# OPNsense — Firewall Perimetral (AS-FW01)

> **Hostname**: AS-FW01.int.consultoria-as.com  
> **IP LAN**: 192.168.10.254 (gateway de la red)  
> **Acceso**: SSH `root@192.168.10.254` · Web UI http://192.168.10.254  
> **Estado**: ✅ Activo (revivido en la mudanza Sept 2026)

---

## Rol en la arquitectura

```
Internet ──► 199.87.229.133 (GetAStatic, IP estática)
                │ túnel WireGuard (wg0, IP 10.77.1.133, MTU 1420)
                ▼
          OPNsense (AS-FW01)
                │ DNAT 80/443 + reglas de firewall
                ▼
          Caddy (192.168.10.74:80/443) ──► servicios internos
```

## Interfaces

| Interfaz | Dispositivo | Descripción | IP |
|---|---|---|---|
| wan | pppoe1 | WAN (ISP Total Play/PPPoE) | dhcp/pppoe |
| lan | re0 | LAN | 192.168.10.254/24 |
| opt1 | re1 | SFP_PON (módulo ISP) | 192.168.1.100 |
| opt3 | vlan030 | ServicesVLAN30 | 192.168.30.1 |
| **opt4** | **wg0** | **WG_TP — túnel GetAStatic** | **10.77.1.133/32** |

## Configuración GetAStatic (crítico)

- Peer: endpoint `199.87.228.82:1194`, allowed-ips `0.0.0.0/0`, keepalive 25s, handshake activo.
- **Reglas requeridas** (Firewall → Rules → opt4 y Firewall → NAT → Port Forward):
  - 2 reglas **pass** (TCP 80, 443) con **destination ANY** ← ⚠️ el firewall evalúa **pre-NAT**: el tráfico entrante llega con destino la **IP del túnel (10.77.1.133)**, no la IP pública; reglas con destino específico NO matchean.
  - 2 reglas **NAT port forward** (interfaz opt4, TCP 80/443 → `192.168.10.74`, también con destino ANY).
  - Regla existente: "Wireguard MSS Clamping IPv4" (mantener — evita fragmentación en el túnel).
- Aplicar cambios: `configctl filter reload` (recarga firewall+NAT sin reiniciar el router).
- Verificar en vivo: `pfctl -sn | grep 192.168.10.74` (NAT) y `pfctl -sr | grep 192.168.10.74` (filter).

## Backups

| Fecha | Ubicación |
|---|---|
| 21 Sep 2026 (pre-cambios GetAStatic) | `/conf/config.xml.bak-pre-getastatic-20260921` (en el firewall) + `backups-fw/AS-FW01-config-20260921.xml` (md5 `f9f4e73f27c2`) |

> **Nota de shell**: el root del OPNsense usa **tcsh** — los comandos con redirecciones bash (`2>/dev/null`) fallan con "Ambiguous output redirect". Envolver en `sh -c "..."`.