diff --git a/servidores/opnsense/README.md b/servidores/opnsense/README.md
new file mode 100644
index 0000000..e9d2aba
--- /dev/null
+++ b/servidores/opnsense/README.md
@@ -0,0 +1,48 @@
+# OPNsense — Firewall Perimetral (AS-FW01)
+
+> **Hostname**: AS-FW01.int.consultoria-as.com  
+> **IP LAN**: 192.168.10.254 (gateway de la red)  
+> **Acceso**: SSH `root@192.168.10.254` · Web UI http://192.168.10.254  
+> **Estado**: ✅ Activo (revivido en la mudanza Sept 2026)
+
+---
+
+## Rol en la arquitectura
+
+```
+Internet ──► 199.87.229.133 (GetAStatic, IP estática)
+                │ túnel WireGuard (wg0, IP 10.77.1.133, MTU 1420)
+                ▼
+          OPNsense (AS-FW01)
+                │ DNAT 80/443 + reglas de firewall
+                ▼
+          Caddy (192.168.10.74:80/443) ──► servicios internos
+```
+
+## Interfaces
+
+| Interfaz | Dispositivo | Descripción | IP |
+|---|---|---|---|
+| wan | pppoe1 | WAN (ISP Total Play/PPPoE) | dhcp/pppoe |
+| lan | re0 | LAN | 192.168.10.254/24 |
+| opt1 | re1 | SFP_PON (módulo ISP) | 192.168.1.100 |
+| opt3 | vlan030 | ServicesVLAN30 | 192.168.30.1 |
+| **opt4** | **wg0** | **WG_TP — túnel GetAStatic** | **10.77.1.133/32** |
+
+## Configuración GetAStatic (crítico)
+
+- Peer: endpoint `199.87.228.82:1194`, allowed-ips `0.0.0.0/0`, keepalive 25s, handshake activo.
+- **Reglas requeridas** (Firewall → Rules → opt4 y Firewall → NAT → Port Forward):
+  - 2 reglas **pass** (TCP 80, 443) con **destination ANY** ← ⚠️ el firewall evalúa **pre-NAT**: el tráfico entrante llega con destino la **IP del túnel (10.77.1.133)**, no la IP pública; reglas con destino específico NO matchean.
+  - 2 reglas **NAT port forward** (interfaz opt4, TCP 80/443 → `192.168.10.74`, también con destino ANY).
+  - Regla existente: "Wireguard MSS Clamping IPv4" (mantener — evita fragmentación en el túnel).
+- Aplicar cambios: `configctl filter reload` (recarga firewall+NAT sin reiniciar el router).
+- Verificar en vivo: `pfctl -sn | grep 192.168.10.74` (NAT) y `pfctl -sr | grep 192.168.10.74` (filter).
+
+## Backups
+
+| Fecha | Ubicación |
+|---|---|
+| 21 Sep 2026 (pre-cambios GetAStatic) | `/conf/config.xml.bak-pre-getastatic-20260921` (en el firewall) + `backups-fw/AS-FW01-config-20260921.xml` (md5 `f9f4e73f27c2`) |
+
+> **Nota de shell**: el root del OPNsense usa **tcsh** — los comandos con redirecciones bash (`2>/dev/null`) fallan con "Ambiguous output redirect". Envolver en `sh -c "..."`.