Instalación de Debian 13 bien hecha: UEFI, Wi‑Fi, firmware no libre, sin dramas

Los principios innegociables

1) Decide desde el principio: UEFI + GPT, o no te molestes. En sistemas modernos, UEFI es la realidad por defecto. Tratarlo como opcional es como acabar con una máquina que arranca “solo cuando la luna está en su sitio” tras la siguiente actualización de firmware.

2) Trata el firmware como una dependencia, no como un debate moral. Si tu Wi‑Fi o GPU necesita blobs de firmware, no es una falla de carácter. Es una entrada para tu construcción. Trátalo explícitamente y dejarás de perder horas por dispositivos que aparecen misteriosamente ausentes.

3) Haz la instalación reproducible. “Hice clic en lo que sugirió el instalador” no es un runbook. Quieres un esquema de particiones que puedas explicar, una selección de paquetes que puedas auditar y pasos post-instalación que puedas volver a ejecutar.

4) No optimices durante la instalación. Estás tendiendo vías, no compitiendo. Usa valores por defecto fáciles de depurar y luego ajusta con medidas.

5) Cada elección debe reducir tu tiempo de inactividad futuro. La fiabilidad del arranque, la fiabilidad del Wi‑Fi y las actualizaciones limpias son los KPI reales. Las cosméticas pueden esperar.

Broma #1: Secure Boot es como un portero: genial cuando conoce la lista de invitados, incómodo cuando no te reconoce.

Algunos hechos interesantes (historia que aún hace daño)

• UEFI reemplazó al BIOS como firmware de arranque dominante en la última década, pero muchas placas aún se envían con opciones “CSM/Legacy” que confunden las instalaciones al mezclar modos.
• GPT (GUID Partition Table) es parte de la pila de almacenamiento en la era UEFI; evita los límites del MBR antiguo y hace que las configuraciones con varios discos sean menos propensas a errores.
• Secure Boot se introdujo para reducir malware en el arranque forzando comprobaciones de firma; también hizo que “arrancar algo personalizado” sea un acto más deliberado.
• Los controladores Wi‑Fi en Linux a menudo requieren archivos de firmware por separado; el módulo del kernel puede estar presente mientras la radio sigue inservible sin el payload de firmware.
• Debian históricamente separó “free” y “non-free” componentes; esa política modeló la disponibilidad de medios de instalación y por qué algunas personas tuvieron “sin Wi‑Fi” por defecto durante años.
• systemd-journal cambió cómo se diagnostican los problemas de arranque: ahora tienes logs estructurados temprano en el arranque, no solo lo que alcanzaste a ver en la pantalla.
• NVMe se volvió el almacenamiento por defecto en portátiles y es suficientemente rápido como para que elecciones descuidadas de sistema de archivos y swap aparezcan como problemas de energía/latencia en lugar de cuellos de botella de throughput.
• Initramfs existe para cargar módulos temprano; el firmware ausente con frecuencia aparece aquí como “dispositivo no encontrado” aunque el controlador técnicamente se instale más tarde.

Comprobaciones previas antes de arrancar el instalador

Conoce sobre qué estás instalando

Antes de tocar Debian, confirma el modo de la plataforma y el diseño de almacenamiento. Si estás en un portátil, también quieres saber si el Wi‑Fi es Intel (habitualmente sin problemas) o Realtek/Broadcom (a menudo dependiente de firmware y a veces caprichoso).

Decisiones que tomar ahora:

• Modo UEFI solamente (recomendado) vs legacy/CSM (evitar salvo que tengas un requisito firme).
• Mantener Secure Boot activado y registrar claves vs desactivar Secure Boot (ambas válidas; elige deliberadamente).
• Instalar con Ethernet o tethering de teléfono vs confiar en Wi‑Fi durante el instalador.
• Cifrado de disco (LUKS) o no; si sí, decide si también cifrar swap y cómo manejarás la recuperación remota.

Qué evitar como si fuera un incidente de producción

• Mezclar arranque legacy y UEFI entre instalaciones de sistemas operativos. El arranque dual está bien; el arranque dual en dos modos es caos.
• Particionado aleatorio que crea múltiples ESP “por si acaso.” Un ESP por máquina suele ser suficiente a menos que tengas un diseño multi-disco muy específico.
• Asumir que el Wi‑Fi “simplemente funcionará”. Planifica firmware. Planifica sin red. Planifica tener que añadir paquetes después del primer arranque.

Firmware no libre: qué es, por qué lo necesitas y cómo hacerlo limpio

El firmware no es un controlador. Es el blob que el dispositivo necesita para despertarse y comportarse. El módulo del kernel puede estar presente y cargado, y aun así el dispositivo está muerto porque no puede encontrar el archivo de firmware correcto. Por eso ves mensajes como “failed to load iwlwifi-*.ucode” y luego una radio silenciosa.

En Debian, la realidad práctica es esta: mucho hardware moderno necesita firmware que no está en el subconjunto estrictamente “software libre”. El empaquetado de Debian ha evolucionado, y las instalaciones en la era Debian 13 son mucho menos dramáticas que antes—pero aún debes asegurarte de que tu entorno del instalador pueda acceder a los paquetes de firmware cuando importe.

El enfoque sensato

• Usa medios de instalación que incluyan soporte de firmware cuando instales en hardware sin Ethernet.
• Después de instalar, habilita explícitamente los componentes APT correctos para que las actualizaciones no reviertan la habilitación de hardware.
• Instala solo el firmware que necesitas a menos que estés construyendo una imagen de propósito general para múltiples modelos de dispositivo.

Los dos modos de fallo más comunes

• El instalador no ve Wi‑Fi: el controlador se carga, falta el firmware; o el dispositivo necesita un firmware más reciente que el disponible en el medio.
• Tras una actualización, el Wi‑Fi muere: instalaste firmware desde un .deb local una vez, pero no configuraste APT para seguir recibiendo actualizaciones de firmware.

UEFI/GPT bien hecho (y cómo no dejar inservible el arranque)

UEFI en un párrafo

En modo UEFI, el firmware del sistema lee entradas de arranque desde la NVRAM y carga un binario EFI desde la EFI System Partition (ESP), normalmente montada en /boot/efi. GRUB (o systemd-boot) vive ahí, y apunta a tu kernel/initramfs en tu sistema de archivos Linux. Si tu ESP falta, no está montada o está formateada incorrectamente, “instalarás con éxito” y luego reiniciarás hacia la nada.

Secure Boot: elige una vía

Tienes dos opciones operacionalmente válidas:

• Desactivar Secure Boot en la configuración del firmware. Simple. Menos piezas móviles. Un poco menos de garantías en la cadena de arranque.
• Mantener Secure Boot activado y asegurarte de que la ruta del bootloader/kernel esté firmada apropiadamente. Más seguro. Más complejidad cuando añades módulos fuera del árbol (piensa en peculiaridades de Wi‑Fi, controladores NVIDIA, ZFS DKMS).

Si es un portátil que viajas con frecuencia, tiendo a mantener Secure Boot activado solo si estás dispuesto a tratar la firma como parte del ciclo de vida del sistema. Si estás construyendo una estación de trabajo de desarrollo y cargas rutinariamente módulos kernel de terceros, desactiva Secure Boot y sigue con tu vida.

Tamaño y ubicación del ESP

Haz el ESP de 512 MiB (o 1 GiB si haces dual-boot y mantienes múltiples kernels). FAT32. Marca el tipo de partición correcto. Móntalo en /boot/efi. Mantenlo aburrido. Los arranques aburridos funcionan.

Wi‑Fi durante la instalación: las opciones realistas

El instalador de Debian es bueno, pero no puede conjurar firmware de la nada. Esto es lo que realmente funciona en el campo:

1. Ethernet. El estándar dorado. Si puedes conectar por 20 minutos, hazlo.
2. Tethering de teléfono por USB. Sorprendentemente fiable. La mayoría de dispositivos Android presentan una interfaz Ethernet-over-USB que Debian puede usar sin firmware de Wi‑Fi.
3. Medios de instalación con firmware. Bueno para portátiles sin Ethernet y para sitios donde “internet durante la instalación” no está permitido.
4. Llevar firmware en un segundo USB. Funciona cuando el instalador solicita firmware; tú proporcionas los archivos. Menos conveniente, pero a veces la única opción en entornos restringidos.

Broma #2: El firmware de Wi‑Fi es el único problema de “descargar para obtener internet” que sigue apareciendo en formas nuevas y emocionantes.

Mi consejo: no juegues a la suerte con Wi‑Fi durante la instalación si puedes evitarlo. Usa Ethernet o tethering, termina la instalación base y luego fortalece y ajusta el Wi‑Fi una vez que estés arrancado con tu kernel real y tus logs reales.

Particionado: aburrido, correcto y rápido de recuperar

Un esquema de particiones que no te sorprenderá después

Para un típico portátil/estación de trabajo de disco único con UEFI y Debian 13:

• ESP: 512 MiB, FAT32, montado en /boot/efi.
• / (root): ext4, dimensionado para OS + aplicaciones (30–80 GiB suele ser suficiente; más si haces contenedores o herramientas pesadas).
• swap: opcional; si quieres hibernación, ponle el tamaño adecuado. Si no, un swap pequeño (o ninguno) puede estar bien según la RAM y la carga de trabajo.
• /home: partición separada opcional; útil si reinstalas a menudo, menos útil si tienes buenas copias de seguridad y no repites hábitos antiguos por costumbre.

Cifrado

Si la máquina sale de tu mesa, usa cifrado de disco completo. LUKS con un volumen raíz cifrado es la base para “puedo dormir tranquilo”. Si activas Secure Boot y cifrado de disco, recuerda que estás apilando complejidad: manejable, pero solo si documentas los pasos de recuperación.

Elección del sistema de archivos

ext4 sigue siendo la opción operativamente tranquila. Sí, btrfs y ZFS tienen características; también tienen perfiles operacionales. Si no estás preparado para monitorizar el estado de scrubs, manejar políticas de snapshots y razonar sobre módulos initramfs en el arranque, elige ext4. Tu yo futuro será menos creativo durante las incidencias.

Tareas prácticas (comandos, salidas, decisiones)

Estas son tareas “haz la cosa, lee la salida, decide”. Ejecútalas durante la instalación (cuando sea posible desde un shell) o inmediatamente después del primer arranque.

Task 1: Confirmar que arrancaste el instalador en modo UEFI

cr0x@server:~$ ls /sys/firmware/efi
config_table  efivars  fw_platform_size  runtime  runtime-map  systab  vars

Qué significa: Si /sys/firmware/efi existe, estás en modo UEFI.

Decisión: Si falta, reinicia y selecciona la entrada UEFI para tu USB en el menú de firmware. No sigas en modo legacy salvo que tengas una razón específica.

Task 2: Comprobar el estado de Secure Boot

cr0x@server:~$ mokutil --sb-state
SecureBoot enabled

Qué significa: Secure Boot está activado. Si muestra disabled, estás libre de la imposición de firmas.

Decisión: Si planeas usar módulos DKMS (NVIDIA, ZFS, Wi‑Fi especiales), o bien configura la firma o desactiva Secure Boot ahora para evitar sorpresas nocturnas.

Task 3: Identificar el disco y confirmar GPT

cr0x@server:~$ lsblk -o NAME,SIZE,TYPE,MODEL
NAME         SIZE TYPE MODEL
nvme0n1    953.9G disk Samsung SSD 990
nvme0n1p1   512M part 
nvme0n1p2    80G part 
nvme0n1p3   873G part

Qué significa: Tienes un disco NVMe con tres particiones; probablemente ESP, root y home/datos.

Decisión: Si ves discos inesperados (pendrive, disco SATA viejo), para y revisa. Instalar en el disco equivocado es el error clásico evitable.

Task 4: Verificar que el ESP es correcto (FAT32, montado)

cr0x@server:~$ findmnt /boot/efi
TARGET    SOURCE     FSTYPE OPTIONS
/boot/efi /dev/nvme0n1p1 vfat   rw,relatime,fmask=0022,dmask=0022,codepage=437,iocharset=ascii,shortname=mixed,utf8,errors=remount-ro

Qué significa: El ESP está montado y es VFAT. Bien.

Decisión: Si findmnt no muestra nada, móntalo y arregla /etc/fstab antes de investigar problemas del bootloader.

Task 5: Confirmar que el sistema creó entradas UEFI

cr0x@server:~$ sudo efibootmgr -v
BootCurrent: 0003
Timeout: 1 seconds
BootOrder: 0003,0001,0002
Boot0001* UEFI OS	HD(1,GPT,0f2a1c2f-7b0d-4d53-9a1e-6e2c4c7c2b11,0x800,0x100000)/File(\EFI\BOOT\BOOTX64.EFI)
Boot0002* debian	HD(1,GPT,0f2a1c2f-7b0d-4d53-9a1e-6e2c4c7c2b11,0x800,0x100000)/File(\EFI\debian\grubx64.efi)
Boot0003* debian (fallback)	HD(1,GPT,0f2a1c2f-7b0d-4d53-9a1e-6e2c4c7c2b11,0x800,0x100000)/File(\EFI\BOOT\BOOTX64.EFI)

Qué significa: La NVRAM tiene entradas. No dependes de “lo que el firmware adivine”.

Decisión: Si efibootmgr no muestra nada relacionado con Debian, probablemente instalaste en modo legacy o tu ESP no estuvo montado durante la instalación de GRUB.

Task 6: Encontrar tu dispositivo Wi‑Fi y el emparejamiento del controlador

cr0x@server:~$ lspci -nnk | sed -n '/Network controller/,+4p'
03:00.0 Network controller [0280]: Intel Corporation Wi-Fi 6E(802.11ax) [8086:51f0]
	Subsystem: Intel Corporation Device [8086:0094]
	Kernel driver in use: iwlwifi
	Kernel modules: iwlwifi

Qué significa: El controlador está vinculado (iwlwifi), lo cual es un buen comienzo.

Decisión: Si “Kernel driver in use” está vacío, puede que necesites un kernel más reciente, un módulo faltante o una configuración de BIOS (raro). Si el controlador está presente pero el Wi‑Fi sigue sin funcionar, sospecha del firmware.

Task 7: Ver fallos de carga de firmware en el log del kernel

cr0x@server:~$ dmesg -T | grep -iE 'firmware|iwlwifi|rtl|brcm' | tail -n 8
[Mon Feb  5 10:11:07 2026] iwlwifi 0000:03:00.0: loaded firmware version 77.2df8986f.0 ty-a0-gf-a0-77.ucode op_mode iwlmvm
[Mon Feb  5 10:11:07 2026] iwlwifi 0000:03:00.0: Detected Intel(R) Wi-Fi 6E AX211 160MHz
[Mon Feb  5 10:11:07 2026] iwlwifi 0000:03:00.0: base HW address: 70:1a:xx:xx:xx:xx

Qué significa: El firmware se cargó con éxito. Si ves “failed to load firmware”, ese es tu cigarrillo humeante.

Decisión: La carga de firmware exitosa significa que debes pivotar a RF-kill, configuración de NetworkManager o problemas de dominio regulatorio—no a paquetes de firmware.

Task 8: Comprobar RF-kill (sí, todavía pasa)

cr0x@server:~$ rfkill list
0: phy0: Wireless LAN
	Soft blocked: no
	Hard blocked: no

Qué significa: El Wi‑Fi no está bloqueado por software ni por interruptor de hardware.

Decisión: Si hard blocked es “yes”, busca una combinación de teclas del portátil o un ajuste en el BIOS. Si soft blocked es “yes”, rfkill unblock all es tu siguiente paso.

Task 9: Validar que APT incluye componentes de firmware

cr0x@server:~$ grep -R "^[[:space:]]*deb " /etc/apt/sources.list /etc/apt/sources.list.d/*.list 2>/dev/null
/etc/apt/sources.list:deb http://deb.debian.org/debian trixie main contrib non-free non-free-firmware
/etc/apt/sources.list:deb http://deb.debian.org/debian-security trixie-security main contrib non-free non-free-firmware
/etc/apt/sources.list:deb http://deb.debian.org/debian trixie-updates main contrib non-free non-free-firmware

Qué significa: Recibirás actualizaciones de firmware vía las actualizaciones normales.

Decisión: Si falta non-free-firmware, añádelo y ejecuta apt update antes de perseguir problemas fantasma de controladores.

Task 10: Instalar el paquete de firmware que realmente necesitas

cr0x@server:~$ sudo apt update
Hit:1 http://deb.debian.org/debian trixie InRelease
Hit:2 http://deb.debian.org/debian-security trixie-security InRelease
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
All packages are up to date.

cr0x@server:~$ sudo apt install -y firmware-iwlwifi
Reading package lists... Done
Building dependency tree... Done
Reading state information... Done
The following NEW packages will be installed:
  firmware-iwlwifi
0 upgraded, 1 newly installed, 0 to remove and 0 not upgraded.
Need to get 7,248 kB of archives.
After this operation, 26.1 MB of additional disk space will be used.
Fetched 7,248 kB in 1s (7,102 kB/s)
Selecting previously unselected package firmware-iwlwifi.
(Reading database ... 214532 files and directories currently installed.)
Preparing to unpack .../firmware-iwlwifi_20250115-1_all.deb ...
Unpacking firmware-iwlwifi (20250115-1) ...
Setting up firmware-iwlwifi (20250115-1) ...
update-initramfs: Generating /boot/initrd.img-6.12.0-1-amd64

Qué significa: Firmware instalado y initramfs actualizado, lo cual importa para la inicialización temprana del dispositivo.

Decisión: Reinicia si el Wi‑Fi no apareció inmediatamente. Si sigue faltando, vuelve a dmesg y confirma que el nombre del archivo de firmware coincida con lo instalado.

Task 11: Confirmar que NetworkManager ve Wi‑Fi y puede escanear

cr0x@server:~$ nmcli dev status
DEVICE  TYPE      STATE      CONNECTION
wlan0   wifi      disconnected --
lo      loopback  unmanaged  --
enp0s31f6 ethernet unavailable --

cr0x@server:~$ nmcli dev wifi list | head
IN-USE  BSSID              SSID          MODE   CHAN  RATE        SIGNAL  BARS  SECURITY
        50:aa:bb:cc:dd:ee  corp-guest    Infra  36    540 Mbit/s  72      ▂▄▆_  WPA2
        d4:11:22:33:44:55  corp-secure   Infra  11    195 Mbit/s  60      ▂▄▆_  WPA2 802.1X

Qué significa: La radio está funcionando y escaneando.

Decisión: Si los escaneos no devuelven nada, estás ante RF-kill, dominio regulatorio o un emparejamiento roto de driver/firmware.

Task 12: Comprobar DNS vs enrutamiento (la dicotomía “tengo Wi‑Fi pero no internet”)

cr0x@server:~$ ip route
default via 192.168.1.1 dev wlan0 proto dhcp metric 600
192.168.1.0/24 dev wlan0 proto kernel scope link src 192.168.1.50 metric 600

cr0x@server:~$ resolvectl status | sed -n '1,18p'
Global
         Protocols: -LLMNR -mDNS -DNSOverTLS DNSSEC=no/unsupported
  resolv.conf mode: stub
Current DNS Server: 192.168.1.1
       DNS Servers: 192.168.1.1

Qué significa: Tienes una ruta por defecto y un servidor DNS. Eso es lo mínimo para conectividad.

Decisión: Si el enrutamiento existe pero DNS está vacío o incorrecto, arregla DNS. Si DNS existe pero no hay ruta por defecto, arregla DHCP o la configuración estática.

Task 13: Comprobar errores de arranque rápidamente con journalctl

cr0x@server:~$ journalctl -b -p err..alert --no-pager | tail -n 12
Feb 05 10:11:10 server kernel: iwlwifi 0000:03:00.0: Failed to load firmware chunk!
Feb 05 10:11:10 server kernel: iwlwifi 0000:03:00.0: firmware: failed to load iwlwifi-ty-a0-gf-a0-77.ucode (-2)
Feb 05 10:11:10 server kernel: iwlwifi 0000:03:00.0: Direct firmware load for iwlwifi-ty-a0-gf-a0-77.ucode failed with error -2

Qué significa: El error -2 es “archivo no encontrado”. Es un problema de paquete/configuración, no “el Wi‑Fi está maldito”.

Decisión: Instala el paquete de firmware coincidente y asegúrate de que APT tenga non-free-firmware habilitado; reconstruye initramfs si hace falta.

Task 14: Verificar que GRUB está instalado para UEFI

cr0x@server:~$ dpkg -l | grep -E '^ii\s+grub-efi-amd64'
ii  grub-efi-amd64  2.12-3  amd64  GRand Unified Bootloader, version 2 (EFI-AMD64 version)

Qué significa: El paquete correcto de GRUB para UEFI está instalado.

Decisión: Si solo ves grub-pc, estás en territorio legacy. Decide si reinstalar correctamente en modo UEFI en lugar de intentar parchear el arranque.

Task 15: Verificar que fstab no sabotee el arranque

cr0x@server:~$ sudo findmnt --verify
Success, no errors or warnings detected

Qué significa: Tus montajes son consistentes; no hay UUIDs faltantes que te dejen en modo de emergencia.

Decisión: Si la verificación falla, corrige /etc/fstab ahora. Un fstab roto es una caída en diferido.

Task 16: Confirmar que initramfs contiene los módulos necesarios (al depurar arranque temprano)

cr0x@server:~$ lsinitramfs /boot/initrd.img-$(uname -r) | grep -E 'iwlwifi|firmware|nvme' | head
usr/lib/firmware
usr/lib/firmware/iwlwifi-ty-a0-gf-a0-77.ucode
usr/lib/modules/6.12.0-1-amd64/kernel/drivers/net/wireless/intel/iwlwifi/iwlwifi.ko

Qué significa: El firmware y el módulo están dentro del initramfs; el arranque temprano debería poder activar el dispositivo.

Decisión: Si faltan, ejecuta update-initramfs -u después de instalar el firmware; luego reinicia.

Playbook de diagnóstico rápido

Este es el flujo de trabajo de “tienes 10 minutos antes de la reunión”. Está ordenado para encontrar el cuello de botella rápido, no para ser filosóficamente completo.

1) Modo de arranque y cadena de arranque (los problemas UEFI se hacen pasar por “Debian está roto”)

1. Comprobar modo UEFI: ls /sys/firmware/efi
2. Comprobar montaje del ESP: findmnt /boot/efi
3. Comprobar entradas NVRAM: efibootmgr -v
4. Comprobar qué falló al arrancar: journalctl -b -p err..alert

Cuello de botella probable: ESP no montado durante la instalación de GRUB, modo de arranque incorrecto o ajustes de firmware reiniciados.

2) “Sin Wi‑Fi” suele ser firmware, estado de bloqueo o componentes APT incorrectos

1. Identificar dispositivo/controlador: lspci -nnk | sed -n '/Network controller/,+4p' (o lsusb para dongles USB)
2. Comprobar RF-kill: rfkill list
3. Comprobar logs de firmware: dmesg -T | grep -i firmware
4. Confirmar que APT tiene non-free-firmware: grep fuentes, luego apt update

Cuello de botella probable: paquete de firmware faltante, instalador que usó repositorio offline solo, o interruptor de hardware activado.

3) “Wi‑Fi se conecta pero internet está muerto” es DNS o enrutamiento

1. Ruta: ip route
2. DNS: resolvectl status
3. Ping al gateway: ping -c 2 192.168.1.1
4. Ping a IP: ping -c 2 1.1.1.1 (prueba el enrutamiento)
5. Ping a nombre: ping -c 2 debian.org (prueba DNS)

Cuello de botella probable: portal cautivo, DNS roto o red corporativa que requiere 802.1X.

4) Arranque lento o cuelgues: encuentra la unidad que está esperando

1. systemd-analyze time
2. systemd-analyze blame | head
3. systemd-analyze critical-chain

Cuello de botella probable: esperas de network-online, montajes faltantes en fstab o un dispositivo que agota el tiempo.

Cita (idea parafraseada): “La esperanza no es estrategia”, atribuida comúnmente en la cultura de operaciones; tómala como recordatorio para instrumentar y verificar.

Errores comunes: síntomas → causa raíz → solución

1) Síntoma: El instalador termina, al reiniciar vas directo al menú del firmware

Causa raíz: Instalado en modo legacy o el ESP no estuvo montado, por lo que no se instaló correctamente una entrada/ binario EFI.

Solución: Reinicia el instalador en modo UEFI; asegúrate de que el ESP exista y esté montado en /boot/efi antes de instalar GRUB. Valida con efibootmgr -v.

2) Síntoma: “No se encuentra adaptador Wi‑Fi” en GNOME/KDE

Causa raíz: Firmware faltante; el controlador se carga pero el dispositivo no puede inicializarse. Alternativamente, el dispositivo está bloqueado por hardware.

Solución: Comprueba rfkill list y dmesg en busca de errores de firmware. Habilita non-free-firmware en APT e instala el paquete de firmware correspondiente (por ejemplo, firmware-iwlwifi).

3) Síntoma: El Wi‑Fi funciona hasta que una actualización de kernel lo borra

Causa raíz: El firmware se instaló una vez desde medios extraíbles o archivos locales; las fuentes APT no incluyen non-free-firmware, por lo que las actualizaciones no cubren las necesidades del kernel/controlador.

Solución: Corrige /etc/apt/sources.list para incluir non-free-firmware, luego apt update y reinstala el paquete de firmware; reconstruye initramfs.

4) Síntoma: El arranque cae en modo de emergencia tras la instalación

Causa raíz: Entrada mala en /etc/fstab: UUID equivocado, partición faltante o un montaje que no puede realizarse (común con discos externos).

Solución: Usa findmnt --verify y blkid para corregir UUIDs. Añade nofail,x-systemd.device-timeout= para montajes no críticos.

5) Síntoma: Secure Boot activado; módulo DKMS no carga

Causa raíz: El módulo no está firmado; Secure Boot lo bloquea.

Solución: O bien desactiva Secure Boot, o bien registra una Machine Owner Key y firma los módulos de forma consistente. No lo configures a medias—medio es peor que nada.

6) Síntoma: El Wi‑Fi se conecta pero las webs no cargan

Causa raíz: DNS mal configurado o portal cautivo; a veces rarezas IPv6-only en redes corporativas de invitados.

Solución: Compara ping 1.1.1.1 vs ping debian.org. Si la IP funciona pero el nombre no, arregla DNS (resolvectl status). Si ninguno funciona, comprueba enrutamiento y requisitos del portal cautivo.

7) Síntoma: Tienes un ESP, pero las actualizaciones ocasionalmente “olvidan” tu entrada de arranque

Causa raíz: Actualizaciones de firmware reescriben las entradas NVRAM; tu sistema depende de un orden de entradas frágil.

Solución: Mantén un binario EFI de fallback en \EFI\BOOT\BOOTX64.EFI (a menudo proporcionado por las herramientas de instalación de GRUB) y verifica con efibootmgr -v. Considera también ajustar la configuración de firmware para mantener la entrada Debian como primera.

Listas de verificación / plan paso a paso

Plan A: La instalación UEFI limpia (predeterminado recomendado)

1. En la configuración del firmware: establece el modo de arranque a solo UEFI; desactiva CSM/Legacy si está presente.
2. Decide sobre Secure Boot: o lo desactivas, o te comprometes a firmar módulos después.
3. Arranca el instalador de Debian vía la entrada UEFI.
4. En el shell del instalador (si hace falta): confirma modo UEFI con ls /sys/firmware/efi.
5. Particiona con GPT:
   • ESP: 512 MiB, FAT32, montar /boot/efi
   • Root: ext4
   • Opcional: swap
   • Opcional: /home separado
6. Selecciona solo lo que necesitas en tasksel. Puedes instalar roles de desktop/server después.
7. Primer arranque: confirma findmnt /boot/efi y efibootmgr -v.
8. Habilita componentes APT incluyendo non-free-firmware.
9. Instala paquetes de firmware para tu hardware, regenera initramfs, reinicia.
10. Ejecuta actualizaciones y luego haz un snapshot de tu “estado conocido bueno” (aunque sea solo una lista de paquetes y diffs de configuración).

Plan B: Portátil solo Wi‑Fi, sin puerto Ethernet

1. Prefiere tethering USB del teléfono para acceso a red durante la instalación.
2. Si el tethering no es posible, usa medios de instalación que soporten firmware y prepárate para instalar paquetes de firmware después del arranque.
3. Post-instalación: verifica la carga de firmware en dmesg, luego confirma el escaneo con nmcli dev wifi list.
4. Sólo después de que el Wi‑Fi sea estable: añade impresoras, Bluetooth y todo lo que cree más estado para depurar.

Plan C: Entorno corporativo (proxy, 802.1X, políticas)

1. Durante la instalación, evita depender de la autenticación Wi‑Fi empresarial. Usa Ethernet o tethering.
2. Después de instalar, configura certificados y perfiles 802.1X usando las herramientas de NetworkManager.
3. Verifica NTP/tiempo temprano; fallos TLS a menudo parecen “repositorio caído” cuando en realidad es “reloj mal”.
4. Confirma sufijos DNS y reglas de DNS dividido antes de culpar a Debian.

Tres mini-historias del mundo corporativo

Mini-historia 1: Un incidente causado por una suposición equivocada

Un equipo desplegó portátiles basados en Debian a un grupo que viajaba constantemente. La imagen se “estandarizó” y se probó en un puñado de máquinas de desarrolladores que casualmente tenían Wi‑Fi Intel. La suposición—nunca documentada—era que “Linux Wi‑Fi ya funciona por defecto”.

La primera semana fue bien. Luego Compras consiguió un segundo proveedor para el mismo modelo por problemas de suministro. Mismo chasis, revisión diferente del chipset Wi‑Fi. La imagen seguía instalándose, pero la mitad de la flota arrancó sin interfaz de red. La gente culpó a DHCP, luego a la VPN, luego al “nuevo kernel”. El problema real era más simple: el controlador se cargó, pero el blob de firmware específico para esa revisión no estaba presente, y las fuentes APT en la imagen no incluían non-free-firmware.

Al ser portátiles, “enchufar Ethernet” no era una solución universal. El resultado fue una tormenta perfecta: cambio en producción (nuevo hardware), dependencia faltante (firmware) y sin camino fiable de recuperación (no había red para traer paquetes). La gente empezó a hacer lo que hace bajo estrés: copiar firmware aleatorio desde internet a pendrives y probar suerte.

La solución no fue heroica. Actualizaron la imagen base para incluir los componentes APT correctos, añadieron un conjunto mínimo de paquetes de firmware para los chipsets conocidos y escribieron un runbook de dos páginas: cómo identificar el chipset, cómo confirmar la carga de firmware y cómo recuperar usando tethering de teléfono. El incidente no se repitió—no porque el universo se volviera más amable, sino porque las suposiciones se reemplazaron por comprobaciones.

Mini-historia 2: Una optimización que salió mal

Otra organización quería “arranques rápidos” y “discos limpios”, así que se pusieron creativos durante la instalación. Encogieron el ESP a algo diminuto porque “solo contiene archivos de arranque”, mantuvieron solo un kernel y limpiaron paquetes agresivamente. También activaron Secure Boot pero no quisieron la carga operativa de firmar nada más que el defecto.

Por un tiempo funcionó. Luego una actualización rutinaria del kernel trajo un nuevo GRUB y un initramfs actualizado. El ESP se llenó. Las actualizaciones de GRUB fueron parcialmente exitosas, dejando el sistema en un estado donde el firmware aún encontraba un binario EFI, pero el bootloader no podía localizar con fiabilidad los bits del kernel. Algunas máquinas arrancaban; otras no. Los fallos parecían aleatorios, lo peor: invitan a superstición.

La respuesta se enfocó inicialmente en “¿por qué Debian escribe tanto en el ESP?” y “¿podemos comprimir más el initramfs?”. Esa es la dirección equivocada. La dirección correcta es aceptar que el almacenamiento es barato y las caídas son caras. Redimensionaron el ESP a un valor sensato, dejaron de borrar archivos de arranque de fallback y adoptaron una política: mantener al menos dos kernels instalados y nunca optimizar espacio sin un presupuesto de capacidad medido.

El problema no fue la optimización en sí; fue optimizar la restricción equivocada. Las particiones de arranque fallan en los peores momentos, y no quieres un diseño ingenioso cuando estás depurando a ciegas en un sitio remoto.

Mini-historia 3: Una práctica aburrida pero correcta que salvó el día

Un equipo tenía la costumbre que parecía paranoia: después de cada despliegue de OS, ejecutaban un pequeño script de verificación local en la máquina. Comprobaba modo UEFI, montaje del ESP, estado de Secure Boot, errores de carga de firmware y si las fuentes APT incluían componentes de firmware. Luego guardaba la salida en un ticket.

Meses después, una actualización de firmware del proveedor devolvió un subconjunto de máquinas a arrancar desde “UEFI OS” en lugar de la entrada Debian. Las máquinas seguían arrancando—pero ahora lo hacían por la ruta de fallback, y algunos casos límite empezaron a fallar tras actualizaciones posteriores. La mayoría de organizaciones habría llamado a esto “rareza aleatoria de arranque”.

Ese equipo no tuvo que adivinar. Compararon la salida de efibootmgr -v post-actualización con los adjuntos del ticket antiguo. La diferencia fue obvia: BootOrder cambió y la entrada Debian ya no era la primera. La solución fue mecánica: restaurar BootOrder, asegurar que existiera el binario EFI de fallback y documentar “la actualización de firmware puede resetear entradas NVRAM” como riesgo operacional.

Fue aburrido. Fue correcto. También significó que la persona de guardia pasó 20 minutos arreglando sistemas en lugar de dos noches desarrollando una nueva religión sobre UEFI.

Preguntas frecuentes

1) ¿Debo usar el instalador gráfico o el de texto?

Usa con el que seas más rápido. El diferenciador real es si puedes entrar en un shell y validar modo UEFI, discos y necesidades de firmware. Ambos instaladores te permiten hacerlo.

2) ¿Necesito firmware no libre en cada instalación de Debian 13?

No. Pero si estás en portátiles modernos, las probabilidades de que el Wi‑Fi (y a veces Bluetooth) lo necesiten son altas. Trátalo como “probable” salvo que hayas confirmado que tu chipset funciona sin paquetes de firmware adicionales.

3) ¿Es seguro habilitar non-free-firmware en APT?

Operativamente, sí. No estás habilitando un repositorio misterioso; estás habilitando el componente empaquetado de firmware de Debian para que las actualizaciones mantengan tu hardware funcionando. El riesgo es más filosófico que técnico.

4) Mi dispositivo Wi‑Fi es Realtek. ¿Qué debo esperar?

Espera dependencia de firmware y brechas ocasionales de madurez del controlador. El primer paso siempre es dmesg en busca de errores de carga de firmware y lspci -nnk para confirmar el binding del controlador. Si quedas atascado, considera Ethernet/tethering para la instalación y estabiliza después del arranque.

5) ¿Debería mantener Secure Boot activado?

Si quieres la propiedad de seguridad y estás dispuesto a gestionar la firma de módulos, sí. Si quieres flujos de trabajo de módulos kernel sin fricción, desactívalo. El peor resultado es dejarlo activado y descubrir repetidamente que tus módulos no cargan durante trabajo urgente.

6) ¿Necesito una partición /boot separada?

Normalmente no en sistemas UEFI. Necesitas un ESP para binarios EFI, pero tu kernel/initramfs puede vivir en el sistema root. /boot separado puede ayudar con ciertos esquemas de cifrado, pero es otra pieza móvil.

7) ext4 vs btrfs para un portátil: ¿qué elegirías?

ext4 salvo que estés explícitamente comprometido con flujos de trabajo de snapshots y entiendas la historia de recuperación. btrfs puede ser genial, pero “genial” viene con política: retención de snapshots, cadencia de scrubs e integración del arranque.

8) ¿Cómo sé si “sin internet” es DNS o enrutamiento?

Pinga una IP (enrutamiento) y un nombre (DNS). Si ping 1.1.1.1 funciona pero ping debian.org falla, es DNS. Si ambos fallan, es enrutamiento, portal cautivo o problemas de capa de enlace.

9) ¿Cuál es la forma más rápida de ver por qué falló el último arranque?

journalctl -b -p err..alert. Te consigue los errores de alta severidad sin ahogarte en ruido. Luego amplia el alcance si es necesario.

10) ¿Puedo arreglar un arranque UEFI roto sin reinstalar?

A menudo sí: monta el ESP, reinstala GRUB para EFI y recrea entradas de arranque con efibootmgr. Pero si instalaste en modo legacy y quieres UEFI a largo plazo, reinstalar limpiamente puede ser más rápido y seguro que la arqueología del arranque.

Siguientes pasos para mantenerlo estable

Debian 13 puede ser una instalación sin dramas si tratas el modo de arranque, el firmware y la red como preocupaciones de primera clase—no como afterthoughts.

Haz lo siguiente, en este orden:

1. Registra tus hechos de arranque: modo UEFI, estado de Secure Boot, UUID/montaje del ESP y salida de efibootmgr -v.
2. Asegura la fiabilidad del firmware: confirma que non-free-firmware está en las fuentes APT; instala el paquete de firmware correcto; verifica con dmesg.
3. Ejecuta una comprobación de saneamiento post-instalación: findmnt --verify, journalctl -b -p err..alert y una comprobación básica de red (ip route, resolvectl status).
4. Sólo entonces personaliza: ajustes de escritorio, repos adicionales, controladores de terceros y tuning de rendimiento. Estabilidad primero; estilo después.

Si no haces otra cosa, recuerda esto: el instalador no es la línea de meta. La línea de meta es una máquina que todavía arranca y todavía tiene Wi‑Fi después de la próxima actualización de kernel.