OPNsense hinter der FritzBox betreiben: Setup ohne Doppel-NAT-Chaos

Viele Homelabs starten mit derselben Ausgangslage: Die FritzBox muss bleiben (Telefonie, Vermieter-Anschluss, WLAN für die Familie), aber dahinter soll eine richtige Firewall arbeiten. Dieser Guide zeigt das übliche und bewährte Setup: OPNsense als eigener Router hinter der FritzBox.

Die Architektur

Internet ── FritzBox (192.168.178.1)
                │  „Transfernetz“ 192.168.178.0/24
                └── OPNsense WAN (192.168.178.2, statisch)
                        │
                        └── OPNsense LAN (z. B. 192.168.10.1/24)
                                └── dein eigentliches Netz + VLANs

Die FritzBox bedient nur noch Internet und Telefonie. Alles hinter der OPNsense — Server, Clients, VLANs — kontrolliert die OPNsense. Das Netz zwischen beiden Geräten (das FritzBox-LAN) wird zum reinen Transfernetz.

Schritt 1: OPNsense-WAN eine feste IP geben

Gib dem WAN-Interface der OPNsense eine statische Adresse im FritzBox-Netz, z. B. 192.168.178.2, Gateway 192.168.178.1. Alternativ funktioniert DHCP mit einer festen Zuweisung in der FritzBox (Heimnetz → Netzwerk → dem Gerät immer die gleiche IP zuweisen).

Wichtig auf dem WAN-Interface der OPNsense: Die Haken „Block private networks“ und „Block bogon networks“ müssen deaktiviert werden — das WAN hängt hier in einem privaten Netz, sonst blockt OPNsense den eigenen Upstream.

Schritt 2: Exposed Host in der FritzBox

Damit Portweiterleitungen, VPN-Einwahl und späteres NAT sauber bei der OPNsense ankommen, trägst du sie in der FritzBox als Exposed Host ein: Internet → Freigaben → Gerät für Freigaben (Exposed Host) → die OPNsense auswählen. Die FritzBox reicht dann alle unangeforderten eingehenden Pakete an die OPNsense weiter — die entscheidet ab jetzt selbst, was rein darf.

Ein Exposed Host ist hier kein Sicherheitsrisiko wie bei einem PC: Dahinter steht ja gerade eine Firewall, deren Standardverhalten „alles eingehend verwerfen“ ist.

Schritt 3: Doppel-NAT — lassen oder auflösen?

In diesem Setup NATtet zweimal jemand: die FritzBox (öffentlich → Transfernetz) und die OPNsense (Transfernetz → LAN). Für die meisten Zwecke — Surfen, Streaming, Selfhosting mit Reverse Proxy, WireGuard — ist das völlig unproblematisch, solange der Exposed Host gesetzt ist.

Wer das zweite NAT vermeiden will, kann auf der OPNsense unter Firewall → NAT → Outbound auf manuelles NAT umstellen und die Regel fürs LAN entfernen — dann braucht die FritzBox aber statische Routen in die OPNsense-Netze (Heimnetz → Netzwerk → IPv4-Routen). Empfehlung fürs erste Setup: Doppel-NAT einfach akzeptieren, es funktioniert zuverlässig.

Schritt 4: DHCP und DNS trennen

• FritzBox: DHCP kann aktiv bleiben — sie vergibt nur noch Adressen im Transfernetz (idealerweise ist dort außer der OPNsense kaum noch ein Gerät).
• OPNsense: übernimmt DHCP und DNS für alle eigenen Netze. Trage bei den DHCP-Optionen der OPNsense sich selbst als DNS-Server ein und nutze Unbound — so landen deine Clients nicht versehentlich auf der FritzBox.

Geräte, die noch direkt an der FritzBox hängen (z. B. das Familien-WLAN), bleiben davon unberührt — eine saubere Trennung zwischen „Familiennetz“ und „Labnetz“ ist für den Anfang sogar praktisch.

Typische Stolperfallen

• IPv6: Die FritzBox delegiert nicht ohne Weiteres ein Präfix an Downstream-Router. Wenn du IPv6 im LAN hinter der OPNsense brauchst, stelle in der FritzBox DHCPv6-Server mit Präfix-Delegation ein (Internet → Zugangsdaten → IPv6) und konfiguriere das OPNsense-WAN als DHCPv6-Client mit Prefix Delegation. Für den Einstieg kannst du IPv6 hinter der OPNsense auch zunächst weglassen.
• Telefonie/Smart-Home der FritzBox bleibt an der FritzBox — nicht versuchen, DECT- oder FritzBox-Funktionen „durchzureichen“.
• Hairpin-NAT: Interne Zugriffe auf die eigene öffentliche Adresse funktionieren im Doppel-NAT oft nicht sauber. Lösung: Split-DNS — interne Namen in Unbound direkt auf interne IPs auflösen.

Nächste Schritte

Sobald dieses Fundament steht, folgen die eigentlichen Gewinne: VLAN-Segmentierung, ein Gastnetz, WireGuard für unterwegs und DNS-Filterung — jeweils vollständig unter deiner Kontrolle, unabhängig davon, was die FritzBox kann.