Die Firewall Ihres Heimrouters ist eine verschlossene Box, die Sie nicht wirklich kontrollieren können. OPNsense ist eine kostenlose Open-Source-Firewall, die Sie auf einem kleinen PC installieren und die Ihnen professionelle Kontrolle bietet – echte Firewall-Regeln, VPN, Einbruchserkennung, Sichtbarkeit pro Gerät. Diese Anleitung führt Sie von einem leeren PC zu einem funktionierenden, sinnvoll gesicherten OPNsense-Setup.
OPNsense ist eine auf FreeBSD basierende Firewall- und Routing-Plattform, die als wirklich freie Open-Source-Software veröffentlicht wird. Sie installieren es auf Ihrer eigenen Hardware – einem alten PC, einem Mini-PC mit zwei Netzwerkanschlüssen oder einem kleinen Gerät – und es befindet sich zwischen Ihrem Modem und Ihrem Netzwerk und entscheidet, welcher Datenverkehr weitergeleitet werden darf. Dieser Leitfaden behandelt die gesamte Reise in der richtigen Reihenfolge: Hardware, Installation, erste Anmeldung, Assistent, Regeln, DHCP und DNS sowie die Sicherheitsgewohnheiten, die Sie davon abhalten, sich selbst auszusperren. Lesen Sie es einmal vollständig durch, bevor Sie etwas anfassen. Ein Firewall-Setup geht meistens in der Planungsphase schief, nicht in der Klickphase.
OPNsense benötigt einen 64-Bit-PC mit mindestens zwei Netzwerkanschlüssen – einen für die Internetseite (WAN), einen für Ihr Netzwerk (LAN). Die offizielle Empfehlung lautet etwa 2 GB RAM mindestens und 4 GB oder mehr für eine komfortable Nutzung; Eine SSD mit 40 GB oder mehr ist für die meisten Haushalte ausreichend. Intel-Netzwerkkarten werden stark bevorzugt, da ihre FreeBSD-Treiber am zuverlässigsten sind – billige Realtek-Ports sind die häufigste Ursache für seltsame Netzwerkausfälle. Eine vollständige Hardware-Anleitung ist im Begleitartikel in der Themenliste dieser Seite verlinkt.
Laden Sie das VGA-USB-Image von der offiziellen OPNsense-Downloadseite herunter, schreiben Sie es auf einen USB-Stick und starten Sie den Firewall-PC davon. Melden Sie sich an der Konsole als installer mit dem Passwort opnsense an, akzeptieren Sie die Standardeinstellungen, wählen Sie Ihre Festplatte aus und lassen Sie sie das System kopieren. Es löscht die Zielfestplatte vollständig. Richten Sie es daher niemals auf eine Festplatte mit benötigten Daten. Wenn der Vorgang abgeschlossen ist, entfernen Sie den USB-Stick und starten Sie neu.
Schließen Sie einen Laptop an den LAN-Port an. Es sollte automatisch eine Adresse erhalten, da OPNsense standardmäßig einen DHCP-Server im LAN betreibt. Öffnen Sie https://192.168.1.1 im Browser – die Zertifikatwarnung ist bei einer Neuinstallation normal, da die Box ihr eigenes selbstsigniertes Zertifikat erstellt hat. Melden Sie sich als root an. Auf einem wirklich neuen System lautet das Standardkennwort opnsense, bis Sie während der Installation ein eigenes Kennwort festlegen. Gehen Sie durch den Assistenten: Legen Sie den Hostnamen und Ihre eigene lokale Domäne fest, wählen Sie DNS-Server aus (oder belassen Sie die ISP-Standardeinstellungen), bestätigen Sie den WAN-Typ (DHCP ist für die meisten Heimverbindungen geeignet) und bestätigen Sie die LAN-Adresse.
192.168.10.1home.arpa oder Ihre eigene registrierte DomäneIm Auslieferungszustand ist OPNsense bereits eine sinnvolle Firewall: Alles, was aus dem Internet hereinkommt, wird blockiert und Geräte in Ihrem LAN dürfen heraus. Es gibt auch eine automatische Anti-Sperrregel im LAN, die Ihren Zugriff auf die Weboberfläche auch dann aufrechterhält, wenn Sie einen Regelfehler machen. Beginnen Sie nicht damit, überall Blockregeln hinzuzufügen. Sehen Sie sich einen Tag lang das Live-Protokoll an (Firewall → Protokolldateien → Live-Ansicht), lernen Sie, wie normaler Datenverkehr aussieht, und beginnen Sie erst dann mit dem Schreiben von Regeln für einen bestimmten Zweck. Ein separater Artikel in diesem Set behandelt die ersten Regeln ausführlich.
Geben Sie wichtigen Geräten feste Adressen mit statischen DHCP-Zuordnungen (Drucker, NAS, Kameras), damit sie sich nie bewegen. Der integrierte DNS-Resolver (Unbound) von OPNsense ist standardmäßig aktiviert und bietet alles, was die meisten Netzwerke benötigen. Gehen Sie dann zu System → Firmware und führen Sie die Updates aus – eine Neuinstallation ist nie vollständig aktuell und eine Firewall ist genau das Gerät, auf dem keine alte Software ausgeführt werden darf. Laden Sie abschließend ein Konfigurations-Backup herunter (System → Konfiguration → Backups) und bewahren Sie es außerhalb der Verpackung auf. Diese eine Datei stellt Ihr gesamtes Setup in wenigen Minuten wieder her, falls die Hardware jemals ausfällt.
Das Video zeigt jeden Bildschirm dieses Setups live – die Installation, den Assistenten, die Regeln und die wichtigen Einstellungen – sodass Sie es auf Ihrer eigenen Box mitverfolgen können.
▶️ Watch Full VideoJa. Die Community-Edition von OPNsense ist eine kostenlose Open-Source-Software und keine eingeschränkte Testversion – die Firewall-, VPN-, Einbruchserkennungs- und Berichtsfunktionen sind alle enthalten. Es gibt eine optionale kostenpflichtige Business-Edition des dahinterstehenden Unternehmens, die in diesem Handbuch jedoch nicht benötigt wird.
Die LAN-Seite beginnt bei 192.168.1.1 mit einem laufenden DHCP-Server und die Webschnittstelle befindet sich unter https://192.168.1.1. Der Standardbenutzer ist root mit dem Passwort opnsense, bis Sie während der Installation Ihr eigenes Passwort festlegen. Ändern Sie es sofort und speichern Sie es in einem Passwort-Manager.
Ein alter Desktop-PC mit zusätzlicher zweiter Netzwerkkarte eignet sich gut zum Lernen und für den realen Einsatz. Laptops sind umständlich, da sie normalerweise über einen Ethernet-Anschluss verfügen und in den Ruhezustand wechseln. Ein Mini-PC mit zwei Intel-Netzwerkanschlüssen ist auf lange Sicht die beliebte Wahl. Das Minimum beträgt etwa 2 GB RAM, empfohlen werden 4 GB oder mehr.