¿Conviene ejecutar OPNsense en Proxmox en producción?
Ejecutar OPNsense como máquina virtual en Proxmox puede ser un diseño de producción fiable. Puede reducir el coste en hardware, simplificar las copias de seguridad y hacer que recuperar el firewall sea más rápido que reconstruir un appliance físico averiado.
El diseño también crea una dependencia importante. Si OPNsense proporciona el acceso a internet, el enrutamiento y la gestión remota del mismo host de Proxmox en el que se ejecuta, un fallo del hipervisor o de la red puede desconectar todo el entorno.
Solo deberías ejecutar OPNsense en Proxmox en producción cuando el diseño del servidor, de la red y de la recuperación tenga en cuenta este dominio de fallo. La máquina virtual en sí rara vez es el punto débil; los riesgos mayores vienen de una mala configuración de los bridges, de la falta de acceso a la consola y de la falta de redundancia.
¿OPNsense tiene soporte como máquina virtual?
OPNsense documenta oficialmente las instalaciones virtuales y ofrece imágenes de instalación que pueden ejecutarse desde discos virtuales. Su guía para despliegues virtuales recomienda al menos 3 GB de memoria, un disco virtual de 8 GB y desactivar las opciones de offloading por hardware por compatibilidad.
Proxmox usa KVM para ofrecer máquinas virtuales completas con su propio sistema operativo invitado y su propio kernel. También usa un modelo de red con bridges en el que las interfaces de red virtuales se conectan a bridges de software que funcionan de forma parecida a los switches Ethernet.
Así que Proxmox es técnicamente apto para alojar OPNsense. La pregunta difícil es si el diseño que lo rodea es apto para producción.
¿Qué ventajas tiene virtualizar OPNsense?
La primera ventaja es el aprovechamiento del hardware. Un appliance de firewall dedicado puede usar solo una parte de su procesador y su memoria, y Proxmox puede asignar los recursos restantes a otros servicios de infraestructura.
La virtualización también facilita la sustitución. Si falla un firewall físico, los administradores pueden necesitar hardware de reemplazo compatible antes de restablecer el servicio. Un sistema OPNsense virtual se puede restaurar en otro nodo de Proxmox si hay almacenamiento y red compatibles disponibles.
Proxmox puede hacer copias de seguridad de máquinas virtuales completas, incluidos sus discos virtuales y su configuración. Su integración con Proxmox Backup Server añade copias incrementales, deduplicación y flujos de restauración ordenados.
OPNsense tiene además su propio sistema de copias de la configuración. Los administradores pueden exportar archivos de configuración cifrados y enviar copias automáticamente a servicios remotos. Un archivo de configuración se puede importar durante la instalación para reconstruir el firewall en hardware nuevo o en una máquina virtual nueva.
Estas dos capas de copia sirven para cosas distintas. Una copia de Proxmox restaura el firewall virtual entero, mientras que una copia de la configuración de OPNsense puede reconstruir el firewall con independencia de la máquina virtual original.
¿Cuál es el mayor riesgo en producción?
El riesgo principal es colocar en el mismo host el firewall y la infraestructura necesaria para acceder a ese firewall.
Piensa en un único servidor Proxmox que ejecuta OPNsense. La máquina virtual de OPNsense proporciona el acceso a internet, DHCP, DNS y la conectividad VPN, y la interfaz de gestión de Proxmox solo es accesible a través de una red enrutada por OPNsense.
Si el host de Proxmox se detiene, el firewall se detiene. Los usuarios remotos pierden la VPN, y los administradores también pueden perder la ruta que necesitan para llegar a Proxmox. Un fallo menor de virtualización puede convertirse así en una caída completa de la red.
El diseño necesita un camino de recuperación que no dependa de la máquina virtual de OPNsense. Puede incluir una interfaz de gestión dedicada, una red de gestión aislada, acceso por consola local o un controlador de gestión del servidor. Deberías poder abrir la consola de Proxmox, revisar la máquina virtual de OPNsense y corregir la configuración de los bridges incluso cuando el enrutamiento normal no esté disponible.
¿Cómo diseñar la red de Proxmox?
Un despliegue básico suele usar bridges de Proxmox separados para el tráfico externo y el interno. El bridge externo conecta la interfaz WAN de OPNsense con la conexión a internet, y el bridge interno conecta la interfaz LAN de OPNsense con las máquinas virtuales, los switches físicos o las VLAN internas.
La interfaz de gestión de Proxmox no debería conectarse a la ligera a un bridge expuesto a internet. Proxmox tiene sus propios controles de firewall, pero aun así la interfaz de gestión debería quedarse en una red de confianza y no exponerse directamente a internet. Las reglas del firewall de Proxmox se pueden aplicar a nivel de clúster, de host y de máquina virtual.
La configuración de red de Proxmox admite bridges, bonds, VLAN y diseños enrutados. Los despliegues de producción deberían documentar qué interfaz física se conecta a cada bridge y cómo viajan las etiquetas VLAN entre Proxmox, OPNsense y los switches físicos.
Un error de red puede afectar tanto al firewall como al hipervisor. Cuando sea posible, haz los cambios desde una consola, sobre todo al modificar el bridge que transporta el tráfico de gestión.
¿Interfaces virtuales o passthrough PCI?
La mayoría de los despliegues pueden usar interfaces de red virtuales conectadas a bridges de Proxmox. Hacen que la máquina de OPNsense sea más fácil de respaldar, migrar y restaurar, y permiten que varias cargas de trabajo virtuales compartan un adaptador de red físico a través del bridge de Proxmox.
El passthrough PCI da a la máquina virtual de OPNsense control directo sobre una tarjeta de red física. Proxmox permite pasar un dispositivo PCI entero, incluido un adaptador de red, a una máquina virtual KVM.
El passthrough puede crear una separación clara entre el firewall y la capa de red de Proxmox. También puede ser útil para interfaces especiales o entornos con mucho tráfico.
La contrapartida es menos portabilidad. Una máquina virtual que usa una tarjeta con passthrough depende de que esa tarjeta esté presente en el nodo de Proxmox elegido, y la migración en caliente y la recuperación automática se complican.
En muchos despliegues pequeños y medianos, los bridges de Proxmox ofrecen el mejor equilibrio. Usa passthrough cuando haya un motivo medido de rendimiento, compatibilidad o seguridad.
¿Cuánto rendimiento puede dar un firewall OPNsense virtual?
Los recursos necesarios dependen de la velocidad de la conexión, las reglas del firewall, el cifrado de la VPN, la prevención de intrusiones y los informes de tráfico.
El enrutamiento y el filtrado sencillos requieren recursos relativamente modestos. La prevención de intrusiones con Suricata, la inspección de tráfico y las conexiones VPN de alta velocidad pueden disparar la demanda de procesador.
OPNsense recomienda desactivar el checksum offloading, el TCP segmentation offloading y el large receive offloading en muchos escenarios de firewall y virtualización. Su documentación señala que algunas funciones de offloading son incompatibles con la prevención de intrusiones o pueden causar problemas de enrutamiento.
No dimensiones la máquina virtual solo según el ancho de banda medio. Mide el uso de procesador durante las copias de seguridad, los picos de VPN, las actualizaciones de detección de intrusiones y el tráfico concurrente intenso.
Reserva suficiente capacidad en Proxmox para que otras máquinas virtuales no dejen al firewall sin recursos. Un firewall que compite con las cargas de trabajo de aplicaciones por tiempo de procesador puede generar latencia aunque los adaptadores de red físicos no estén saturados.
¿Cómo gestionar el arranque y el apagado?
OPNsense debería arrancar antes que la mayoría de las cargas de trabajo que dependen del enrutamiento, DHCP, DNS o el acceso a internet.
Proxmox admite el arranque automático de invitados con orden y retardos configurables. Los administradores pueden arrancar primero el firewall, dar tiempo a que sus servicios se inicialicen y después arrancar las máquinas virtuales de aplicaciones. Durante el apagado, Proxmox usa el orden inverso, de modo que las cargas de trabajo dependientes se detienen antes que el firewall.
Que una máquina virtual esté en marcha no garantiza que la red esté lista, porque OPNsense puede necesitar tiempo para inicializar las interfaces, establecer los túneles VPN y confirmar la disponibilidad de la puerta de enlace.
Prueba un reinicio completo del host de Proxmox. Confirma que OPNsense arranca correctamente y que los sistemas dependientes se recuperan sin intervención manual.
¿Necesitas dos máquinas virtuales de OPNsense?
Una sola máquina virtual de OPNsense no puede ofrecer un servicio ininterrumpido cuando falla el host.
OPNsense admite alta disponibilidad mediante CARP. Dos firewalls pueden compartir direcciones virtuales, sincronizar los estados del firewall y dejar que el sistema secundario tome el relevo cuando el principal deja de estar disponible. OPNsense recomienda una interfaz dedicada para la sincronización de estados.
Las dos máquinas virtuales de firewall deberían ejecutarse en nodos de Proxmox distintos si su objetivo es proteger contra el fallo de un host. Ejecutar ambas en un solo servidor físico solo protege contra un fallo dentro de uno de los invitados del firewall.
El clúster de Proxmox también necesita un quórum fiable. Proxmox recomienda al menos tres nodos para un quórum de alta disponibilidad fiable.
CARP depende de comportamientos de red como el multicast, el movimiento de direcciones MAC y el ARP gratuito. OPNsense advierte que los entornos de switching virtualizado pueden complicar CARP si la capa de red restringe esas funciones, así que prueba el camino de failover completo en lugar de dar por hecho que funciona.
¿Cómo gestionar actualizaciones y copias de seguridad?
Exporta la configuración de OPNsense antes de cada cambio importante. Guarda copias fuera del clúster de Proxmox para que sigan disponibles durante un fallo del almacenamiento o del clúster.
Crea también una copia de seguridad verificada en Proxmox antes de las actualizaciones mayores de OPNsense. Los snapshots pueden ofrecer una vuelta atrás rápida, aunque los cambios hechos después del snapshot se pierden al revertir. Por eso OPNsense recomienda conservar copias de la configuración además de los snapshots.
Las actualizaciones deberían probarse primero en un firewall secundario o en una copia de laboratorio. Evita actualizar OPNsense y Proxmox en la misma ventana de mantenimiento, porque los cambios separados facilitan diagnosticar los fallos.
¿Conviene ejecutarlo en producción?
Sí, OPNsense puede funcionar bien en Proxmox en producción.
El diseño es adecuado cuando tienes hardware de servidor fiable, bridges de red separados, acceso de gestión protegido, orden de arranque automático y copias de seguridad guardadas fuera de la máquina virtual del firewall. En redes críticas, usa dos sistemas OPNsense en nodos de Proxmox distintos y prueba el failover CARP en condiciones realistas.
Un firewall físico sigue siendo más sencillo cuando el entorno tiene un solo servidor Proxmox, ninguna vía de gestión independiente y ningún administrador disponible en el sitio durante una caída.
Virtualizar OPNsense te da flexibilidad y una recuperación rápida, pero también ata la disponibilidad de la red a la salud de la plataforma de virtualización. Estar listo para producción depende de si esa dependencia se ha diseñado y probado a conciencia.