pfSense y OPNsense son los dos cortafuegos de código abierto más usados: se instalan en un ordenador propio o vienen ya en los equipos de Netgate y de Deciso. Aquí están sus diferencias, sus ediciones, el hardware que piden y los equipos oficiales.
Un cortafuegos no tiene por qué venir de un fabricante con licencias anuales. pfSense y OPNsense son dos sistemas de código abierto, basados en FreeBSD, que convierten un ordenador con dos o más tarjetas de red en un cortafuegos completo, gestionado desde el navegador. También se venden ya instalados en equipos de las empresas que los desarrollan: Netgate en el caso de pfSense y Deciso en el de OPNsense.
Según su documentación, pfSense es una distribución de FreeBSD adaptada para hacer de cortafuegos y router, que nació en 2004 a partir de otro proyecto, m0n0wall. Lo desarrolla la empresa estadounidense Netgate, que desde enero de 2021 lo divide en dos ediciones:
Plus añade funciones que CE no tiene, entre ellas la aceleración de OpenVPN (DCO) e IPsec, los puntos de restauración con ZFS, la alta disponibilidad por unicast, el filtrado en capa 2 y el soporte de los procesadores ARM de los equipos Netgate.
La documentación de Netgate pide, para instalarlo en un equipo propio:
La propia página advierte de que son mínimos y no sirven para cualquier uso: el IPS, el proxy o muchas VPN a la vez piden bastante más.
| Modelo | Procesador y RAM | Puertos | Cortafuegos | IPsec | Desde |
|---|---|---|---|---|---|
| 1100 | ARM, 2 núcleos, 1 GB | 3 × 1 GbE | 607 Mbps | 247 Mbps | 289 $ |
| 2100 | ARM, 2 núcleos, 4 GB | 4 × 1 GbE y 1 RJ45/SFP | 964 Mbps | 254 Mbps | 599 $ |
| 4200 | Intel Atom, 4 núcleos, 4 GB | 4 × 2,5 GbE | 8,61 Gbps | 3,20 Gbps | 829 $ |
| 5200 | Intel Atom, 4 núcleos, 8 GB | 4 × 2,5 GbE y 1 × 1 GbE | 9,13 Gbps | 5,74 Gbps | 1.429 $ |
| 6100 | Intel Atom, 4 núcleos, 8 GB | 2 × 10G SFP+, 4 × 2,5 GbE, 2 × 1G | 9,93 Gbps | 1,77 Gbps | 1.499 $ |
| 8200 | Intel Atom, 8 núcleos, 16 GB | 2 × 10G SFP+, 4 × 2,5 GbE, 2 × 1G | 18,55 Gbps | 3,24 Gbps | 2.399 $ |
| 8300 | Intel Xeon D, 8 núcleos, 32 GB | 4 × 10G SFP+, 4 × 1G SFP, 3 × 2,5G | 26,8 Gbps | 14,6 Gbps | 6.299 $ |
Las cifras son las de Netgate con iPerf3 y 10.000 reglas; los precios, los «desde» de su web en dólares, sin impuestos ni envío a España. Según su página de ciclo de vida, el 4100 dejó de venderse en diciembre de 2023 (lo sustituye el 4200) y el 3100 en octubre de 2021 (lo sustituye el 2100).
OPNsense nació de pfSense. Su documentación cuenta que la empresa neerlandesa Deciso, que había patrocinado pfSense durante años, decidió en 2014 hacer su propia bifurcación. La primera versión, la 15.1, salió el 2 de enero de 2015, y hoy queda menos del 10 % del código heredado. Su licencia es la BSD de dos cláusulas.
Saca dos versiones mayores al año, en enero y en julio, con fechas fijas: la actual es la 26.7, del 15 de julio de 2026, sobre FreeBSD 15.1, y la siguiente será la 27.1. Usó durante años HardenedBSD, pero desde la 22.1 volvió a FreeBSD.
| Nivel | Procesador | RAM | Disco | Para qué |
|---|---|---|---|---|
| Mínimo | 2 núcleos a 1 GHz | 3 GB | Tarjeta de 4 GB (imagen nano) | Sin proxy caché ni IDS/IPS |
| Razonable | 2 núcleos a 1 GHz | 4 GB | SSD de 40 GB | Todas las funciones con poca carga |
| Recomendado | Varios núcleos a 1,5 GHz | 8 GB | SSD de 120 GB | La mayoría de usos |
Deciso vende sus equipos con OPNsense en su tienda, con un año de Business Edition y dos años de garantía. Por ejemplo, el DEC750 (procesador AMD Ryzen Embedded de 4 núcleos, 8 GB, 3 puertos de 2,5 GbE y 2 SFP+) da 10 Gbps de cortafuegos, 1,2 Gbps de IPsec y en torno a 1 Gbps de IPS, por 1.048 €. La gama va desde el DEC677 (598 €, 4 puertos de 2,5 GbE) hasta los DEC4200 de rack con puertos de 25 Gbps. La tienda no aclara si sus precios llevan IVA.
Montarlo en un equipo propio sale barato y permite elegir el hardware, pero el soporte, las actualizaciones del firmware y la garantía son cosa de cada uno, y las tarjetas de red tienen que ser compatibles con FreeBSD. Los equipos de Netgate y de Deciso cuestan más, pero vienen probados, con la edición de pago incluida y con su soporte. En los dos casos, la ventaja frente a un FortiGate o un SonicWall es que no hay licencias que caduquen para que siga funcionando, y la contrapartida es que no hay un servicio de inteligencia de amenazas del fabricante como el de los NGFW comerciales: las reglas del IPS salen de listas públicas o de suscripciones aparte.
pfSense Community Edition (CE) es código abierto con licencia Apache 2.0 y no cuesta nada. pfSense Plus es un producto de Netgate: viene incluido en sus equipos y, para instalarlo en hardware de otra marca, Netgate pide la suscripción TAC Lite, de 129 dólares al año según su web.
Nació como una bifurcación de pfSense: su primera versión, la 15.1, salió el 2 de enero de 2015, impulsada por la empresa neerlandesa Deciso. Según su documentación, hoy conserva menos del 10 % del código heredado.
Según su documentación, uno de 64 bits (amd64) con al menos dos núcleos a 1 GHz y 4 GB de RAM con un SSD de 40 GB para usar todas las funciones con poca carga. Para la mayoría de usos recomienda 8 GB de RAM, un SSD de 120 GB y un procesador de varios núcleos a 1,5 GHz. Y, como mínimo, dos tarjetas de red: una para Internet y otra para la red interna.
Sí. OPNsense trae un IPS basado en Suricata; en pfSense, Suricata y Snort se instalan como paquetes. Con ellos el cortafuegos detecta y bloquea ataques conocidos, como un UTM.
Foto: Damir K, en Pexels Guías Un firewall o cortafuegos es el dispositivo o programa que decide qué tráfico puede entrar y salir de una red o de un equipo. Aquí explicamos qué es, cómo funciona por dentro, dón…
Foto: Brett Sayles, en Pexels Guías SonicWall vende sus cortafuegos para pymes con el nombre TZ y los de empresa mediana como NSa. Ahora conviven dos generaciones: aquí están los modelos Gen 8 que la sustituyen, los…
Foto: Brett Sayles, en Pexels Guías WatchGuard vende sus cortafuegos con el nombre Firebox: la serie T de sobremesa para pymes y la serie M de rack. Aquí están los modelos actuales, sus cifras oficiales, los que se…
