OPNsense — Firewall Perimetral (AS-FW01)

Hostname: AS-FW01.int.consultoria-as.com
IP LAN: 192.168.10.254 (gateway de la red)
Acceso: SSH root@192.168.10.254 · Web UI http://192.168.10.254
Estado: ✅ Activo (revivido en la mudanza Sept 2026)

Rol en la arquitectura

Internet ──► 199.87.229.133 (GetAStatic, IP estática)
                │ túnel WireGuard (wg0, IP 10.77.1.133, MTU 1420)
                ▼
          OPNsense (AS-FW01)
                │ DNAT 80/443 + reglas de firewall
                ▼
          Caddy (192.168.10.74:80/443) ──► servicios internos

Interfaces

Interfaz	Dispositivo	Descripción	IP
wan	pppoe1	WAN (ISP Total Play/PPPoE)	dhcp/pppoe
lan	re0	LAN	192.168.10.254/24
opt1	re1	SFP_PON (módulo ISP)	192.168.1.100
opt3	vlan030	ServicesVLAN30	192.168.30.1
opt4	wg0	WG_TP — túnel GetAStatic	10.77.1.133/32

Configuración GetAStatic (crítico)

Peer: endpoint 199.87.228.82:1194, allowed-ips 0.0.0.0/0, keepalive 25s, handshake activo.
Reglas requeridas (Firewall → Rules → opt4 y Firewall → NAT → Port Forward):
- 2 reglas pass (TCP 80, 443) con destination ANY ← ⚠️ el firewall evalúa pre-NAT: el tráfico entrante llega con destino la IP del túnel (10.77.1.133), no la IP pública; reglas con destino específico NO matchean.
- 2 reglas NAT port forward (interfaz opt4, TCP 80/443 → 192.168.10.74, también con destino ANY).
- Regla existente: "Wireguard MSS Clamping IPv4" (mantener — evita fragmentación en el túnel).
Aplicar cambios: configctl filter reload (recarga firewall+NAT sin reiniciar el router).
Verificar en vivo: pfctl -sn | grep 192.168.10.74 (NAT) y pfctl -sr | grep 192.168.10.74 (filter).

Backups

Fecha	Ubicación
21 Sep 2026 (pre-cambios GetAStatic)	`/conf/config.xml.bak-pre-getastatic-20260921` (en el firewall) + `backups-fw/AS-FW01-config-20260921.xml` (md5 `f9f4e73f27c2`)

Nota de shell: el root del OPNsense usa tcsh — los comandos con redirecciones bash (2>/dev/null) fallan con "Ambiguous output redirect". Envolver en sh -c "...".