Lab 1: Construcción de Red Segmentada con OPNsense

Objetivo

Construir un entorno de laboratorio aislado y segmentado que permita realizar prácticas de ciberseguridad sin comprometer la red personal. Se utilizará OPNsense como firewall/router principal y se dividirá la red en tres segmentos: WAN, LAN VMs y Admin.

Requisitos

• VMware Workstation Pro.
• OPNsense-26.7-dvd-amd64.iso
• kali-linux-2026.2-installer-amd64.iso
• ubuntu-26.04.1-live-server-amd64.iso

Configuraciones

OPNsense

Haremos la instalación de el Sistema Operativo de OPNsense, el usuario para hacerlo es "installer" y la contraseña es "opnsense"

Una vez hecha la instalación, veremos que en el menú inicial nos creará unas configuraciones por defecto en LAN y WAN.

Asignación de interfaces

Para iniciar con la configuración de las interfaces, primero debemos asignar las interfaces de red desde el firewall, para lo cual elegiremos la opción 1

Lista de preguntas mostradas y opciones establecidas:

• Do you want to configure LAGGs now? [y/n]: n
• Do you want to configure VLANs now [y/n]: n
• Enter the WAN interface name or 'a' for auto-detection: em0
• Enter the LAN interface name or 'a' for auto-detection: em1
• Enter the Optional 1 interface name or 'a' for auto-detection: em2
• Enter the Optional 2 interface name or 'a' for auto-detection: [PRESIONAR ENTER]

Después, nos listará las interfaces de red y sus asignaciones, si estamos de acuerdo escribimos y.

Nos llevará al menú inicial y veremos que las interfaces de red han sido creadas.

Estableciendo direcciones IP

LAN (em1). Una vez en el menú inicial, elegiremos la opcion 2 y procederemos a configurar la interfaz LAN.

• Configure IPv4 address LAN interface via DHCP?: [y/n]: n
• Enter the new LAN IPv4 address. Press "ENTER" for none: 172.16.1.1
• Enter the new LAN IPv4 subnet bit count (1 to 32): 24
• For a LAN, press "ENTER" for none: [PRESIONAR ENTER]
• Configure IPv6 address LAN interface via WAN tracking? [y/n]: n
• Configure IPv6 address LAN interface via DHCP6? [y/n]: n
• Enter the new LAN IPv6 address. Press "ENTER" for none: [PRESIONAR ENTER]
• Do you want to enable the DHCP server on LAN? [y/n]: n
• Do you want to change the web GUI protocol from HTTPS to HTTP? [y/n]: n
• Do you want to generate a new self-signed web GUI certificate? [y/n]: n
• Restore web GUI access defaults? [y/n]: n

OPT1 (em2). Una vez en el menú inicial, elegiremos la opcion 2 y procederemos a configurar la interfaz OPT1.

• Configure IPv4 address OPT1 interface via DHCP?: [y/n]: n
• Enter the new OPT1 IPv4 address. Press "ENTER" for none: 10.10.10.1
• Enter the new OPT1 IPv4 subnet bit count (1 to 32): 24
• For a LAN, press "ENTER" for none: [PRESIONAR ENTER]
• Configure IPv6 address OPT1 interface via WAN tracking? [y/n]: n
• Configure IPv6 address OPT1 interface via DHCP6? [y/n]: n
• Enter the new OPT1 IPv6 address. Press "ENTER" for none: [PRESIONAR ENTER]
• Do you want to enable the DHCP server on OPT1? [y/n]: n
• Do you want to change the web GUI protocol from HTTPS to HTTP? [y/n]: n
• Do you want to generate a new self-signed web GUI certificate? [y/n]: n
• Restore web GUI access defaults? [y/n]: n

De tal manera que debe quedar nuestro menú principal de la siguiente forma:

Kali Linux

Estableciendo dirección IPv4

Antes de establecer la dirección IP, validaremos las interfaces de red y sus propiedades. También, como prueba de no conexión, haremos ping a la dirección IP del segmento de red al que deberíamos estar conectados.

A continuación, haremos múltiples pasos con el apoyo de un script que hice en bash. El cuál nos podrá ayudar en el futuro si deseamos cambiar solo la dirección IP.

Una vez creado el script, procederemos a ejecutarlo y realizar las pruebas de conexión.

Ubuntu Server

Estableciendo dirección IPv4

Antes de establecer la dirección IP, validaremos las interfaces de red y sus propiedades. También, como prueba de no conexión, haremos ping a la dirección IP del segmento de red al que deberíamos estar conectados.

Una vez validadas las propiedades de la interfaz de red, procederemos a establecer la dirección IPv4 estática, esto lo haremos navegando y abriendo con permisos de superusuario el archivo /etc/netplan/00-installer-config.yaml

Una vez dentro del archivo de configuración, procederemos a establecerlo como se muestra en la imágen.

Una vez realizados los cambios, procedemos a aplicarlos y listamos nuevamente las propiedades de la interfaz y hacemos ping al Firewall para validar la conexión

Windows

Estableciendo dirección IPv4

Para establecer la dirección IPv4 en la máquina windows, realizaremos los siguientes pasos:

• Ir a: Ver conexiones de red
• Seleccionar: VMware Network Adapter VMnet 1
• Establecer dirección IPv4

En este momento no tenemos acceso desde Windows hacia OPNsense. Para ello primero debemos crear una regla que permita la conexión desde una red diferente a la LAN, es por ello que esa regla la crearemos desde la máquina Kali

Hasta este punto hemos terminado el establecimiento de las direcciones IPv4 en las diferentes máquinas que conforma nuestro laboratorio.

Creación de reglas del Firewall

Kali Linux

Desde Kali Linux abrimos firefox y nos conectamos a OPNsense mediante la dirección IPv4: https://172.16.1.1

A continuacion realizaremos las siguientes operaciones para la primer regla de conexión entre Windows y OPNsense:

• Ir a: Firewall/Rules/+
• Description: Allow administration from the OPT1
• Interface: OPT1
• Action: Pass
• Directin: In
• Version: IPv4
• Protocol: any
• Source: OPT1 Network
• Destination: This Firewall
• Guardamos los cambios
• Aplicamos los cambios

Desde la máquina windows ya deberiamos poder alcanzar mediante ping a la dirección IPv4 10.10.10.1

Abrimos firefox desde nuestra máquina Windows para validar la conexión mediante HTTPS

Antes de continuar con la creación de las demás reglas, vamos a establecer en primera instancia un grupo de alias, donde tendrémos agregados los puertos de administración como 22, 80, 443, 2222, 8080, 44343.

De igual manera vamos a deshabilitar una regla generada automáticamente llamada anti-lockout, la cuál nos supondrá un obstáculo en este momento, ya que nosotros solo queremos que la administración sea solo por la interfaz OPT1 y no por LAN.

Creación de Aliases

Para crear el alias haremos lo siguiente:

• Ir a: Firewall/Aliases
• Agregaremos con el símbolo de +
• Name: admin_ports
• Type: Ports
• Content: 22, 80, 443, 2222, 8080, 44343
• Description: Puertos de gestión

Deshabilitar anti-lockout

Para deshabilitar las reglas de administración anti-lockout, haremos lo siguiente:

• Ir a: Firewall/Advanced
• Disable anti-lockout: ✅ Disable administration anti-lockout rule

Orden de reglas

La tabla siguiente será el órden y las propiedades que definiremos en las reglas del Firewall para cumplir con los objetivos propuestos en nuestro laboratorio.

La regla 4 y 5 fueron generadas automáticamente por OPNsense. Solo editamos la regla numero 4 para permitir la salida por todas las interfaces de red menos por la red OPT1

Verificación

Validamos con la máquina Windows que tengamos conexión con el Firewall de OPNsense

Validamos con la máquina Kali que no tengamos conexión administrativa (ssh, https) con el Firewall de OPNsense ni con las demas interfaces de red, solo con el servidor Ubuntu

Conclusion

El laboratorio quedó completamente aislado y funcional. Ahora puedo realizar pruebas de pentesting, escaneos agresivos y análisis de tráfico sin afectar la red doméstica. En futuras iteraciones planeo agregar:

• Snort/Suricata en OPNsense para IDS/IPS
• Segmentación adicional para un DC (Active Directory)
• Registro centralizado de logs

Aprendizajes

• Importancia de segmentar la red de laboratorio
• Configuración básica de OPNsense (Interfaces + reglas)
• Uso de VMware Virtual Network Editor para segmentar