IT-Sicherheit
OPNsense
OPNsense ist eine quelloffene Firewall- und Routing-Plattform auf FreeBSD-Basis mit dem Paketfilter pf, Web-GUI, breitem VPN-Spektrum und regelmäßigen Updates.
- FreeBSD-Basis + pf
- VPN, HA, IDS/IPS
- Regelmäßige Updates
- Plugins (Suricata, CrowdSec, HAProxy)
- BSD-2-Clause
OPNsense ist eine quelloffene Firewall- und Routing-Plattform auf Basis von FreeBSD. Sie nutzt den bewährten Paketfilter pf, wird über eine eigene Web-Oberfläche bedient und steht unter der freizügigen BSD-2-Clause-Lizenz. Entstanden ist sie 2015 als Fork von pfSense; bis Version 21.7 setzte sie auf das gehärtete HardenedBSD, seit Version 22.1 (2022) auf reines FreeBSD.
Dieser Artikel erklärt die Architektur, das VPN-Spektrum, die Hochverfügbarkeit, den IDS/IPS-Betrieb über Suricata, das Plugin-Ökosystem, die regelmäßige Update-Kadenz sowie die Editionen und Hardware-Fragen.
1. Architektur und Bedienung
Im Kern steht der FreeBSD-Paketfilter pf als zustandsbehaftete Firewall. Bedient wird OPNsense vollständig über eine Web-GUI auf einem eigenen MVC-Framework, ergänzt um eine API zur Automatisierung. Ein flexibles Alias-System (Hosts, Netze, Ports, GeoIP, URL-Tabellen) hält große Regelwerke übersichtlich.
2. VPN und Hochverfügbarkeit
OPNsense bringt die wichtigsten VPN-Protokolle nativ mit: IPsec, OpenVPN und seit Version 24.1 auch WireGuard als Kernkomponente. Für ausfallarme Übergänge sorgt Hochverfügbarkeit über CARP (virtuelle IPs) und pfsync (Synchronisation der Verbindungstabelle), sodass bei Ausfall eines Knotens bestehende Verbindungen erhalten bleiben. Ein dediziertes Sync-Interface ist dabei empfohlen.
3. IDS/IPS über Suricata
Für Angriffserkennung und -abwehr integriert OPNsense Suricata (eigener Artikel). Im Netmap-basierten Inline-Modus kann es Verkehr aktiv blockieren. Das ist wirksam, aber ressourcenintensiv: Hardware-Offloading muss auf den betroffenen Schnittstellen deaktiviert werden, und der Betrieb verlangt ausreichend CPU und RAM. Für sinnvollen IDS/IPS-Betrieb sind die empfohlenen Hardware-Werte (Mehrkern-CPU, 8 GB RAM) anzusetzen, nicht das Minimum.
4. Plugins
Über das Plugin-System lässt sich OPNsense erweitern, etwa um CrowdSec (kollaborative Angreifer-Sperrlisten), HAProxy (Reverse Proxy/Load Balancer), Caddy oder Zenarmor (Layer-7-Anwendungskontrolle). Wichtig: Die Plugin-Qualität variiert je nach Quelle und Pflegestand, das gehört bei der Auswahl berücksichtigt.
Update-Kadenz als Stärke
OPNsense liefert Minor-Updates etwa alle zwei Wochen und zwei große Releases pro Jahr (Versionsschema JJ.Monat, z. B. 25.7). Diese Regelmäßigkeit ist ein Sicherheitsvorteil, verlangt aber ein eingeplantes Update-Fenster, einen separaten Security-only-Zweig gibt es in der Community Edition nicht.
5. Editionen und Hardware
Neben der freien Community Edition gibt es eine kostenpflichtige Business Edition von Deciso (selektiverer Update-Pfad, zentrale Verwaltung, GeoIP, Support). Betrieben wird OPNsense auf eigener Standard-Hardware oder auf den Appliances des Herstellers; jeder Eintrag in der Verbindungstabelle braucht etwas RAM, und Intel-Netzwerkkarten werden für hohen Durchsatz empfohlen. Zwei-Faktor-Anmeldung (TOTP) sowie LDAP-/RADIUS-Anbindung sind integriert. Die Konfiguration liegt als einzelne, optional verschlüsselte XML-Datei vor und lässt sich lokal sowie auf Remote-Ziele wie Nextcloud oder SFTP sichern.
6. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Offen (BSD-2-Clause), keine Lizenzkosten (CE) | Plugin-Qualität variiert je Quelle |
| Breites VPN-Spektrum nativ (IPsec/OpenVPN/WireGuard) | DPI/IPS (Suricata) ressourcenintensiv |
| Stateful HA out of the box (CARP + pfsync) | IPS-Inline verlangt deaktiviertes NIC-Offloading |
| Regelmäßige Updates, 2FA, API-Automatisierung | CE ohne separaten Security-only-Zweig/zentrale Verwaltung |
| Auf Standard- oder Hersteller-Hardware betreibbar | DPI/IPS braucht empfohlene, nicht minimale Hardware |
Häufige Fragen zu OPNsense
Ja, für viele Mittelstandsszenarien. Die Community Edition ist quelloffen und lizenzkostenfrei, bringt Stateful-Firewall, VPN (IPsec/OpenVPN/WireGuard), Hochverfügbarkeit und IDS/IPS mit und wird regelmäßig aktualisiert. Wer kommerziellen Support, einen selektiveren Update-Pfad und zentrale Verwaltung braucht, nimmt die kostenpflichtige Business Edition. Für IDS/IPS sollte die Hardware großzügig dimensioniert sein.
Beide teilen die FreeBSD/pf-Wurzel; OPNsense entstand 2015 als Fork von pfSense. Unterschiede liegen vor allem in der eigenen GUI-Architektur, der freizügigen BSD-2-Clause-Lizenz und der Update-Politik (zwei Major-Releases pro Jahr plus zweiwöchentliche Minor-Updates). Welche Plattform passt, hängt von Update-Kadenz, gewünschten Funktionen und Hardware ab, nicht von einer pauschalen Überlegenheit.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
OPNsense im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.