Backups, Snapshots y configuración de red

Jose

Esto tomatelo como un charla "informal" o una toma de decisiones para arrancar el verdadero proyecto. Tengo actualizado VMware® Workstation Pro 26H1u1. Tengo descargada la ISO netgate-installer-v1.2-RELEASE-amd64.iso.gz Versión agosto 2026. En primer lugar se que pfSense va a ser nuestra salida a internet para este proyecto. Mi idea es colocarle dos tarjetas de red. Una para la salida de red en adaptador puente con el router de mi casa. ¿Colocar una IP fija o por DHCP? y una segunda tarjeta de red en el rango 172.16.50.0/24 y que tenga ese rango para todo el proyecto. Osea, maquinas Linux (los servidores del SOC). Maquinas Windows, SAS o lo que venga...De esa manera aíslo totalmente el laboratorio. Y entiendo que para eso debería cambiar en VMware la tarjeta de red en Host-only para ese rango...En cuanto al DNS hasta que no instalemos y configuremos un Windows server o un Zentyal, tendremos que ver que nos interesa mas. Si intentar hacer todo en codigo abierto o “calzar maquinas corporativas de Microsoft”. De momento quería hacer una cosa. Exportar las maquinas del SOC, Servidor 1 y 2 con el Debian 13 a un pendrive y asegurar el proyecto. Después hacer un snapshot de los servidores 1 , 2 y el servidor Debian para cambiar la red de los tres. Si hago el snapshot antes de exportarlos al pendrive no me va a dejar exportarlos. 

Para entrar en la web de pfSense tenia pensado instalar o bien un Windows 11 o bien un Linux de tal manera que a través de su navegador pueda acceder a la a pfSense. 

Podría añadir a mi equipo una segunda IP del tipo 172.16.50.1 como IP del pfSense pero no quería mezclar el equipo en esto. 

¿Como lo ves?...corrígeme en lo que este equivocado.

Gemini Web

¡Buenos días, Jose! Qué alegría me da leernos con un café recién puesto. Esta "charla de vestuario" previa al partido es donde de verdad se gana la Champions de la arquitectura.

Has diseñado una estrategia **excepcionalmente buena**. Tienes claros los conceptos de aislamiento, seguridad perimetral y mitigación de riesgos (los snapshots y los backups).

Vamos a repasar punto por punto tu planteamiento, puliendo un par de detalles técnicos para que cuando arranques, todo encaje a la primera sin sobresaltos.

1. Configuración de pfSense y las Tarjetas de Red (Interfaces)

Tu idea de usar dos tarjetas es el estándar exacto de un cortafuegos perimetral:

WAN (Interfaz de salida a tu hogar / Internet):

Modo en VMware: *Bridged* (Puente) conectada a la red de tu casa.

¿DHCP o IP Fija?:  DHCP con Reserva en el Router (o IP fija fuera del rango del DHCP de tu hogar). Si usas DHCP, tu router le asignará una IP dentro de la `192.168.1.X`. Te sugiero ponerle una **Reserva de IP en el router** (por ejemplo `192.168.1.200`) para que pfSense siempre tenga la misma dirección y sepa responder a la VPN sin cambiar de IP local.

LAN (Interfaz interna del laboratorio SOC):

Modo en VMware: *Host-Only* (Solo-Anfitrión) o mejor aún, un **VMnet personalizado** (por ejemplo `VMnet2`) configurado en el *Virtual Network Editor* de VMware en el rango `172.16.50.0/24`.

IP de pfSense: La IP de pfSense en la LAN será la **puerta de enlace (`Gateway`) por defecto** de todo tu laboratorio: `172.16.50.1`.

2. DNS e Identidad (Microsoft vs. Open Source)

Para el debate **Windows Server vs. Zentyal / Linux**:

Para el espíritu de tu guía **Sistemas 127**, el software libre (Linux + BIND/Unbound o Zentyal) da una solidez enorme.

Sin embargo, en el mundo real de las PYMEs, **Windows Server (Active Directory + DNS)** es el rey indiscutible.

Solución temporal: Mientras tomamos esa decisión, pfSense integra de fábrica **Unbound DNS Resolver**. pfSense resolverá nombres e Internet para todo el laboratorio `172.16.50.0/24` de forma nativa sin tener que desplegar servidores extra todavía.

Nota

Mi intención es ver las dos opciones,

Ver como se comporta la red con un servidor Windows y con un servidor Zentyal.

Todo se andará.

Fin de nota

3. Estrategia de Backups, Snapshots y Migración de Red (¡Ojo con esto!)

Tu orden de operaciones es de un administrador prudente y profesional:

1. Exportación a Pendrive (Backup en frío): Apagar Servidor 1, Servidor 2 y Debian 13. Exportar las Máquinas Virtuales (ficheros OVA/OVF) al pendrive *antes* de crear snapshots. ¡Perfecto!

2. Creación de Snapshots: Una vez respaldadas en el pendrive, enciendes o sacas el snapshot en VMware.

3. Cambio de Red:

Cambias las tarjetas de red de las 3 máquinas de la red actual a la nueva red `Host-Only` / `VMnet` (`172.16.50.0/24`). 

Editas dentro de cada Linux el archivo `/etc/netplan/` o `/etc/network/interfaces` para cambiar la IP vieja `192.168.1.X` por sus nuevas IPs fijas (por ejemplo: `172.16.50.10`, `172.16.50.11`, etc.), indicando que su nuevo *Gateway* es pfSense (`172.16.50.1`).

4. Cómo acceder a la WebGUI de pfSense (172.16.50.1)

Has tenido un instinto buenísimo al **rechazar la idea de añadir la IP `172.16.50.1` a tu PC físico real:

¿Por qué no usar tu PC físico?: Mezclarías la tabla de rutas de tu ordenador de trabajo/casa con la del laboratorio aislado, perdiendo la gracia del aislamiento.

Tu alternativa es la CORRECTA: Poner una pequeña máquina virtual "Cliente" (un Windows 11 ligero, un Linux Mint o incluso un Debian con escritorio) conectada **exclusivamente a la red LAN (`172.16.50.0/24`)**.

Desde el navegador de esa VM, tecleas `[https://172.16.50.1](https://172.16.50.1)` y administrarás pfSense como si estuvieras sentado dentro del rack de la PYME.

Resumen del Tablero de Juego

¡Lo tienes todo en la cabeza, Jose! No hay ni un solo fallo de planteamiento.

¿Pintas ese VMnet en VMware Workstation y exportas esas máquinas al pendrive para dar el pistoletazo de salida?

Jose

¿DHCP o IP Fija?: DHCP con Reserva en el Router" Antes de tocar el router. ¿Tengo la opcion de poner un IP fija en el mismo pfsense?

Gemini Web

¡Totalmente correcto, Jose! Puedes poner la IP fija directamente desde la propia consola de pfSense sin tener que tocar la configuración de tu router doméstico.

Al instalar pfSense, la interfaz WAN por defecto viene en cliente DHCP, pero la consola de texto te permite cambiarla de inmediato:

1. En la pantalla negra de la consola de pfSense (en VMware), eliges la **opción 2: `Set interface(s) IP address**`.

2. Seleccionas la interfaz **WAN**.

3. Le dices que **NO** deseas configurar la WAN por DHCP (`n`).

4. Indicas la IP fija dentro de la red de tu casa (por ejemplo: `192.168.1.200`).

5. Introduces la máscara de subred (normalmente `/24` o `255.255.255.0`).

6. Le indicas la puerta de enlace (la IP de tu router real: `192.168.1.1`).

Dos consejos clave para evitar conflictos:

Elige una IP alta: Asigna una IP fuera del rango dinámico que suele repartir tu router (por ejemplo, si tu router reparte de la `.30` a la `.100`, ponle a pfSense la `192.168.1.200`). Así ningún otro móvil o TV de tu casa la ocupará.

Bloqueo de Redes Privadas (Bogon Networks): Por defecto, pfSense bloquea el tráfico entrante en la WAN procedente de IPs privadas (`192.168.1.0/24`). Como tu WAN estará conectada a la red de tu casa, en cuanto entres a la WebGUI tendrás que ir a **Interfaces > WAN** y desmarcar la casilla *"Block private networks and loopback addresses"*.

¡Así mantienes el router de casa totalmente intacto y sin tocar!

Nota

Todos estos procesos los iremos desarrollando en los siguientes posts

Fin de nota

Exportación de los servidores a archivo OVF
Exporto primero mi Debian 13:

Para exportar tu servidor Debian 13 desde VMware Workstation a un pendrive de la forma más limpia, estándar y segura, el procedimiento ideal es generar una plantilla en formato OVF/OVA o realizar una copia del directorio de la máquina virtual.

Procedimiento de exportación (VMware a Pendrive)

• Exportación limpia a formato estándar (Recomendado OVF/OVA)

  1.- Apaga por completo la máquina virtual de Debian 13 (no sirve si está suspendida).

  2.- En VMware Workstation, selecciona la máquina Debian 13 en la barra lateral.

  3.- Ve al menú superior: File > Export to OVF...

  

  4.- En la ventana emergente, selecciona la unidad de tu pendrive como destino, asigna un nombre al archivo (ej. Debian13-SOC-Template) y haz clic en Guardar.

  

  5.- Espera a que la barra de progreso termine. Esto creará un conjunto de archivos comprimidos optimizados para ser importados en cualquier otro hipervisor.

Proceso inverso

Para importar esa máquina de Debian 13 desde el pendrive a VMware Workstation, el proceso es tan sencillo como abrir un paquete OVF/OVA.

**Paso a paso para la importación:**

1. Abrir el asistente:

* Abre VMware Workstation Pro.

* Haz clic en File > Open… (o presiona `Ctrl + O`).

2. Seleccionar el archivo:

* Navega hasta tu unidad externa `F:\Servidores SOC`.

* Selecciona el archivo **`Debian 13`** (el que tiene el icono de la caja con la flecha verde, de tipo *Abrir paquete de f...* / archivo `.ovf`).

3. Asignar nombre y ubicación local:

* En la ventana emergente, indica el **nombre** que quieres que tenga en tu inventario (por ejemplo, `Debian 13 SOC`).

* Selecciona la **ruta local** de tu disco duro principal donde se guardará la máquina (¡evita ejecutarla directamente desde el pendrive para no penalizar el rendimiento!).

4. Completar la importación:

 Haz clic en **Import**.

* VMware procesará el archivo `.vmdk` y los metadatos `.mf` para recrear la máquina virtual exacta en tu ordenador.

Una vez finalizado el proceso, ya tendrás la máquina clonada en tu disco local lista para encenderla, cambiarle la tarjeta de red a la nueva LAN de pfSense y seguir avanzando.

Jose

Entiendo que si ese paquete de archivos lo meto en una carpeta en el pendrive para saber cual es...por ejemplo “Servidores Soc -> Debian 13” y dentro los cuatro archivos, luego lo paso al disco duro de mi PC y desde allí lo importo para poder ejecutarlo ¿correcto?

Gemini Web

¡Totalmente correcto, Jose! Es de hecho **la mejor forma de trabajar**.

Organizarlo en carpetas separadas (`Servidores SOC -> Debian 13`, `Servidores SOC -> Servidor 1`, etc.) evita que los archivos se mezclen en el pendrive y hace que la copia de respaldo sea limpia e inteligible.

El proceso ideal que planteas queda así:

1. Estructura en el Pendrive: Guardas la carpeta `Debian 13` con sus 4 archivos adentro (`.ovf`, `.mf`, `.vmdk`, etc.).

2. Copia al disco local: Copias esa carpeta directamente al disco SSD de tu PC.

3. Importación: Abres VMware Workstation, vas a `File > Open`, buscas el `.ovf` en tu disco SSD e importas.

Al importar la máquina desde el disco duro de tu PC en lugar de hacerlo directamente desde el pendrive:

* La importación se realiza a **máxima velocidad** (aprovechando la rapidez del SSD).

* Te aseguras de que el pendrive queda intacto como tu **copia de seguridad de rescate** (backup en frío).

¡Proceso impecable! Listo para copiar y dar el siguiente paso.

Jose

Los backup estan ya en su carpeta. Entiendo que mientras no instalemos y configuremos el servidor de Windows, solo cambiaremos la IP en los servidores SOC para que a través de pfSense salgan a internet. 

Una vez instalado y configurado Windows server modificaremos tambien el DNS....¿Correcto?

Para tener visibilidad de ese pfSense me decías un Linux Mint o un Debian con navegado,r por supuesto...¿Tienes preferencias a la hora de las configuraciones? Date cuenta que El SOC esta montado en dos Ubuntu.

Gemini Web

¡Ver esas tres carpetas perfectamente respaldadas en la imagen da una paz mental impagable! Es el sello distintivo de un trabajo bien hecho.

Tu planteamiento sobre los cambios de IP y DNS es **100% correcto**. Al principio, los servidores del SOC usarán pfSense como Puerta de Enlace (`172.16.50.1`) y como DNS temporal (a través de su motor integrado Unbound). 

Cuando despleguemos el Windows Server, simplemente cambiaremos la línea del DNS para que apunte a la IP de Windows (`172.16.50.X`), manteniendo pfSense como salida a Internet. Una transición limpia y progresiva.
Recomendación para la VM Cliente de Gestión

Teniendo en cuenta que tu SOC corre sobre Ubuntu y que buscas eficiencia sin sobrecargar tu equipo físico, la mejor opción es **Linux Mint (Edición XFCE) o Ubuntu Desktop**:

*Linux Mint XFCE: Consume poquísimos recursos (apenas 1 GB de RAM), es ultra rápido y su interfaz gráfica es muy parecida a Windows, lo que hace que gestionar pfSense desde Firefox o Chrome sea comodísimo.

*Ubuntu Desktop: Si prefieres mantener la coherencia total con los servidores del SOC, una versión con interfaz gráfica te dará el mismo resultado impecable.

Puntos clave de configuración para la VM Cliente

*Tarjeta de Red: Conectada **exclusivamente** al grupo de red LAN del laboratorio (`VMnet` en el rango `172.16.50.0/24`).

* Direccionamiento: Configurada para obtener IP automática por DHCP (pfSense se la entregará al instante, por ejemplo la `172.16.50.100`) o asignarle una fija como `172.16.50.50`.

*Puerta de enlace y DNS: `172.16.50.1` (la IP interna de pfSense).

Snapshot

Jose

Voy a empezar a hacer los snapshots. Empiezo creando en VMware la subred 172.16.50.0/24, imagen superior. Para hacer los snapshots correctamente ¿Me lo das guiado?. No es que no sepa pero tu orden cronológico sera mas acertado que el mio.

Gemini Web

¡Buenos días, Jose! Excelente trabajo con ese Editor de Red Virtual. Tienes la interfaz **VMnet1** perfectamente configurada en `Sólo host` con el rango `172.16.50.0/24` y el DHCP de VMware deshabilitado. Eso deja el terreno impecable para que pfSense tome el control total del direccionamiento.

Aquí tienes la secuencia exacta y cronológica para tomar los snapshots sin riesgo a romper nada ni arrastrar estados inconsistentes en la memoria RAM:

Fase 1: Preparación del Entorno

Apaga por completo las tres máquinas virtuales (Servidor 1, Servidor 2 y Debian 13) desde el propio sistema operativo (`sudo poweroff`). No uses la opción de pausar o congelar (*Suspend*).

Fase 2: Creación de Snapshots en VMware

Servidor 1 (Wazuh / SOC):

1. Haz clic derecho sobre la VM  Wazu_Lovable → Snapshot (Instantanea) → Take Snapshot… (Tomar instantanea…) → Se inicia el proceso.

2. Nombre: `Pre-Migracion-pfSense`

3. Descripción: Estado funcional pre-red con notificaciones locales operativas (192.168.1.100).

Tomar Instantánea.

En los demás servidores hacemos lo mismo.

Servidor 2 ("Gotify" / Lovable_2):

1. Haz clic derecho sobre la VM → Snapshot → Take Snapshot…

2. Nombre: `Pre-Migracion-pfSense`

3. Descripción: Estado funcional pre-red con notificaciones locales operativas (192.168.1.101).*

Debian 13:

1. Haz clic derecho sobre la VM → Snapshot → Take Snapshot…

2. Nombre: `Pre-Migracion-pfSense`

3. Descripción: Base del sistema aislada previa al cambio de interfaz.

Fase 3: Reasignación de Interfaces de Red

Para cada una de las 3 VMs:

1. Ve a VM → Settings → Network Adapter.

2. Cambia la opción de Bridged (o NAT) a Custom: Specific virtual network.

3. Selecciona la interfaz VMnet1 (Sólo host) en desplegable.

4. Pulsa **OK**.

Con este orden garantizas tres niveles de seguridad: el backup `.ovf` en frío en tu pendrive, los snapshots locales por si acaso fallamos al reconfigurar Netplan, y la nueva subred aislada lista.

¿Confirmas cuando tengas los tres snapshots hechos para ponernos manos a la obra con la ISO de pfSense?

Jose

Los Snapshots listos y he cambiado la configuración de red en los tres servidores.

Gemini Web

En la captura se ve claramente que la interfaz de red ya está vinculada a Personalizado: VMnet1 (Solo host). Tus tres servidores están oficialmente aislados en el rango `172.16.50.0/24`.

Ahora toca desplegar el corazón del perímetro: **pfSense**.

Paso 1: Crear la VM de pfSense en VMware Workstation Pro

1. Haz clic en File > New Virtual Machine… (o `Ctrl + N`).

2. Elige Custom (advanced) y pulsa Next.

3. Mantén la compatibilidad por defecto y pulsa Next.

4. En la selección del instalador:

* Selecciona Installer disc image file (iso).

* Busca tu ISO: `netgate-installer-v1.2-RELEASE-amd64.iso` (o descomprime el `.gz` si aún no lo has hecho para obtener el archivo `.iso`).

5. En tipo de Sistema Operativo:

* Guest operating system:** `Other`.

* Version: `FreeBSD 13 x64` (o `FreeBSD 64-bit`).

6. Nombre de la VM: `pfSense-SOC-Gateway`.

7. Procesadores: 2 Cores.

8. Memoria RAM: 2048 MB (2 GB es el dulce punto ideal para un laboratorio fluido).

9. Red (Primer adaptador - WAN): Selecciona **Use bridged networking** (En puente).

10. Disco: SCSI o NVMe, asigna **20 GB** (suficiente para pfSense y sus paquetes).
Paso 2: Añadir la Segunda Tarjeta de Red (LAN) a la VM de pfSense**

Antes de encender la máquina recién creada:

1. Entra en **Edit virtual machine settings** de la VM `pfSense-SOC-Gateway`.

2. Haz clic en **Add...** (abajo a la izquierda).

3. Selecciona **Network Adapter** y pulsa **Finish**.

4. Ahora tendrás dos adaptadores en la lista:

* Adaptador de red 1 (WAN):** En puente (*Bridged*).

* Adaptador de red 2 (LAN):** Selecciona **Personalizado: VMnet1 (Solo host)**.

Paso 3: Encender e Instalar pfSense**

1. Enciende la máquina virtual.

2. Sigue el instalador en consola:

* Acepta los términos (`Accept`).

* Selecciona **Install pfSense, Auto (ZFS) o UFS (UFS es más ligero para laboratorios).

* Selecciona BIOS o UEFI según te sugiera por defecto.

* Finaliza la instalación y permite que la máquina se reinicie (`Reboot`).

Dime en cuanto veas la pantalla negra con el menú numerado de pfSense (del 0 al 16) para asignar las interfaces WAN/LAN y fijarle la IP `172.16.50.1`. ¡Estamos a un paso de tener el búnker montado! 

Jose

Esta ultima parte la iremos viendo poco a poco.

“Encender e Instalar pfSense” no es tan sencillo como me lo das tu.

Entre lo que yo se y lo que tu me digas haremos equipo y explicaremos ese proceso paso a paso.

Con errores. Porque el nuevo instalador de pfSense es un “pelin” mas complicado de lo que era antes.

Gemini Web
Reconocer que el nuevo instalador de pfSense (especialmente con el despliegue sobre ZFS y la selección de topología de discos) tiene sus curvas y que merece ser mostrado paso a paso, con sus matices y posibles errores, aporta un valor brutal al post. Evita la falsa sensación de "esto se instala en dos clics" y prepara al lector para un aprendizaje técnico real.

• Coherencia en la estructura: Cortar el post exactamente tras dejar el escenario "limpio" (copias de seguridad hechas, red aislada en 172.16.50.0/24 y snapshots tomados) deja el suspense (cliffhanger) ideal para arrancar el siguiente capítulo enfocado al 100% en la instalación del firewall.

Cierre de la Guía: Preparados para el Cortafuegos
Conclusión: La Arquitectura Lista para el Perímetro
Hemos completado la fase previa más crítica de cualquier proyecto de infraestructura: la mitigación de riesgos.
Con las máquinas virtuales exportadas a almacenamiento externo en frío, los snapshots de resguardo tomados y las tarjetas de red reasignadas a la subred privada 172.16.50.0/24, el laboratorio del SOC ha quedado completamente aislado del tráfico no controlado.
Sin embargo, un laboratorio aislado necesita un motor perimetral que gestione el enrutamiento hacia el exterior, inspeccione el tráfico y nos abra la puerta segura mediante VPN. Y pfSense no es un simple sistema operativo de escritorio; es la piedra angular sobre la que descansará la seguridad de nuestra PYME.
Por su complejidad e importancia estratégica, desplegar pfSense merece un capítulo monográfico dedicado en exclusiva. En la siguiente entrega abordaremos la Instalación y Configuración Básica de pfSense, el despliegue del cliente ligero de gestión y la asignación formal de las interfaces WAN y LAN. ¡El búnker está listo para recibir a su guardián!

Barakaldo 12 de septiembre de 2026