes ni tener respaldo.

Documentar fecha, versión, cambios y resultado.

Mantener inventario de versiones por appliance.

Taller: preparar plan de actualización segura para OPNsense productivo.

Configurar logs de firewall, sistema, VPN, DHCP, DNS, IDS/IPS y autenticación.

Interpretar logs de tráfico permitido y bloqueado.

Crear criterios para activar logging sin generar ruido excesivo.

Enviar logs a syslog remoto, SIEM o plataforma centralizada.

Definir retención según seguridad, diagnóstico y cumplimiento.

Crear informes de tráfico, bloqueos, VPN, eventos, alertas y cambios.

Auditar reglas modificadas, accesos administrativos y eventos relevantes.

Evitar almacenar datos sensibles innecesarios en logs.

Usar reporting para justificar cambios y detectar patrones.

Taller: investigar tráfico bloqueado y generar evidencia para auditoría.

Monitorizar CPU, RAM, disco, interfaces, throughput, estados, latencia y gateways.

Crear alertas de caída de enlace, saturación, uso de recursos, túneles VPN y servicios críticos.

Integrar OPNsense con herramientas como Zabbix, Prometheus, Grafana, LibreNMS, PRTG o equivalentes.

Revisar dashboards útiles para NOC, seguridad, redes y dirección técnica.

Monitorizar disponibilidad externa e interna de servicios publicados.

Medir rendimiento de VPN, NAT, IDS/IPS y multi-WAN.

Evitar monitorización centrada solo en “up/down”.

Crear runbooks vinculados a alertas frecuentes.

Registrar tendencias de capacidad y crecimiento.

Taller: diseñar dashboard operativo para OPNsense y servicios asociados.

Usar logs de firewall para identificar regla, interfaz, origen, destino y puerto.

Diagnosticar tráfico bloqueado por reglas, NAT, ruta, DNS o gateway.

Usar herramientas internas: ping, traceroute, packet capture, states y diagnostics.

Capturar paquetes para confirmar si el tráfico entra, sale o se pierde.

Revisar tabla de estados y sesiones activas.

Diferenciar problema de firewall, servidor, cliente, DNS, ruta o aplicación.

Crear metodología de diagnóstico por capas.

Evitar abrir reglas amplias “para probar” sin registro y retirada.

Documentar causa raíz y corrección aplicada.

Taller: resolver varios casos de tráfico bloqueado y NAT incorrecto.

Diagnosticar problemas de WireGuard, OpenVPN e IPsec.

Revisar handshakes, certificados, propuestas, rutas, DNS, NAT y reglas.

Identificar fallos de autenticación, redes permitidas, split tunnel y retorno.

Analizar logs específicos de cada tecnología.

Validar conectividad desde cliente, firewall y red destino.

Revisar solapamiento de subredes entre sedes o clientes.

Controlar problemas de MTU, NAT-T y firewalls intermedios.

Crear runbooks por tipo de VPN.

Documentar parámetros acordados con terceros.

Taller: resolver tres incidencias VPN habituales en empresa.

Medir throughput real según hardware, interfaces, VPN, IDS/IPS y número de reglas.

Analizar consumo de CPU, RAM, disco, estados y procesos.

Ajustar servicios que impactan rendimiento: IPS, proxy, reporting, logs y plugins.

Detectar cuellos de botella en NICs, virtualización, drivers o almacenamiento.

Revisar tamaño de tablas, aliases grandes y reglas complejas.

Optimizar reglas y NAT para legibilidad y rendimiento.

Evaluar cuándo escalar hardware o separar funciones.

Medir rendimiento antes y después de cambios.

Evitar activar funciones avanzadas sin validar capacidad.

Taller: analizar caso de firewall saturado y proponer optimización.

Revisar sistema de plugins y criterios para instalarlos.

Evaluar plugins habituales para seguridad, reporting, proxy, VPN, DNS, backup o integración.

Diferenciar funciones core, plugins oficiales, plugins comunitarios y soluciones comerciales.

Analizar riesgos de compatibilidad, mantenimiento, soporte y actualizaciones.

Probar plugins en laboratorio antes de producción.

Documentar plugins instalados, versión, owner y propósito.

Retirar plugins no usados para reducir superficie de ataque.

Revisar impacto de plugins en rendimiento y estabilidad.

Mantener inventario de dependencias añadidas.

Taller: evaluar plugin para una necesidad concreta y decidir implantación.

Revisar posibilidades de automatización en OPNsense.

Usar API cuando el módulo o plugin lo permite.

Automatizar tareas como aliases, reglas, usuarios, backups, reporting o validaciones.

Integrar OPNsense con scripts, Git, ITSM, ChatOps o herramientas de gestión.

Crear flujos de cambio con revisión, ejecución y validación.

Evitar automatizaciones sin rollback ni control de errores.

Versionar documentación, plantillas y configuraciones críticas.

Validar cambios en laboratorio antes de producción.

Registrar acciones automatizadas y resultados.

Taller: diseñar flujo automatizado para actualizar aliases o generar backups.

Enviar logs de OPNsense a SIEM o plataforma de seguridad.

Definir eventos relevantes: bloqueos, VPN, autenticación, IPS, cambios y tráfico anómalo.

Crear casos de uso SOC basados en eventos de firewall.

Correlacionar OPNsense con EDR, DNS, proxy, identidad, cloud y servidores.

Diseñar alertas de seguridad con contexto operativo.

Crear procedimientos ante tráfico sospechoso, escaneo, abuso de VPN o explotación.

Preservar evidencias durante incidentes.

Evitar generar tantos eventos que el SOC no pueda analizarlos.

Revisar controles tras incidentes y ajustar reglas.

Taller: diseñar integración OPNsense-SIEM para detección y respuesta.

Crear proceso de solicitud, aprobación, implantación y revisión de reglas.

Documentar owner, justificación, fecha, servicio, origen, destino y caducidad.

Revisar reglas obsoletas, duplicadas, demasiado abiertas o sin logging adecuado.

Crear auditorías periódicas de NAT, VPN, aliases y reglas críticas.

Establecer estándares de naming y comentarios.

Gestionar reglas temporales con expiración.

Integrar cambios con ITSM o repositorio documental.

Evitar cambios urgentes que permanecen indefinidamente.

Crear informe periódico de exposición y deuda de firewall.

Taller: auditar una política de firewall y generar plan de limpieza.

Analizar firewall origen: reglas, NAT, VPN, interfaces, rutas, objetos y servicios.

Limpiar configuraciones obsoletas antes de migrar.

Mapear objetos y reglas a aliases y políticas OPNsense.

Diseñar plan de migración por fases.

Preparar pruebas de conectividad, seguridad, rendimiento y rollback.

Migrar VPNs, certificados, DNS, DHCP y servicios publicados.

Validar logs y tráfico tras el cambio.

Coordinar ventana, comunicación, proveedores y soporte.

Evitar replicar reglas heredadas inseguras sin revisión.

Taller: plan de migración desde firewall heredado a OPNsense.

Diseñar firewall perimetral para pyme o sede corporativa.

Crear segmentación para invitados, IoT, servidores, gestión y usuarios.

Publicar servicios en DMZ con NAT y reglas seguras.

Configurar VPN de usuarios y proveedores con mínimo privilegio.

Diseñar site-to-site para sedes, cloud o clientes.

Activar multi-WAN para continuidad de conexión.

Implementar IDS/IPS para mejorar detección.

Crear red de laboratorio para formación, pruebas o ciberseguridad.

Integrar OPNsense con monitorización, SIEM e ITSM.

Taller: seleccionar caso de uso y diseñar arquitectura completa.

Definir una empresa con dos sedes, usuarios remotos, DMZ, red de invitados, servidores internos y conexión multi-WAN.

Diseñar topología OPNsense con interfaces, VLANs, direccionamiento, zonas, gateways, rutas y servicios base.

Configurar política de firewall con aliases, reglas por zona, logs, comentarios, mínimos privilegios y revisión.

Implantar NAT de salida y publicación controlada de servicios en DMZ.

Configurar DHCP, DNS interno, overrides, reservas y resolución para redes corporativas.

Diseñar acceso remoto con WireGuard u OpenVPN y túnel site-to-site con IPsec o WireGuard.

Incorporar IDS/IPS, filtrado avanzado, logs, reporting, monitorización y alertas operativas.

Preparar estrategia de alta disponibilidad, backups, actualización, restauración y mantenimiento.

Crear documentación de reglas, VPN, NAT, redes, owners, runbooks, auditoría y plan de cambios.

Presentar la solución justificando arquitectura, seguridad, operación, rendimiento, riesgos y próximos pasos.