Guia router OPNsense para mantener el telefono fijo de Digi

Por si a alguien le ayuda, he preparado una mini guía para configurar el telefono fijo de Digi con un router neutro OPNsense.

Primero, quería dar las gracias al compañero @navajita por su guía en VyOS que me sirvió de base para replicarlo en OPNsense (Bridge entre dos VLAN 11 y conectar el router de Digi).

La idea entonces, para tener telefono fijo Digi con un router neutro que administre nuestra red, es crear un bridge transparente para el tráfico VoIP, sin DHCP, y conectar el router Digi en esa interfaz dedicada (y hacer creer al router Digi que está conectado directamente a la ONT).

Equipo

Router Digi: Zte H298Q + ONT Nokia.

Tengo Fibra Smart 600 Mb + Teléfono fijo. Sin modo administrador, no es posible poner en modo bridge el router de Digi (solo permite DMZ). Y aunque lo fuera, no sé si seguiría funcionando el telefono fijo (al que no puedo renunciar). En modo DMZ es tener doble NAT y quiero poder tener mi propio router neutro. Como en otros mensajes/guias que hay, es sencillo, una vez Digi te envía los datos (usuario y contraseña) PPPoE, configurar tu propio router y no usar el de compañía. Pero para que funcione el telefono, no.

Router neutro: OPNsense en Proxmox sobre un minipc Intel N100 con 4 puertos ethernet (8GB RAM y 256GB de disco).

Objetivo

Configurar un bridge transparente en OPNsense para que el tráfico VoIP (VLAN 11) pase directamente desde la ONT hasta el router Digi, mientras que el tráfico de Internet (VLAN 20) sea gestionado por OPNsense.

Configuración de partida

Si alguien lo pide, puedo hacer/añadir los pasos previos (configuración de proxmox, OPNsense y configuración de la WAN con PPPoE).

• OPNsense instalado y funcionando
• WAN configurada con PPPoE y VLAN 20 para Internet
• Puerto ethernet libre para conectar el router Digi (yo uso el 4º de 4 = vtnet3/eth3) (Hay: vtnet0,1,2,3)

Pasos

(Iré incorporando más capturas de pantalla).

1. Crear VLANs

En Interfaces → Other Types → VLAN → Add:

Primera VLAN:

Parent Interface: WAN
VLAN Tag: 11
Description: VOIP_WAN_VLAN

Segunda VLAN:

Parent Interface: voipdigi (vtnet3/eth3)
VLAN Tag: 11
Description: VOIP_LAN_VLAN

2. Asignar VLANs como Interfaces (crear Interfaces)

En Interfaces → Assignments → + (New Interface):

Para VOIP_WAN_VLAN:

Device: Seleccionar VOIP_WAN_VLAN
Enable: Check
Description: VOIP_WAN_INTERFACE

No configurar IP.

Para VOIP_LAN_VLAN:

Device: Seleccionar VOIP_LAN_VLAN
Enable: Check
Description: VOIP_LAN_INTERFACE

No configurar IP.

3. Crear Bridge

En Interfaces → Other Types → Bridge → Add:

Description: VOIP_BRIDGE
Member interfaces: seleccionar VOIP_WAN_INTERFACE y VOIP_LAN_INTERFACE
Enable link-local address: No marcar

Resto de opciones por defecto

4. Asignar Bridge (crear Interface)

En Interfaces → Assignments → + (New Interface):

Device: Seleccionar el bridge creado
Enable: Check
Description: VOIP_BRIDGE

No configurar IP

5. Configurar Tunables del Sistema

En System → Settings → Tunables:

Verificar/Modificar:

• net.link.bridge.pfil_member = 0 (Si existe, modificar; si no, crear)
• net.link.bridge.pfil_bridge = 0 (Si existe, verificar; si no, crear)

6. Configurar Firewall, crear reglas

En Firewall → Rules:

Para VOIP_WAN_INTERFACE:

Action: Pass
Quick: Checked
Interface: VOIP_WAN_INTERFACE
Direction: in
TCP/IP Version: IPv4
Protocol: any
Source: any
Destination: any
Description: "Allow VoIP WAN traffic in"

Añado, que modifiqué las reglas y añadí encima de la anterior (la prioridad de reglas en OPNsense va de arriba a abajo), entonces una primera que bloquea el acceso a mis otras redes internas (aunque no creo que sea necesario, lo he preferido).

Repetir las mismas reglas (in) para:

• VOIP_LAN_INTERFACE
• VOIP_BRIDGE

idem con la de bloqueo.

En la interfaz original VOIPDIGI tambíen tengo la de bloqueo, aunque al no tener otra regla de pass, no haría falta.

En Firewall → Rules → Floating:

Action: Pass
Quick: Checked
Interface: VOIP_BRIDGE
Direction: in
TCP/IP Version: IPv4
Protocol: any
Source: any
Destination: any
Description: "Allow VoIP Bridge floating"

7. Conexión

1. Conectar el router Digi al puerto configurado como voipdigi (en mi caso vtnet3/eth3)
2. Reiniciar/encender el router Digi
3. El teléfono VoIP debería registrarse automáticamente

Iré añadiendo mas capturas/info.