labkompass

Guides · OPNsense

OPNsense-Grundkonfiguration: Die ersten 10 Schritte nach der Installation

Frisch installiert — und jetzt? Updates, sichere Weboberfläche, Unbound-DNS, sinnvolle Firewall-Basics und automatische Backups: die OPNsense-Grundeinrichtung, die sich bewährt hat.

Veröffentlicht:

OPNsense läuft, das Dashboard ist erreichbar — und die Möglichkeiten erschlagen einen erst mal. Dieser Guide führt durch die zehn Schritte, die auf praktisch jeder neuen OPNsense sinnvoll sind, in der richtigen Reihenfolge. Er knüpft direkt an unser FritzBox-Setup an, gilt aber genauso am eigenen Modem.

1. Updates einspielen

System → Firmware → Status → Check for updates. Immer zuerst — Releases kommen bei OPNsense regelmäßig, und die erste Amtshandlung jeder Firewall ist ein aktueller Stand. Danach neu starten, falls verlangt.

2. Weboberfläche absichern

Unter System → Settings → Administration:

  • HTTPS erzwingen (Standard) und den Listen-Port optional auf einen Nicht-Standard-Port legen
  • Session-Timeout setzen
  • Und die wichtigste Regel: Die Weboberfläche gehört niemals ans WAN. Erreichbar sein sollte sie nur aus dem LAN bzw. später dem Management-VLAN.

Lege außerdem unter System → Access → Users einen eigenen Admin-Benutzer mit starkem Passwort an und aktiviere TOTP-Zweifaktor (System → Access → Servers → TOTP-Server anlegen, dem Nutzer ein Token zuweisen). Der Standard-root-Login bleibt als Notfallzugang mit sehr gutem Passwort.

3. Zeit und Zeitzone

System → Settings → General: Zeitzone Europe/Berlin, NTP-Standardserver können bleiben. Klingt banal — falsche Uhrzeiten machen später Logs, Zertifikate und VPN-Fehlersuche zur Qual.

4. Unbound als DNS-Resolver einrichten

OPNsense bringt Unbound mit (Services → Unbound DNS → General):

  • Enable aktivieren, lauschen auf den internen Interfaces
  • DNSSEC aktivieren
  • Unter Query Forwarding nichts eintragen — dann arbeitet Unbound als rekursiver Resolver und fragt die Root-Server direkt, statt alles an einen Drittanbieter zu geben. Warum das die bessere Architektur ist, erklärt unser Pi-hole+Unbound-Guide — auf der OPNsense bekommst du sie ohne Zusatzgerät.
  • Register DHCP leases aktivieren, damit interne Hostnamen auflösbar sind

Im DHCP (Schritt 5) verteilst du dann die OPNsense selbst als DNS-Server. Betreibst du zusätzlich einen Pi-hole, zeigt der DHCP stattdessen auf den Pi-hole und dieser nutzt die OPNsense/Unbound als Upstream.

5. DHCP sauber aufsetzen

Services → DHCPv4 → LAN: Range festlegen (z. B. .100–.199), Gateway und DNS werden automatisch gesetzt. Wichtige Gewohnheit von Anfang an: Statische Zuweisungen für alle Infrastrukturgeräte (NAS, Server, APs, Drucker) — unterhalb der Range, mit sprechenden Hostnamen. Das zahlt sich bei Firewall-Regeln und Fehlersuche hundertfach aus.

6. Firewall-Grundverständnis: Aliases zuerst

Bevor du Regeln baust, lerne das eine Konzept, das OPNsense-Regeln wartbar macht: Aliases (Firewall → Aliases). Ein Alias bündelt IPs, Netze oder Ports unter einem Namen — Server_Intern, Admin_Geraete, Ports_Web. Regeln referenzieren dann Aliases statt nackter Adressen. Ändert sich eine IP, änderst du einen Alias, nicht zwanzig Regeln.

Die Standard-Logik zur Erinnerung: Eingehend auf einem Interface wird gefiltert, Standard ist Verwerfen. Die vorinstallierte „Default allow LAN to any“-Regel darf am Anfang bleiben — verfeinert wird, sobald VLANs ins Spiel kommen.

7. Logging kurz prüfen

Firewall → Log Files → Live View ist dein wichtigstes Diagnosewerkzeug. Einmal reinschauen, Filter ausprobieren („action is block“) — wer das Live Log lesen kann, löst 90 % aller „warum geht X nicht?“-Fragen selbst.

8. Konfigurations-Backup automatisieren

Die OPNsense-Konfiguration ist eine einzelne XML-Datei — sichere sie, bevor du experimentierst:

  • Manuell: System → Configuration → Backups → Download
  • Automatisch: ebenfalls dort — Backup zu Nextcloud oder per Git. Einmal eingerichtet, hast du zu jeder Änderung einen Stand zum Zurückrollen.

Das ersetzt keine Backup-Strategie für deine Daten, aber es macht die Firewall in Minuten wiederherstellbar.

9. Erweiterungen: weniger ist mehr

Unter System → Firmware → Plugins locken Dutzende Pakete. Bewährter Einstieg: os-ddclient (DynDNS, falls WireGuard geplant ist) und os-vnstat (Traffic-Statistik). IDS/IPS, Proxies und Sensei/Zenarmor sind eigene Projekte für später — eine Firewall wird nicht besser, indem man in Woche 1 alles aktiviert.

10. Reboot-Test

Zum Abschluss einmal bewusst neu starten (Power → Reboot) und prüfen: Internet da? DNS löst auf? DHCP verteilt? Wenn ja, ist die Basis solide — und jede spätere Fehlersuche kann diesen Zustand als „bekannt gut“ voraussetzen.

Wie es weitergeht

Mit dieser Basis stehen die spannenden Ausbaustufen offen: VLANs für echte Netztrennung, WireGuard für unterwegs und DNS-Filterung. Genau in dieser Reihenfolge würden wir es wieder tun.