El Mejor Mini PC para OPNsense / pfSense (2026): Cajas de Firewall que Funcionan

Para la mayoría de los hogares, la respuesta es o bien un mini PC Intel N150 de 2 puertos como el Beelink EQ14 a $369 (con RAM y SSD incluidos), o bien un appliance sin ventilador de 4 puertos como el Protectli Vault FW4C ($299 directo / $369 en Amazon). Ambos usan NIC Intel i226-V 2.5GbE que el driver igc de FreeBSD soporta de serie, y ambos enrutan internet gigabit con margen de sobra para WireGuard.

Selección rápida

Caja	Precio (30 oct 2026)	NIC	CPU	RAM / SSD incluidos	Sin ventilador	Cómprala si
Beelink EQ14	$369	2x 2.5GbE Intel	Intel N150 (4C)	16GB / 500GB	No (ventilador silencioso)	Quieres el firewall WAN+LAN listo para usar más rápido por tu dinero.
Beelink Mini S13	$349	2x 2.5GbE Intel	Intel N150 (4C)	16GB / 500GB	No (ventilador silencioso)	Mismo N150 + doble 2.5GbE que el EQ14, $20 menos con fuente externa.
Protectli Vault FW4C	$369 (Amazon) / $299 directo	4x 2.5GbE Intel i226-V	Intel J3710 (4C)	Barebone (BYO)	Sí	Quieres 4 puertos físicos, cero ventilador y soporte coreboot.
MINISFORUM MS-01 i5	$439 (barebone)	2x 10G SFP+ + 2x 2.5GbE	Core i5-12600H (12C)	Barebone (BYO)	No	Tienes WAN de fibra de 2.5G–10G o ejecutas Zenarmor/Suricata intensivo.
MINISFORUM MS-01 i9	$669 (barebone)	2x 10G SFP+ + 2x 2.5GbE	Core i9-13900H (14C)	Barebone (BYO)	No	Enrutado 10GbE más un hipervisor Proxmox completo en una sola caja.
N100/N305 genérico de 4 puertos (Topton/CWWK)	~$150–$300	4–6x 2.5GbE i226-V	Intel N100 / N305	Varía	Sí	El presupuesto más ajustado para 4 puertos — lee primero las advertencias de calidad de abajo.

Qué hardware necesitan realmente OPNsense y pfSense

OPNsense y pfSense funcionan sobre FreeBSD, no Linux. Ese único hecho decide tu lista de compras de hardware antes de que la velocidad de reloj de la CPU o la RAM entren siquiera en escena:

1. Compra NIC Intel (igc / ixl), evita Realtek (re). Los controladores Intel i225-V e i226-V 2.5GbE usan el driver igc integrado de FreeBSD, y las jaulas SFP+ 10GbE Intel X710 (en el MS-01) usan ixl. Los chips Realtek RTL8125 2.5GbE tienen un largo historial de caídas de enlace y timeouts del watchdog bajo FreeBSD, a menos que instales el paquete de driver externo realtek-re-kmod y reces para que sobreviva a la próxima versión menor.
2. Nunca uses adaptadores Ethernet USB en un firewall. Las NIC USB (ue0) se reenumeran lentamente en el arranque, pierden paquetes bajo presión sostenida de la tabla NAT y rompen las asignaciones de interfaz si se mueven.
3. Dimensiona la CPU según tu carga de inspección y VPN, no solo los megabits de la WAN. El firewall con estado y el NAT simples apenas consumen CPU. Lo que devora núcleos es la inspección profunda de paquetes en línea (Suricata IDS/IPS o Zenarmor), el encapsulado PPPoE de cola única en ciertos ISP de fibra y los túneles VPN multi-gigabit.

Nivel de Internet / Homelab	Carga de trabajo	CPU y RAM recomendadas	Elige de esta guía
≤1 Gbps WAN	Firewall, NAT, Unbound DNS, WireGuard ligero (~300–500 Mbps)	Cualquier x86 de 4 núcleos + 4–8GB RAM	Protectli FW4C o Beelink Mini S13
1–2.5 Gbps WAN	Enrutado a velocidad de línea, WireGuard (800+ Mbps), AdGuard Home, IDS ligero	Intel N150 + 8–16GB RAM	Beelink EQ14
2.5 Gbps WAN + IDS/IPS intensivo	Suricata en línea + Zenarmor con base de datos de informes local	Core i5-12600H + 16–32GB RAM	MINISFORUM MS-01 i5
Fibra 10 Gbps / enrutado inter-VLAN	Enrutado WAN/LAN 10G SFP+, reglas de firewall inter-VLAN de alta velocidad	Core i5-12600H / i9-13900H + 16–32GB RAM	MS-01 i5 o MS-01 i9

Una nota rápida sobre AES-NI: los hilos antiguos del foro de pfSense tratan AES-NI como obligatorio. En 2026, ni OPNsense ni pfSense lo requieren para arrancar, y WireGuard usa ChaCha20-Poly1305 en lugar de AES, que funciona rápido en cualquier CPU moderna. AES-NI sigue ayudando a IPsec y OpenVPN, y de todos modos todas las CPU de esta página lo soportan.

2 puertos vs 4 puertos: trunking VLAN vs separación física

Cuántos puertos Ethernet necesitas depende de cómo segmentes tu red doméstica:

• Dos puertos (WAN + LAN) con un switch: igc0 se conecta al módem/ONT de tu ISP, e igc1 se conecta a un switch 2.5GbE. Si quieres redes separadas de Invitados, IoT y Homelab en una caja de 2 puertos, creas VLAN 802.1Q (vlan10, vlan20, vlan30) en igc1 y las llevas en trunk a un switch compatible con VLAN y un punto de acceso.
• Cuatro puertos (interfaces físicas por zona): igc0 es WAN, igc1 es tu switch LAN principal, igc2 alimenta un switch tonto dedicado o AP para dispositivos IoT, e igc3 alimenta una DMZ o un servidor de laboratorio. Sin reglas de etiquetado 802.1Q que configurar mal, y cada puerto físico obtiene su propio canal dedicado de 2.5 Gbps.

OPNsense vs pfSense CE en 2026

Ambos se instalan sin problemas en todas las cajas de abajo. Para una instalación nueva en 2026, empieza con OPNsense. Publica versiones mayores predecibles dos veces al año (26.1 / 26.7) y hotfixes de seguridad regulares, incluye WireGuard nativo (os-wireguard), listas de bloqueo de Unbound, plugins de Caddy/HAProxy y una interfaz moderna con buscador. pfSense Community Edition sigue funcionando si ya tienes la memoria muscular, pero Netgate ha centrado la mayor parte de su energía de desarrollo en pfSense Plus, dejando las actualizaciones de CE poco frecuentes.

1. Beelink EQ14 (y Mini S13): el mejor firewall de 2 puertos listo para usar

$369 · 4.5★ de 105 valoraciones · Intel N150 · 16GB DDR4 · 500GB NVMe SSD · 2x 2.5GbE

Si dos puertos Ethernet cubren tu diseño, el Beelink EQ14 es la caja de firewall con mejor relación calidad-precio que puedes comprar hoy con envío Prime. A diferencia de los appliances barebone donde tienes que comprar RAM y un SSD además del precio de etiqueta, el EQ14 llega listo para flashear con 16GB de RAM, un NVMe de 500GB, NIC Intel 2.5GbE duales y una fuente de alimentación interna (solo un cable de CA estándar en forma de ocho, sin bloque de alimentación en el suelo).

Comparado con el antiguo chip J3710 del Protectli FW4C, el N150 del EQ14 tiene aproximadamente de tres a cuatro veces la velocidad por núcleo, lo que se traduce directamente en mayor throughput PPPoE de cola única, túneles WireGuard de ~1Gbps+ y un margen cómodo para listas de bloqueo DNS de Unbound, CrowdSec y conjuntos de reglas Suricata ligeros.

Si quieres ahorrar $20 y no te importa un adaptador de corriente externo, el Beelink Mini S13 a $349 (4.5★ de 659 valoraciones) mete exactamente el mismo Intel N150, 16GB de RAM, SSD de 500GB y puertos 2.5GbE duales en una carcasa ligeramente más pequeña.

Ver Beelink Mini S13 ($349)

2. Protectli Vault FW4C: el appliance de 4 puertos sin ventilador

$369 en Amazon (4.5★ de 35 valoraciones) · $299 directo desde protectli.com

El Protectli Vault FW4C es el appliance de firewall construido específicamente para ello: cuatro puertos Intel i226-V 2.5GbE (WAN, LAN, OPT1, OPT2 etiquetados directamente en el chasis), una carcasa de aluminio aletado completamente sin ventilador que actúa como disipador, un puerto de consola serie RJ45 por hardware y opciones de firmware coreboot de código abierto. Protectli prueba cada modelo contra OPNsense y pfSense y publica guías de instalación paso a paso, con soporte basado en EE. UU. que realmente entiende FreeBSD.

Dos notas importantes de compra:

• Comprueba primero el precio directo: el listado de Amazon a $369 es barebone (debes añadir un SODIMM DDR3L y un SSD mSATA) y lleva un sobreprecio de $70 sobre el precio de $299 de la propia tienda de Protectli.
• Conoce el techo de la CPU: el Intel Pentium J3710 de cuatro núcleos es un chip antiguo de bajo consumo. Enruta una WAN de 1Gbps y ejecuta reglas de firewall estándar en silencio durante una década, pero si quieres inspección Suricata multi-gigabit o WireGuard a 2.5Gbps, compra el EQ14 con N150 de arriba o mira los nuevos Vault V1210/V1410 basados en N100 de Protectli directamente en su sitio.

3. MINISFORUM MS-01 (i5 e i9): la bestia 10GbE SFP+

$439 (i5-12600H barebone) / $669 (i9-13900H barebone) · 4.4★ de 165 valoraciones

Cuando tu ISP te da fibra de 2Gbps, 5Gbps o 10Gbps — o quieres que tu firewall enrute entre VLAN 10GbE y ejecute Suricata + Zenarmor a velocidades multi-gigabit — el MINISFORUM MS-01 está en una categoría propia. Cada MS-01 se envía con dos jaulas 10GbE SFP+ (Intel X710, driver ixl) y dos puertos RJ45 2.5GbE (Intel i226-LM e i226-V), además de tres ranuras M.2 NVMe y una ranura PCIe 4.0 x16 de media altura que puede alojar una NIC Intel de cuatro puertos adicional si cuatro puertos no son suficientes.

Aquí está el consejo de experto que la mayoría de la gente pasa por alto: para una caja OPNsense dedicada en bare metal, compra el barebone Core i5-12600H de $439 en lugar del barebone Core i9-13900H de $669. El i5-12600H te da 12 núcleos (4 de rendimiento + 8 de eficiencia) y exactamente los mismos puertos duales 10GbE SFP+ y duales 2.5GbE por $230 menos. Incluso con Suricata, Zenarmor y WireGuard multi-gigabit funcionando simultáneamente, OPNsense nunca saturará un i5 Alder Lake de 12 núcleos. Reserva el i9-13900H (o el SKU i9 preconfigurado de $1,179 con 32GB/1TB) para montajes donde el MS-01 es principalmente un hipervisor Proxmox.

Ver MS-01 i5 Barebone ($439) Ver MS-01 i9 Barebone ($669)

4. ¿Y las cajas N100 genéricas de 4 puertos de $150–$300 (Topton / CWWK / Qotom)?

Busca «N100 firewall mini PC» en Amazon o AliExpress y encontrarás docenas de cajas de aluminio sin ventilador con cuatro a seis puertos Intel i226-V 2.5GbE por $150 a $280. En especificaciones brutas por dólar, superan tanto al Beelink (4 puertos vs 2, sin ventilador) como al Protectli FW4C (CPU N100/N305 moderna vs J3710, a mitad de precio).

¿Por qué no puse un botón de compra en ninguna? Porque los listados de Amazon rotan de vendedor cada pocas semanas, muchos tienen menos de cinco reseñas, y el control de calidad es una lotería: contacto desigual del disipador que requiere cambiar la pasta térmica, valores de BIOS AMI caprichosos que no rearrancan tras un corte de luz, o bloques de alimentación sin marcar. Si te sientes cómodo quitando la tapa inferior para revisar la pasta térmica, configurando Restore on AC Power Loss en la BIOS y ejecutando una prueba de estrés de 24 horas con iperf3 + memtest86+ antes de confiar en ella como puerta de enlace de tu casa, una caja N100 de 4 puertos de CWWK/Topton es un gran proyecto de homelab. Si quieres una caja que funcione nada más sacarla del embalaje con devoluciones de Amazon, quédate con el Beelink EQ14 o el Protectli.

Bare metal vs ejecutar OPNsense en una VM de Proxmox

Puedes virtualizar OPNsense dentro de Proxmox VE pasando las NIC físicas WAN/LAN (PCI Passthrough) o puentes de Linux a una VM. Aun así recomiendo ejecutar tu firewall principal de internet en una caja dedicada en bare metal.

Cuando tu router es una VM en el mismo hipervisor que usas para probar kernels nuevos, pools de almacenamiento y contenedores, cada reinicio del host Proxmox o cambio de IOMMU mal hecho corta el internet de toda la casa — incluida tu propia capacidad de buscar la solución. Una caja N150 dedicada de $349–$369 con un SAI pequeño mantiene vivos el Wi-Fi, el DNS y el acceso WireGuard mientras desmontas tus servidores de laboratorio detrás de ella.

Configuración de OPNsense del primer día y checklist de FreeBSD

Cuatro ajustes rápidos durante y justo después de la instalación hacen que un mini PC con OPNsense sea significativamente más fiable:

1. Elige ZFS (no UFS) en el instalador

Cuando el instalador de OPNsense te pregunte por el sistema de archivos, elige ZFS (Stripe — single disk) aunque tu mini PC solo tenga un SSD. ZFS te da Boot Environments (System > Firmware > Boot Environments). Antes de cualquier actualización importante de OPNsense, haces clic en un botón para crear un snapshot del entorno de arranque; si una actualización rompe un plugin o driver, reinicias, seleccionas el snapshot anterior en el menú de la consola HDMI y estás de vuelta en línea en 30 segundos.

2. Verifica los nombres de driver de las NIC Intel en la consola

En el primer arranque, OPNsense lista las interfaces detectadas:

• igc0, igc1, igc2, igc3: puertos Intel i225/i226 2.5GbE (lo que quieres ver en el EQ14, S13, FW4C, MS-01).
• ixl0, ixl1: jaulas Intel X710 10GbE SFP+ (en el MS-01).
• re0, re1: NIC Realtek (si ves estas en una caja genérica, instala el plugin os-realtek-re en System > Firmware > Plugins inmediatamente para prevenir bloqueos del watchdog).

3. Activa PowerD y los C-states para menos calor en reposo

De fábrica, FreeBSD suele dejar las CPU Intel modernas funcionando más calientes que con Linux. En la interfaz web de OPNsense:

1. Ve a System > Settings > Miscellaneous > Power Savings y activa Use PowerD, configurado en Hiadaptive con corriente alterna.
2. En System > Settings > Tunables, pon dev.cpu.0.cx_lowest (y los núcleos restantes) en C3 para que el N150 o el i5 entre en estados de reposo profundo entre ráfagas de paquetes.

4. Activa WireGuard para acceso road-warrior

En lugar de redirigir puertos a servicios internos, configura el servidor VPN > WireGuard integrado de OPNsense. Combínalo con un router de viaje GL.iNet en la bolsa de tu portátil, y cada dispositivo que lleves a un hotel se tunelará automáticamente de vuelta a través de tu firewall doméstico.

Qué compraría yo

• La mayoría de los hogares (WAN ≤2.5Gbps, con un switch detrás): el Beelink EQ14 a $369 (o el Mini S13 a $349) ejecutando OPNsense en bare metal sobre ZFS.
• Si quieres 4 puertos Intel físicos y silencio sin ventilador: el Protectli Vault FW4C — comprueba el precio directo de $299 en el sitio de Protectli antes de pagar $369 en Amazon.
• WAN de fibra 2.5G–10G o Zenarmor/Suricata intensivo: el MINISFORUM MS-01 i5 barebone a $439 con un par de cables DAC 10G SFP+.
• Firewall 10GbE + nodo de clúster Proxmox en un solo chasis: el MS-01 i9 barebone a $669 o la unidad configurada 32GB/1TB.

Preguntas frecuentes

¿Qué CPU necesito para OPNsense o pfSense en 2026?

Cualquier CPU x86 moderna de 4 núcleos enruta una WAN de 1Gbps sin esfuerzo. Un Intel N150 (en el Beelink EQ14 y el Mini S13) maneja cómodamente enrutado 2.5GbE, túneles VPN WireGuard de ~1Gbps e inspección moderada de Suricata o Zenarmor. Sube a un Core i5 (como el MINISFORUM MS-01 i5-12600H) solo si ejecutas IDS/IPS multi-gigabit o enrutado 10GbE.

¿Requieren OPNsense o pfSense AES-NI?

No. Ni OPNsense ni el pfSense actual requieren AES-NI para instalarse o actualizarse. AES-NI acelera IPsec y OpenVPN, mientras que WireGuard usa ChaCha20-Poly1305 y funciona rápido en cualquier CPU moderna. Todos los procesadores recomendados en esta guía incluyen AES-NI de todos modos.

¿Son suficientes 2 puertos Ethernet para OPNsense o necesito 4?

Dos puertos Intel 2.5GbE (WAN + LAN) son suficientes para la mayoría de los hogares si conectas el puerto LAN a un switch. Si quieres redes aisladas de Invitados, IoT y Homelab en una caja de 2 puertos, usas VLAN 802.1Q con un switch gestionable. Un appliance de 4 puertos como el Protectli FW4C te permite conectar switches o puntos de acceso separados a puertos físicamente aislados sin configurar etiquetas VLAN.

¿Por qué se advierte contra las NIC Realtek para OPNsense y pfSense?

OPNsense y pfSense funcionan sobre FreeBSD, donde los drivers igc (2.5GbE i225/i226) e ixl (10GbE X710) de Intel son maduros y estables bajo carga sostenida. Los chips Realtek 2.5GbE (RTL8125) han sufrido históricamente caídas de enlace y timeouts del watchdog con el driver por defecto de FreeBSD, a menos que mantengas manualmente el módulo de kernel del fabricante (os-realtek-re).

¿Debería ejecutar OPNsense en bare metal o dentro de una VM de Proxmox?

Ejecuta tu firewall WAN principal en bare metal en un mini PC dedicado. Virtualizar OPNsense dentro de Proxmox funciona mediante PCI passthrough, pero significa que cada reinicio del host Proxmox, actualización de kernel o experimento de almacenamiento tumba el internet y el DNS de toda la casa.