OPNsense als Firewall für Ihr Netz

OPNsense ist eine Open-Source-Firewall auf FreeBSD-Basis. inett plant das Regelwerk, richtet VPN und Hochverfügbarkeit ein und hält das System aktuell.

Screenshot: OPNsense-Dokumentation, © Deciso B.V. und Mitwirkende, BSD-2-Clause

Wo es heute hakt

Viele Firewalls wachsen über Jahre. Regeln kommen dazu, alte bleiben stehen. Niemand weiß mehr genau, warum ein Port offen ist. Die Lizenz einer kommerziellen Appliance läuft aus, und die Verlängerung kostet mehr als das Gerät. Oder die Firewall ist ein einzelnes Gerät: Fällt es aus, ist der Standort offline.

Dazu kommen Außenstellen und Homeoffice. Jede VPN-Verbindung braucht Schlüssel, Zertifikate und Regeln. Wenn das nur eine Person versteht, wird jeder Urlaub zum Risiko.

Was inett macht

Wir setzen OPNsense als Firewall und VPN-Gateway ein. Zuerst schauen wir uns Ihr Netz an: Welche Netze gibt es, wer darf mit wem sprechen, welche Dienste müssen von außen erreichbar sein? Daraus entsteht ein Regelwerk, das Sie lesen können. Jede Regel bekommt eine Beschreibung.

Danach richten wir VPN ein. Für Standortkopplungen und mobile Clients nutzen wir WireGuard oder IPsec, je nachdem, was die Gegenstelle kann. Soll die Firewall ausfallsicher sein, bauen wir zwei Geräte als Paar mit CARP auf. Das zweite Gerät übernimmt die virtuellen IP-Adressen, wenn das erste ausfällt. Verbindungszustände und Konfiguration gleichen beide Geräte ab.

OPNsense läuft auf eigener Hardware oder als virtuelle Maschine, zum Beispiel auf Proxmox VE. Im Betrieb spielen wir Updates ein, prüfen Regeln und Zertifikate und helfen bei Störungen. Den Zustand der Firewall kann Checkmk überwachen.

inett ist OPNsense Certified Training Partner.

Technische Daten

Aktuelle Version: Community Edition 26.7 (Stand Oktober 2026)
Release-Rhythmus: zwei Hauptversionen pro Jahr, im Januar und im Juli; dazwischen Updates etwa alle zwei Wochen (Roadmap)
Business Edition: kostenpflichtige Ausgabe von Deciso, dem Hersteller hinter OPNsense; eigene Versionen im April und Oktober, die auf einer bereits erprobten Community-Version aufbauen
Lizenz: Community Edition: BSD-2-Clause, auch für den gewerblichen Einsatz frei
Basis: FreeBSD, 64-Bit-x86-Hardware (amd64)
VPN: WireGuard, IPsec, OpenVPN
Hochverfügbarkeit: CARP mit Abgleich der Verbindungszustände (pfsync) und der Konfiguration zwischen zwei Geräten
Weitere Funktionen: Intrusion Detection und Prevention mit Suricata, Captive Portal, Traffic Shaping, Erweiterung über Plugins
Verwaltung: Weboberfläche und API
Dokumentation: docs.opnsense.org

Die Community Edition und die Business Edition teilen denselben Funktionskern. Die Business Edition bringt einen langsameren, stärker getesteten Update-Pfad, Herstellersupport und einige Zusatzfunktionen, etwa die zentrale Verwaltung mehrerer Firewalls mit OPNcentral.

Lieferumfang

Bestandsaufnahme Ihres Netzes und der bestehenden Firewall-Regeln
Entwurf von Netzsegmenten, Regelwerk und NAT
Installation und Grundkonfiguration von OPNsense auf Hardware oder als VM
VPN für Standorte und mobile Clients mit WireGuard oder IPsec
Aufbau eines Hochverfügbarkeitspaars mit CARP
Übernahme bestehender Regeln von einer alten Firewall, nach Prüfung
Dokumentation des Regelwerks und Einweisung Ihres Teams
Updates, Regelpflege und Hilfe bei Störungen im laufenden Betrieb

Hardware und Lizenzen bekommen Sie ebenfalls bei inett: OPNsense-Appliances und Subscriptions für die OPNsense Business Edition.

Für wen OPNsense passt

OPNsense passt zu Unternehmen, Verwaltungen und IT-Dienstleistern, die ihre Firewall selbst verstehen und keine Lizenz pro Funktion bezahlen wollen. Das gilt auch, wenn Sie mehrere Standorte per VPN verbinden wollen oder eine bestehende Appliance ersetzen müssen.

Weniger gut passt OPNsense, wenn Ihr Sicherheitskonzept fest an einen bestimmten Hersteller gebunden ist, etwa durch zentrale Richtlinien über viele Geräte hinweg, die Sie nicht ändern können. Auch wer gar keine Firewall-Kenntnisse im Haus aufbauen will, braucht einen Betreuungsvertrag. Ohne Pflege veraltet jede Firewall.

Häufige Fragen

Brauche ich die Business Edition?

Für die meisten Einsätze reicht die Community Edition. Die Business Edition lohnt sich, wenn Sie einen konservativeren Update-Pfad, Herstellersupport oder die zentrale Verwaltung mehrerer Firewalls brauchen.

Kann OPNsense als virtuelle Maschine laufen?

Ja. OPNsense läuft als VM, zum Beispiel unter Proxmox VE. Für die Firewall am Internetzugang empfehlen wir eigene Hardware oder zumindest eigene Netzwerkkarten, damit ein Fehler im Hypervisor das Netz nicht öffnet.

Wie oft muss ich OPNsense aktualisieren?

Kleinere Updates erscheinen etwa alle zwei Wochen, Hauptversionen zweimal im Jahr. Sicherheitsupdates sollten Sie zeitnah einspielen. Ein Hochverfügbarkeitspaar aktualisieren Sie nacheinander. Das Netz bleibt dabei erreichbar, bis auf die kurze Umschaltung zwischen den Geräten.