pfSense, OPNsense ou MikroTik: qual firewall para pequena empresa

Resposta curta, com versões de outubro de 2026: OPNsense ou pfSense quando a empresa quer um firewall com interface web completa, IDS/IPS e relatórios; MikroTik quando o centro do problema é roteamento, múltiplos links, VLANs e VPN entre unidades, com hardware barato. Os três são bons. O erro mais comum não é escolher o produto errado, e sim instalar qualquer um deles sem documentação, sem atualização e sem ninguém responsável.

Qual a diferença em uma frase para cada um #

pfSense e OPNsense são distribuições de firewall baseadas em FreeBSD, instaladas em um computador x86 dedicado, com interface web completa. O OPNsense nasceu como derivação do pfSense em 2015 e hoje segue caminho próprio. O MikroTik RouterOS é um sistema de roteador, vendido junto com o hardware da própria MikroTik.

Fontes: tabela de versões da Netgate, notas da série 26.7 do OPNsense, histórico de versões do RouterOS e changelogs da MikroTik, consultados em 27/10/2026.

Quanto custa a licença de cada um #

Em outubro de 2026, pfSense CE e OPNsense Community são gratuitos, inclusive para uso comercial. As edições pagas cobram assinatura anual por instalação. No MikroTik, a licença já vem no roteador e não expira. O custo real de qualquer um dos três está no hardware, na configuração inicial e em quem mantém o equipamento depois.

Fontes: assinaturas do pfSense Plus, OPNsense Business Edition na loja oficial e chaves de licença do RouterOS, consultadas em 27/10/2026. Valores em moeda estrangeira, sem impostos de importação.

Para uma empresa com um escritório, a diferença de licença entre os três é pequena perto do custo de horas de configuração e manutenção. Ela passa a pesar quando há várias filiais, cada uma com seu equipamento.

Comparação de recursos que importam para uma PME #

Os três fazem firewall de estados, NAT, VLANs, múltiplos links de internet e VPN. A diferença está em inspeção de tráfego (IDS/IPS), relatórios, filtro de DNS e facilidade de operar pela interface. Nesses pontos, pfSense e OPNsense entregam mais pela interface web; o MikroTik entrega mais em roteamento e em preço do hardware.

O calendário de versões pesa na prática. O OPNsense publica duas versões principais por ano (numeradas .1 e .7) e correções frequentes entre elas. O pfSense CE teve longos intervalos sem versão nova nos últimos anos, enquanto a Netgate concentra o ritmo no Plus. O RouterOS recebe versões com frequência, e a MikroTik mantém um canal long-term para quem prefere mudar menos.

Quando escolher cada um #

A escolha depende de três perguntas: a empresa precisa inspecionar tráfego (IDS/IPS e filtro de conteúdo)? Tem mais de uma unidade para ligar por VPN? Quem vai manter o equipamento conhece FreeBSD ou RouterOS? Com essas respostas, a decisão costuma ficar clara antes de olhar preço.

Uma combinação frequente em empresas com filiais: roteadores MikroTik nas unidades, com VPN site-to-site em WireGuard, e um OPNsense ou pfSense na matriz, onde ficam os servidores e onde vale a pena inspecionar o tráfego.

Hardware e dimensionamento #

pfSense e OPNsense rodam em qualquer computador x86 de 64 bits com duas ou mais placas de rede. O MikroTik roda no próprio hardware da marca, do modelo mais simples ao de data center. O que define o tamanho do equipamento é a velocidade do link, o uso de VPN e, principalmente, se o IDS/IPS vai ficar ligado.

Três cuidados de dimensionamento:

• IDS/IPS consome processador. Com Suricata ativo em links acima de 500 Mbit/s, um equipamento de entrada vira gargalo. Teste com o tráfego real antes de fechar o modelo.
• VPN também consome. WireGuard é mais leve que IPsec e OpenVPN, mas, em equipamentos pequenos, a vazão da VPN fica bem abaixo da vazão sem criptografia.
• Reserva para crescer. Dimensione para o link que a empresa terá em dois anos, não para o de hoje.

O que não muda com o produto escolhido #

Firewall nenhum compensa configuração ruim. Os incidentes mais comuns em pequenas empresas vêm de acesso remoto exposto (RDP aberto na internet), senhas fracas sem MFA, sistemas desatualizados e backup que nunca foi testado. Esses pontos valem para os três produtos e devem estar resolvidos antes de discutir IDS ou marca.

Lista mínima, para qualquer um dos três:

1. Nenhuma porta de administração aberta para a internet. Nem a do firewall, nem RDP, nem SSH. Acesso remoto só por VPN.
2. Senha de administrador trocada e guardada em cofre de senhas da empresa, com MFA no que suportar.
3. Atualização em dia, com janela definida e cópia da configuração antes de cada atualização.
4. Rede separada para convidados, câmeras e equipamentos de terceiros (VLANs).
5. Backup da configuração do firewall fora do próprio equipamento, a cada mudança.
6. Documentação: diagrama de rede, regras com descrição e motivo, e credenciais em nome da empresa.
7. Logs enviados para fora do equipamento, para que um incidente possa ser investigado mesmo se o firewall for reiniciado.

A configuração do firewall é só uma parte da continuidade. Ela precisa de backup em local separado, como explicamos no artigo sobre backup 3-2-1-1-0 para PMEs.

Quando contratar #

Contrate quando ninguém na empresa vai manter o firewall depois da instalação, quando há filiais, servidores expostos ou mais de um link, ou quando a troca precisa acontecer sem parar o expediente. O valor de um projeto está no levantamento, na documentação e no plano de volta atrás, mais do que na instalação em si.

O que um projeto de firewall da SDI entrega:

Projetos de redes e segurança da SDI partem de R$ 2.500 (valor de referência de outubro de 2026; o valor final consta na proposta, após o levantamento). O escopo, incluindo o que não fazemos, está na página de redes e segurança. Se você ainda não sabe o que existe hoje na sua rede, comece pelo diagnóstico de TI: em 5 dias úteis, ele entrega inventário, diagrama de rede e riscos priorizados.

• pfsense
• opnsense
• mikrotik
• routeros
• firewall
• ids
• vpn
• redes