IT-Sicherheit
pfSense
pfSense ist eine reife FreeBSD-basierte Firewall- und Router-Plattform (Paketfilter pf); die Community Edition ist quelloffen, pfSense Plus die Netgate-Edition.
- FreeBSD + pf, reif und stabil
- VPN, HA (CARP), Multi-WAN
- Pakete: Suricata, pfBlockerNG, HAProxy
- CE Apache-2.0 / Plus proprietär
- Netgate-Appliances
pfSense ist eine der am weitesten verbreiteten Open-Source-Firewalls: FreeBSD-basiert, mit dem Paketfilter pf als Engine und einer PHP-Web-Oberfläche. Es gibt zwei Editionen, die quelloffene Community Edition (Apache-2.0) und das von Netgate gepflegte, erweiterte pfSense Plus.
Dieser Artikel erklärt die technische Basis und die Geschichte, die Editions- und Lizenzlage, die Kernfunktionen von VPN über Hochverfügbarkeit bis Multi-WAN, das Paket-Ökosystem samt abgekündigter Komponenten sowie die Abgrenzung zu OPNsense.
1. Basis und Geschichte
pfSense entstand 2004 als Fork von m0n0wall und setzt auf FreeBSD mit dem Paketfilter pf. Verwaltet wird alles über eine Web-GUI, FreeBSD-Kenntnisse sind für den Betrieb nicht zwingend. Entwickelt und gepflegt wird pfSense von Netgate. 2015 ging aus pfSense wiederum der Fork OPNsense hervor; beide teilen also denselben FreeBSD/pf-Unterbau.
2. Editionen und Lizenz
Die Community Edition ist unter Apache-2.0 lizenziert, kostenlos und quelloffen, mit einer eher langsamen Release-Kadenz (etwa ein größeres Release pro Jahr). pfSense Plus ist proprietär: auf Netgate-Appliances im Kaufpreis enthalten, auf Dritthardware lizenzpflichtig. Netgate entwickelt neue Funktionen vorrangig für Plus, weshalb einige Features (etwa VPN-Offloading, NetFlow-Export) der CE fehlen. Diese Lizenzlage gehört vor einer Entscheidung verstanden.
Die pfSense-Frage ist nicht „kostenlos oder nicht“, sondern „CE oder Plus“. Wer Plus-Funktionen auf eigener Hardware braucht, plant die Lizenz ein, die CE bleibt frei und voll nutzbar.
3. Kernfunktionen
pfSense filtert zustandsbehaftet mit Default-Deny am WAN. Es bringt VPN (IPsec, OpenVPN, WireGuard als Paket), Hochverfügbarkeit über CARP, pfsync und Konfigurations-Sync, Multi-WAN mit Lastverteilung und Failover über Gateway-Gruppen, Traffic Shaping und einen Captive Portal mit. Dynamisches Routing (BGP, OSPF, BFD) kommt über das FRR-Paket hinzu.
4. Pakete
Über den Paketmanager lässt sich pfSense erweitern, etwa um Suricata oder Snort (IDS/IPS), pfBlockerNG (DNS-Sperrlisten, GeoIP, Werbe-/Bedrohungsfilter), HAProxy (Load Balancer/Reverse Proxy) und ACME (Let’s-Encrypt-Zertifikate). Wichtig: Die früher beliebten Squid-/SquidGuard-Proxy-Pakete sind von Netgate ausdrücklich als veraltet gekennzeichnet (ungepatchte Lücken im Upstream) und sollten nicht mehr neu eingesetzt werden.
5. Sicherheit und Hardware
Zwei-Faktor-Anmeldung lässt sich über das FreeRADIUS-Paket mit TOTP nachrüsten (nicht von Haus aus aktiv). Wie jede PHP-Web-Oberfläche war die pfSense-GUI in der Vergangenheit Ziel von Schwachstellen, was zeitnahes Patchen unterstreicht, hier wirkt sich die langsamere CE-Kadenz aus. Hardwareseitig gilt: 64-Bit-CPU mit AES-NI, ausreichend RAM für die Verbindungstabelle und Intel-Netzwerkkarten für hohen Durchsatz.
6. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Sehr reif, stabil, große Community | CE: langsamere Release- und Patch-Kadenz |
| CE quelloffen (Apache-2.0), kostenlos | viele neuere Funktionen nur in pfSense Plus |
| VPN, HA (CARP), Multi-WAN, FRR-Routing | Plus auf Dritthardware lizenzpflichtig |
| Großes Paket-Ökosystem (Suricata, pfBlockerNG) | Squid/SquidGuard abgekündigt, kein direkter Ersatz |
| Netgate-Appliances und Standard-Hardware | GUI auf PHP, historisch Angriffsfläche |
Häufige Fragen zu pfSense
pfSense CE (Community Edition) ist quelloffen unter Apache-2.0, kostenlos und hat eine langsamere Release-Kadenz. pfSense Plus ist die proprietäre, von Netgate gepflegte Edition: auf Netgate-Appliances im Preis enthalten, auf Dritthardware lizenzpflichtig, mit häufigeren Updates und zusätzlichen Funktionen (etwa VPN-Offloading, NetFlow-Export). Netgate entwickelt neue Features vorrangig für Plus.
Davon ist abzuraten. Netgate kennzeichnet die Pakete Squid, SquidGuard und Lightsquid ausdrücklich als veraltet, weil im Upstream ungepatchte Sicherheitslücken bestehen; in künftigen Major-Releases werden sie nicht mehr funktionieren. Für neue Installationen sollten diese Pakete nicht mehr eingesetzt werden.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
pfSense im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.