¿Firewall de hardware en casa? Mi router no me convence

RnB

Buenas, soy nuevo en esto de la ciberseguridad y estoy montando mi primer servidor casero (un NAS básico con Nextcloud). Mi router de casa (el típico de operadora) tiene firewall, pero no sé si es suficiente. Estaba pensando en comprar un firewall de hardware tipo pfSense o algo así, pero no sé si es overkill para un servidor en casa. ¿Merece la pena o con el router vale? ¿Alguna recomendación para alguien que está empezando?

Dance

Depende de lo que quieras proteger. Si solo vas a tener Nextcloud accesible desde fuera, con el firewall del router y buenas prácticas (contraseñas fuertes, 2FA, actualizaciones) debería bastar. pfSense es potente pero requiere tiempo para configurarlo bien. Si te sobra un PC viejo, puedes probar OPNsense que es más amigable.

RnB

Gracias por el consejo. La verdad es que no tengo un PC viejo, pero podría comprar algo barato. Lo que me da miedo es liarla con la configuración y dejarlo peor que antes. ¿Hay guías para noobs o algo así?

Retro

Si no tienes hardware, no te compliques. Lo mejor que puedes hacer es segmentar la red: pon el NAS en una VLAN separada (si tu router lo soporta). Así aunque te cuelen algo, no tienen acceso al resto de dispositivos. Otra opción: instala Pi-hole para filtrar DNS y un IDS tipo Snort en una Raspberry. Más barato que un firewall físico.

Fitness

Ojo con las VLANs en routers de operadora: muchos no las soportan bien. Yo tuve que comprar un switch gestionable para separar tráfico. Si no, otra opción es usar el firewall de software del propio servidor (ufw o iptables) y cerrar todo excepto los puertos necesarios (443, 80, etc.). Y nunca, NUNCA expongas SSH al exterior sin cambiar el puerto y usar claves.

RnB

Vale, veo que tengo que investigar más. Lo de las VLANs me suena a chino. Creo que empezaré con ufw en el servidor y configurar bien el firewall del router. Si veo que me quedo corto, ya miraré opciones más avanzadas. ¡Gracias a todos!

Metalwork

Buena decisión. Un paso a la vez. Y no olvides monitorizar logs con algo tipo fail2ban para bloquear IPs que intenten fuerza bruta. Eso ya te cubre un montón.

Typography

Exacto, fail2ban es básico. Y si ya te metes con ufw, combínalo con ufw limit para rate-limiting en SSH aunque solo lo uses internamente. Otra cosa: no confíes ciegamente en el firewall del router de operadora, muchos tienen agujeros de seguridad conocidos. Si quieres dormir tranquilo, un pequeño PC con pfSense de segunda mano te da control total por menos de 100€. Pero si tu servidor es el único punto crítico, con ufw+iptables+fail2ban vas sobrado.

Gamer

pfSense de segunda mano es una opción sólida, pero para muchos usuarios un Raspberry Pi con OpenWrt o incluso un viejo Thin Client con OPNsense puede ser más barato y silencioso. Lo importante es que el firewall de hardware no sea un cuello de botella para tu conexión; asegúrate de que el procesador dé para manejar el throughput de tu línea. Si tu router de operadora ya hace NAT, poner otro firewall detrás puede complicar la configuración de puertos y UPnP. ¿Qué tal si primero pones el router de operadora en modo bridge y dejas que el pfSense haga todo? Eso elimina el doble NAT y es más limpio.