OPNsense com ZFS: como corrigir filesystem readonly e conseguir resetar a senha root

Administradores de firewall que utilizam OPNsense com ZFS podem se deparar com um problema frustrante:
👉 o reset de senha aparentemente funciona, mas após o reboot a senha antiga continua válida.

Isso acontece porque, em muitos casos, o ZFS está montado como somente leitura (readonly), impedindo que qualquer alteração — inclusive senha — seja salva no disco.

Neste artigo, você vai aprender como identificar esse cenário e corrigir corretamente, garantindo que o reset de senha funcione de forma definitiva.

❓ Quando esse problema acontece?

Esse comportamento é comum quando:

O OPNsense foi instalado usando ZFS
O sistema entrou em Single User Mode
O filesystem foi montado automaticamente como read-only
O comando de reset de senha executa sem erro, mas não persiste

⚠️ Importante: não é bug do OPNsense — é uma proteção padrão do ZFS.

🧠 Por que o ZFS bloqueia gravação?

O ZFS protege o pool contra inconsistências durante boot, falhas ou recuperação.
Quando o sistema entra em modo de recuperação, o dataset raiz pode ficar com:

readonly=on

Nesse estado:

Senhas
Arquivos
Configurações

👉 não são salvos no disco, mesmo sem erro aparente.

🛠️ Solução correta: forçar ZFS em modo gravável

Siga exatamente os passos abaixo.

🔹 Passo 1: Entre em Single User Mode

Reinicie o OPNsense
No menu de boot, escolha: Boot Single User

🔹 Passo 2: Execute os comandos ZFS corretos

No prompt, execute:

mount -u /
zfs mount -a
zfs set readonly=off zroot

Esses comandos fazem o seguinte:

mount -u / → atualiza a montagem do sistema
zfs mount -a → monta todos os datasets ZFS
zfs set readonly=off zroot → desativa o modo somente leitura

🔍 Passo 3: Confirme se o ZFS está gravável

Execute:

zfs get readonly zroot

✅ Resultado esperado:

readonly  off

Se o retorno for:

readonly  on

⚠️ O sistema não salvará a senha, e o reset continuará falhando.

🔑 Passo 4: Agora sim, redefina a senha

Com o filesystem corretamente montado como gravável, execute:

opnsense-shell password

Ou, alternativamente:

passwd root

Finalize com:

sync
reboot

Após o reboot, a nova senha estará ativa tanto no console quanto no WebGUI.

🧪 Dica extra de troubleshooting

Se mesmo após isso a senha não persistir:

Verifique se o pool correto é zroot (alguns appliances usam outro nome)
Execute: zfs list
Confirme se não há snapshots forçando readonly
Em último caso, utilize o ISO do OPNsense → Recover Configuration → Reset Local Passwords

✅ Conclusão

Quando o OPNsense utiliza ZFS, montar o filesystem como read-write é obrigatório para qualquer alteração persistente.

Se você já tentou resetar a senha e não funcionou, 99% das vezes o problema é o readonly=on no ZFS.

Salvar esse procedimento pode economizar horas de troubleshooting — ou até uma reinstalação desnecessária.

+ LIDOS