OPNsense – professionelle Firewall für Heim und Betrieb

OPNsense Firewall – Netzwerksegmentierung

Was ist OPNsense?

OPNsense ist ein quelloffenes Firewall- und Router-Betriebssystem auf Basis von FreeBSD. Es übernimmt die Aufgaben, die in professionellen Netzwerken von dedizierten Firewalls erfüllt werden – stateful Packet Inspection, VLAN-Segmentierung, Intrusion Detection, VPN-Gateway, Traffic Shaping – zu deutlich niedrigeren Kosten und mit vollständiger Transparenz über den Code.

OPNsense oder pfSense?

Beide Systeme haben gemeinsame Wurzeln. pfSense wurde 2004 gestartet, gehört heute dem Unternehmen Netgate und hat sich in den letzten Jahren zunehmend in Richtung proprietärer Cloud-Dienste und Subscription-Modelle entwickelt. OPNsense wurde 2015 als echter Open-Source-Fork gegründet und entwickelt sich seitdem schneller weiter: wöchentliche Security-Updates, aufgeräumte Oberfläche, bessere Plugin-Architektur.

Unsere Empfehlung: OPNsense – vollständig quelloffen, aktiv gepflegt, keine Vendor-Lock-in-Tendenz.

Was OPNsense kann – was die FritzBox nicht kann

Netzsegmentierung mit VLANs – IoT-Geräte, Gäste und Produktivsysteme in getrennten Netzwerken, die sich nicht gegenseitig sehen
Intrusion Detection / Prevention (IDS/IPS) mit Suricata – erkennt und blockiert bekannte Angriffsmuster in Echtzeit
WireGuard- und OpenVPN-Server – sicherer Fernzugriff ohne Drittanbieter-Dienst
Vollständiges Firewall-Logging – jede Verbindung wird protokolliert, auswertbar, filterbar
DNS-Resolver (Unbound) – lokale DNS-Auflösung mit DNSSEC-Validierung
HAProxy – Reverse Proxy für intern gehostete Dienste mit TLS-Terminierung
Traffic Shaping – Bandbreitenpriorisierung pro Gerät oder Dienst

Netzwerkstruktur mit OPNsense

Internet
    │
    ▼
OPNsense (Firewall / Router)
    │
    ├── LAN  192.168.1.0/24   – Arbeit / Server
    │       └── Strikte Firewallregeln: nur erlaubte Verbindungen
    │
    ├── IoT  192.168.10.0/24  – SmartTV, Drucker, Smarthome
    │       └── Kein Zugriff auf LAN; nur Internet erlaubt
    │
    ├── Gast 192.168.20.0/24  – WLAN für Besucher
    │       └── Nur Internet, isoliert vom Rest
    │
    └── DMZ  192.168.30.0/24  – öffentlich erreichbare Dienste
            └── Eingehend nur definierte Ports

Hardware

OPNsense läuft auf normaler x86-Hardware. Für Heimnetz und kleine Büros reichen:

Mini-PC mit 2+ Netzwerkports (z.B. Topton, Beelink, Protectli) – günstig, lautlos, stromsparend
Alte Workstation oder Desktop-PC mit Zusatz-NIC – für Hobbyisten, zum Ausprobieren
VM auf Proxmox – ideal für Labumgebungen; mit PCIe-Passthrough kann auch die echte NIC durchgereicht werden

Faustregel: Für Gigabit-Internet ohne IDS/IPS reichen 2–4 CPU-Kerne und 4 GB RAM. Mit aktivem Suricata-IPS empfiehlt sich etwas mehr Rechenleistung.

Einstieg

OPNsense wird als ISO-Image heruntergeladen und direkt auf die Hardware installiert – ähnlich wie Proxmox. Nach der Installation ist das System über den Browser auf Port 443 erreichbar. Die Dokumentation ist ausführlich, die Community aktiv.

Interesse an einer OPNsense-Installation für euer Netzwerk – ob Homelab oder Firmennetz?

Anfrage stellen

← Zurück zum Technik-Blog

OPNsense / pfSense – Firewall auf Profi-Niveau