OPNsense auf dem N100 als Haupt-Router: FritzBox nur noch als Access Point

Kurz gesagt: Stelle die FritzBox in den Access-Point-Modus (DHCP aus) und mach die OPNsense auf dem N100 zum einzigen Router mit DHCP — behalte dabei zwingend das bestehende Subnetz (meist 192.168.178.0/24), sonst stranden alle Geräte mit statischer IP. DNS bleibt am besten auf einem separaten Pi-hole, und OPNsense gehört auf eine SSD statt dauerhaft auf einen USB-Stick.

Es gibt zwei Wege, OPNsense ins Heimnetz zu bringen. Der eine ist OPNsense hinter der FritzBox — die FritzBox bleibt Router, OPNsense hängt dahinter. Der andere, konsequentere Weg ist der hier: OPNsense wird der Haupt-Router, und die FritzBox degradiert zu einem reinen WLAN-Access-Point. Dieser Guide beschreibt die Migration auf einem N100-Mini-PC — und vor allem die Stolperfallen, die einen sonst einen ganzen Nachmittag kosten.

Wann sich dieser Weg lohnt #

• Du willst OPNsense als vollwertigen Router (VLANs, saubere Firewall, eigenes DNS, Port-Forwards) — nicht als zweite Instanz hinter der FritzBox.
• Kein Doppel-NAT, keine Exposed-Host-Krücke.
• Die FritzBox soll trotzdem bleiben — für WLAN und ggf. Telefonie.

Voraussetzung: Dein Anschluss lässt sich hinter ein eigenes Modem/Router-Gerät legen. Bei Kabel (z. B. Vodafone) hängt die OPNsense per WAN am Modem; die FritzBox macht nur noch WLAN.

Die Zielarchitektur #

Internet ── Modem
              │  WAN (DHCP, öffentliche IP)
         ┌──────────┐
         │ OPNsense │  N100-Mini-PC — Router, Firewall, DHCP
         │   LAN    │  z. B. 192.168.178.1/24
         └──────────┘
              │
          [Switch]
              ├── FritzBox  → nur noch Access Point (kein Router, kein DHCP!)
              ├── Server / NAS / Clients (per Kabel)
              └── WLAN-Geräte (über die FritzBox)

Wichtig: Nach der Migration macht nur noch die OPNsense Router, DHCP und Firewall. Die FritzBox verteilt keine IP-Adressen mehr — sonst hast du zwei DHCP-Server im selben Netz und wunderst dich über sporadische Ausfälle.

Warum ein N100? #

Der N100 ist 2026 der Sweet Spot für einen Home-Router: genug Takt für Multi-Gigabit-Routing, passiv oder sehr leise, sparsam im Verbrauch, und die üblichen Mini-PCs bringen zwei bis vier Intel-2.5G-Ports (igc) mit. Für einen Kabel- oder Glasfaseranschluss langweilt sich die CPU — der Router ist hier nie der Flaschenhals.

Schritt 1: Die FritzBox zum Access Point machen #

In der FritzBox-Oberfläche: Heimnetz → Netzwerk → Netzwerkeinstellungen → IP-Adressen → „Access Point" (bzw. „IP-Client-Modus" / „vorhandenen Router im Heimnetz nutzen"). Dadurch:

• schaltet die FritzBox ihren DHCP-Server ab,
• hört auf zu routen,
• bleibt aber als WLAN-AP und Switch nutzbar.

Verbinde anschließend einen LAN-Port der FritzBox (nicht den WAN/DSL-Port) mit deinem Switch bzw. der OPNsense-LAN-Seite. Die FritzBox bezieht ihre eigene IP dann von der OPNsense.

Schritt 2: Das LAN-Subnetz bewusst wählen — die wichtigste Entscheidung #

Hier lauert die Falle, die den größten Ärger macht. Behalte das Subnetz, das deine bestehenden Geräte schon nutzen. Wer von der FritzBox kommt, ist meist im 192.168.178.0/24 — dann gib der OPNsense-LAN genau dieses Netz (192.168.178.1/24).

Warum das so entscheidend ist: Alle Geräte mit statischer IP (NAS, Server, Pi-hole, Drucker) oder mit einer festen DHCP-Reservierung sind auf das alte Netz eingestellt. Setzt du die OPNsense stattdessen auf ein „frisches" Netz wie 192.168.1.0/24, dann liegen diese Geräte plötzlich im falschen Subnetz — und sind nicht mehr erreichbar.

Das fühlt sich im Fehlerfall besonders fies an, weil das Symptom irreführend ist:

Das Gerät antwortet auf Ping, aber jede SSH-/Web-Verbindung läuft in einen Timeout. Ursache ist fast immer der Subnetz-Mismatch, kein Hardware- oder Software-Defekt.

Besonders unangenehm wird es bei Servern mit verschlüsselter Platte und Remote-Unlock (dropbear im initramfs): Wenn deren fest hinterlegte Unlock-IP im alten Netz liegt, kommst du nach einem Reboot nicht mehr zum Entschlüsseln — obwohl der Server „läuft". Auch das löst sich schlagartig, sobald die OPNsense wieder im passenden Subnetz ist.

Merke: Erst wenn alles läuft und du Zeit hast, kannst du geplant auf ein neues Netz umnummerieren — Gerät für Gerät. Nicht beiläufig bei der Migration.

Schritt 3: DHCP auf der OPNsense einrichten #

Aktiviere den DHCP-Server auf dem LAN-Interface mit einer Range, die deine statischen Geräte ausspart (z. B. .100–.199). Für Server, die immer dieselbe Adresse brauchen, nimm eine DHCP-Reservierung per MAC statt einer statischen IP im Gerät selbst:

• Die Reservierung lebt zentral in der OPNsense.
• Ändert sich mal etwas am Netz, zieht das Gerät automatisch mit — es strandet nicht wie eine im Host fest verdrahtete IP.

Schritt 4: DNS — bewusst getrennt lassen #

Wenn du bereits Pi-hole (+ Unbound) auf einem separaten Gerät betreibst: lass es dort. Die OPNsense verteilt per DHCP einfach die Pi-hole-IP als DNS-Server an die Clients.

Der Grund ist Ausfallsicherheit, und du merkst ihn spätestens beim ersten Router-Reboot: Jedes Mal, wenn du an der OPNsense schraubst oder sie neu startest, fiele im ganzen Haus das DNS aus — „Internet geht nicht" —, wenn die Namensauflösung nur auf der OPNsense läge. Auf einem separaten Pi läuft sie währenddessen einfach weiter.

Konsolidieren (DNS + Adblocking direkt in OPNsense-Unbound mit DNSBL) kannst du später immer noch, wenn dir der Extra-Kasten wichtiger ist als die Trennung.

Schritt 5: Einen Dienst von außen erreichbar machen (Port-Forward) #

Was früher in der FritzBox unter „Portfreigaben" lief, macht jetzt die OPNsense unter Firewall → NAT → Port Forward. Beispiel für einen internen Dienst auf 192.168.178.10:8000:

Tipp: Du kannst den externen Port vom internen entkoppeln — außen z. B. 443 anbieten, intern auf einen anderen Port weiterleiten. Praktisch, wenn der interne Port schon belegt ist.

Schritt 6: Nach außen härten #

OPNsense ist ab Werk schon recht dicht (Default-Deny auf WAN, stiller Drop). Ein paar sinnvolle Handgriffe:

• Nur öffnen, was nötig ist. Jeder Port-Forward ist eine bewusste Entscheidung — ein Scan deiner IP soll nur die Dienste sehen, die wirklich laufen müssen.
• Management aufs LAN binden. Web-GUI (und SSH, falls aktiv) nur auf dem LAN-Interface lauschen lassen — dann antwortet die Verwaltung nie nach außen, selbst bei einer Fehlkonfiguration.
• WAN-Filter prüfen: Block private networks und Block bogon networks auf dem WAN aktiv lassen (anders als beim Setup hinter der FritzBox, wo sie aus müssen — hier hängt die OPNsense direkt am öffentlichen Netz).

Die Stolperfalle, die man erst spät merkt: nicht vom USB-Stick dauerbetreiben #

Verlockend ist es, OPNsense „erstmal" von einem USB-Stick zu betreiben, bis die richtige SSD da ist. Mach das nur zum Testen. Ein USB-Stick verträgt die vielen Schreibvorgänge und vor allem unsaubere Neustarts schlecht. Nach einem Stromausfall oder harten Reboot fährt das Dateisystem einen Reparaturlauf (fsck) — und dabei kann durchaus mal ein Systemdienst Schaden nehmen (bei uns startete danach syslog-ng nicht mehr, das komplette Logging war weg, während Routing und Firewall unbeeindruckt weiterliefen).

Empfehlung: Installiere OPNsense von Anfang an auf eine kleine SSD (M.2/SATA, 120 GB reichen dick) und nutze den Stick nur als Installationsmedium. Und mach dir gleich ein Config-Backup — OPNsense kann das automatisch z. B. auf eine Nextcloud sichern.

Fazit #

Die Migration selbst ist unspektakulär — FritzBox in den AP-Modus, OPNsense als Router, DHCP einrichten, fertig. Die Zeit kostet nur das, was in keiner Klick-Anleitung steht: das richtige Subnetz behalten, DNS getrennt lassen und nicht dauerhaft vom Stick booten. Wer diese drei Dinge beachtet, hat den N100 in einer halben Stunde als sauberen Haupt-Router laufen — die FritzBox macht dann nur noch, was sie am besten kann: WLAN und Telefonie.