OPNsense Firewall
Open Source aus Europa – mit IDS/IPS, API und nachvollziehbarer Konfiguration.
OPNsense ist 2015 als Fork von pfSense entstanden und wird von der niederländischen Deciso B.V. entwickelt. Unter der Oberfläche arbeitet derselbe bewährte Paketfilter; darüber liegen ein eigenes Bedienkonzept, ein fester Release-Takt, eine vollständige API und ein Angriffserkennungs-System ab Werk. Wir planen und betreiben OPNsense-Systeme – unser eigenes Werkzeug Orbit Dashboard verwaltet sie im Alltag mit.
Worum geht es?
Gleiche Basis wie pfSense – anderer Takt, anderes Bedienkonzept.
Die Frage ist selten „Firewall ja oder nein", sondern welche Plattform zu Ihrem Betrieb passt. OPNsense empfehlen wir dort, wo Angriffserkennung und Web-Filterung ohne Zusatzprodukt gefragt sind, wo Konfigurationsänderungen nachvollziehbar bleiben müssen und wo Automatisierung über eine Schnittstelle einen echten Unterschied macht – etwa bei mehreren Standorten. Wer bereits pfSense betreibt und damit gut fährt, muss nicht wechseln: Beide Wege führen zum Ziel, wir beraten ergebnisoffen.
Was wir abdecken
Die wichtigsten Bausteine im Überblick.
Stateful Firewall & NAT
Regelwerk je Schnittstelle, Aliase, Zeitpläne, Port-Weiterleitungen und Traffic-Shaping – der Kern, auf dem alles andere aufsetzt.
IDS/IPS ohne Zusatzprodukt
Suricata ist eingebaut und lässt sich im Inline-Modus betreiben: gepflegte Regel-Feeds erkennen bekannte Angriffsmuster – melden oder gleich blockieren.
VPN: WireGuard, IPsec, OpenVPN
Standortkopplungen und Remote-Zugänge über alle gängigen Verfahren; WireGuard steckt direkt im System und ist schnell aufgesetzt.
Hochverfügbar mit CARP
Zwei Appliances teilen sich eine virtuelle IP: Die zweite übernimmt bei Ausfall, der Zustandstisch wird laufend gespiegelt, die Konfiguration abgeglichen.
API und Automatisierung
Nahezu jede Einstellung ist über eine REST-Schnittstelle erreichbar – Grundlage für Skripte, Inventarisierung und unser Orbit Dashboard.
Konfiguration mit Historie
Die gesamte Konfiguration liegt in einer versionierten Datei: Wer wann was geändert hat, ist nachvollziehbar – und ein Stand lässt sich zurückholen.
Die Plattform
Ein Fork, der eigene Wege geht.
OPNsense und pfSense teilen sich denselben Unterbau – der Paketfilter, der die eigentliche Arbeit macht, stammt aus derselben Familie. Unterschiedlich ist alles darüber: der Rhythmus, in dem Versionen erscheinen, die Art, wie Erweiterungen verwaltet werden, und der Umstand, dass sich jede Einstellung auch über eine Schnittstelle setzen lässt. Das entscheidet im Betrieb – nicht die Frage, wer die längere Funktionsliste hat.
Fork mit eigenem Takt
2015 aus pfSense hervorgegangen und von der niederländischen Deciso B.V. entwickelt. Derselbe Paketfilter darunter, darüber ein eigener Release-Rhythmus und eine eigene Oberfläche.
Plugins statt Monolith
Angriffserkennung, Web-Proxy, HAProxy, Zertifikatsverwaltung und VPN kommen als verwaltete Erweiterungen – installiert wird nur, was gebraucht wird.
Nachvollziehbare Konfiguration
Die komplette Einstellung liegt in einer versionierten Datei. Jede Änderung ist samt Urheber nachvollziehbar, ein früherer Stand lässt sich zurückholen.
Aufbau
Was zwischen „kommt an“ und „geht raus“ passiert.
Eine Firewall ist kein Türsteher mit einer Liste, sondern eine Reihe von Prüfungen, die jedes Paket nacheinander durchläuft – nach außen genauso wie zwischen den internen Zonen. Wer die Reihenfolge kennt, versteht auch, warum eine Freigabe an einer Stelle nicht automatisch überall gilt.
Was in der Firewall passiert
Zwischen „kommt an“ und „geht raus“ liegen mehrere Prüfungen. Sie laufen für jedes Paket in derselben Reihenfolge – auch für den Verkehr zwischen den internen Zonen.
Vereinfachte Darstellung: Im Detail hängt die Reihenfolge davon ab, in welche Richtung ein Paket läuft und welche Regeltypen im Spiel sind.
Was macht die Firewall mit einem Paket?
Wählen Sie einen Fall – der Weg durch das Regelwerk läuft dann Schritt für Schritt ab. Jede Station lässt sich auch direkt anspringen.
- 1Paket trifft auf der LAN-Schnittstelle einQuelle ist ein Arbeitsplatz, Ziel ein Webserver auf Port 443. Geprüft wird immer das Regelwerk der Schnittstelle, auf der das Paket ankommt – jedes hat sein eigenes.
- 2Regel „LAN darf ins Internet“ greiftDie Regeln werden von oben nach unten geprüft, die erste passende gewinnt. Hier erlaubt eine Standardregel den ausgehenden Verkehr – die Reihenfolge im Regelwerk ist deshalb kein Schönheitsthema.
- 3Verbindung wird vermerktDie Firewall legt einen Eintrag in der Zustandstabelle an (). Antwortpakete des Webservers gehören damit zu einer bekannten Verbindung und werden automatisch zugeordnet.
- 4Absenderadresse wird umgeschriebenAusgehendes ersetzt die interne Adresse durch die öffentliche der Firewall. Von außen ist nicht zu sehen, welches Gerät im Haus die Anfrage gestellt hat.
- 5Angriffserkennung schaut mitDer Verkehr wird gegen gepflegte Signatur-Feeds geprüft (). Kein Treffer – das Paket läuft weiter. Auffällig wären hier etwa Verbindungen zu bekannten Steuerservern von Schadsoftware.
Typische Fälle, vereinfacht dargestellt – die tatsächliche Reihenfolge der Prüfungen hängt von Richtung und Regeltyp ab. Wie Ihr Regelwerk aussehen sollte, ergibt sich aus Ihren Anwendungen, nicht aus einem Musterbeispiel.
Einordnung
OPNsense oder pfSense? Eine Frage des Betriebs, nicht der Ehre.
Wofür OPNsense spricht
- Angriffserkennung und Web-Filterung sollen ohne Zusatzprodukt laufen.
- Mehrere Standorte wollen automatisiert und einheitlich verwaltet werden.
- Änderungen an der Konfiguration müssen nachvollziehbar bleiben.
- Ein planbarer Release-Kalender ist Ihnen wichtiger als ein langsamer Takt.
Wofür pfSense spricht
- Ihr Team kennt die Oberfläche und arbeitet seit Jahren damit.
- Bestehende Anleitungen, Skripte und Schulungen sollen weiter gelten.
- Ein bewusst ruhiger Update-Pfad ist gefordert.
- Es gibt keinen sachlichen Anlass für einen Wechsel – der beste Grund, nichts zu tun.
Wir betreiben beide Plattformen und verdienen an keiner von beiden eine Lizenzmarge. Deshalb fällt die Empfehlung so aus, wie sie zu Ihrem Team und Ihrem Betrieb passt – und nicht danach, was gerade im Regal steht.
Auf den Punkt
Warum diese Lösung in der Praxis funktioniert.
- Fork von pfSense – derselbe Paketfilter, eigenes Bedienkonzept
- Zwei Hauptversionen pro Jahr, Sicherheitsupdates deutlich häufiger
- Angriffserkennung und Web-Filterung ohne Lizenzaufschlag
- Entwickelt in den Niederlanden, quelloffen unter BSD-Lizenz
FAQ
Häufige Fragen zu OPNsense.
Was unterscheidet OPNsense von pfSense?
Wir betreiben pfSense – lohnt sich ein Wechsel?
Wie sieht Hochverfügbarkeit bei OPNsense aus?
Brauchen wir die kostenpflichtige Business Edition?
Welche Hardware ist nötig?
Wer betreibt und aktualisiert das System?
Kontakt
OPNsense Firewall unverbindlich anfragen
Sie möchten ein konkretes Angebot, eine Demo oder haben Fragen zur Migration? Schreiben Sie uns – wir melden uns in der Regel innerhalb eines Werktags.