labkompass

Guides · OPNsense

VLANs auf OPNsense einrichten: Vom flachen Netz zur echten Segmentierung

Schritt für Schritt zu getrennten Netzen mit OPNsense: VLAN-Interfaces anlegen, DHCP pro Netz, Firewall-Regeln zwischen den Zonen und die Trunk-Konfiguration am Switch.

Veröffentlicht:

Die Theorie hatten wir im Guide VLANs trotz FritzBox: getrennte Netze für Server, Familie, IoT und Gäste, dazwischen eine Firewall. Jetzt die Praxis — komplett auf der OPNsense, vom VLAN-Interface bis zur ersten sinnvollen Regel. Vorausgesetzt wird die Grundkonfiguration und ein Managed Switch mit 802.1Q.

Der Plan (Beispiel)

VLAN-TagNameSubnetzZweck
10MGMT192.168.10.0/24Switch, Proxmox, OPNsense-GUI
20TRUST192.168.20.0/24Familie, PCs, Handys
30SERVER192.168.30.0/24Docker-Host, NAS, Dienste
40IOT192.168.40.0/24Smart-Home-Geräte
50GAST192.168.50.0/24Gäste-WLAN

Ein Tipp aus Erfahrung: Subnetz-Drittes-Oktett = VLAN-Tag. Das erspart dir für immer das Nachschlagen.

Schritt 1: VLAN-Interfaces anlegen

Interfaces → Devices → VLAN → Add, für jedes Netz:

  • Parent: dein LAN-Interface (z. B. igc1) — das wird der Trunk
  • VLAN tag: 10, 20, 30 …
  • Description: MGMT, TRUST, …

Schritt 2: Zuweisen und aktivieren

Interfaces → Assignments: Jedes neue VLAN-Device einem Interface zuweisen, dann pro Interface:

  • Enable ✓
  • IPv4 Configuration Type: Static — z. B. 192.168.10.1/24 für MGMT
  • Beschreibung = VLAN-Name, spart Nerven in der Firewall-Ansicht

Schritt 3: DHCP pro VLAN

Services → DHCPv4 → [Interface]: für jedes Netz eine Range aktivieren. DNS-Server: die jeweilige Interface-IP der OPNsense (Unbound lauscht auf allen internen Interfaces — prüfen unter Services → Unbound DNS), oder der Pi-hole, wenn DNS-Filterung gewünscht ist. Infrastruktur bekommt wie immer statische Zuweisungen.

Schritt 4: Firewall-Regeln — das Herzstück

Neue OPNsense-Interfaces haben keine Regeln = alles eingehend wird verworfen. Das ist die richtige Ausgangslage; jetzt wird gezielt geöffnet. Lege zuerst zwei Aliases an (Firewall → Aliases):

  • RFC1918 = 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12 (alle privaten Netze)
  • Ports_Verwaltung = 443, 22 (GUI + SSH)

Dann pro Interface das bewährte Grundmuster — am Beispiel IOT:

  1. Allow: IOT-Netz → DNS (Port 53) an „This Firewall“ — sonst löst nichts auf
  2. Block: IOT-Netz → RFC1918 — kein Zugriff auf irgendein internes Netz
  3. Allow: IOT-Netz → any — der Rest ist Internet, das darf raus

Die Reihenfolge ist entscheidend: OPNsense wertet Regeln von oben nach unten aus, der erste Treffer gewinnt („first match“). Das Muster „erst Nötiges erlauben, dann intern blocken, dann Internet freigeben“ funktioniert für IOT und GAST identisch.

Für TRUST drehst du es um: interne Zugriffe gezielt erlauben (z. B. TRUST → SERVER auf Ports_Web, TRUST → MGMT nur von Admin_Geraete), Internet frei. SERVER darf initiativ meist nur ins Internet (Updates), aber nicht in TRUST — Verbindungen laufen andersherum, und Antworten regelt die Stateful-Firewall von selbst.

Schritt 5: Ausnahmen für Smart Home

Der Klassiker: Home Assistant (SERVER- oder eigenes Netz) soll IoT-Geräte steuern. Dafür braucht es eine gezielte Regel auf dem Interface des Initiators — z. B. Allow: HomeAssistant_Host → IOT-Netz. Manche Protokolle (mDNS/Chromecast, AirPlay) sind broadcast-basiert und brauchen zusätzlich den mDNS-Repeater (os-mdns-repeater-Plugin) zwischen den gewünschten Netzen. Sparsam einsetzen — jede Bridge zwischen Zonen weicht die Trennung auf.

Schritt 6: Der Switch (Trunk + Access)

Am Managed Switch:

  • Trunk-Port zur OPNsense: alle VLANs tagged
  • Access-Ports pro Gerät: untagged im jeweiligen VLAN (PVID setzen!)
  • Uplinks zu Access Points: tagged mit allen WLAN-VLANs — die SSIDs mappen dann je auf ein VLAN

Die genaue Klick-Reihenfolge unterscheidet sich je Hersteller, das Konzept (tagged/untagged/PVID) ist überall gleich.

Migrationsstrategie: nicht alles auf einmal

Der sicherste Weg vom flachen Netz:

  1. VLANs auf OPNsense + Switch zusätzlich zum bestehenden LAN aufbauen
  2. Ein Testgerät in TRUST umziehen, alles prüfen (Internet, DNS, interne Zugriffe)
  3. Gerätegruppen nacheinander umziehen — IoT zuletzt (dort meckert am meisten Alt-Hardware)
  4. Erst wenn das alte LAN leer ist: aufräumen

Typische Stolperfallen

  • Sich selbst ausgesperrt: Verwaltung zuerst im neuen MGMT-Netz sicherstellen, bevor die alte Erreichbarkeit fällt. Im Notfall: Konsole/ Monitor an die OPNsense.
  • DNS vergessen (Regel 1): „Internet kaputt“ im neuen VLAN heißt fast immer: Port 53 zur Firewall nicht erlaubt.
  • Switch-Port als Access statt Trunk zur Firewall: dann kommt genau ein VLAN an. Der OPNsense-Port muss tagged sein.
  • FritzBox davor? Stört nicht — die VLANs existieren nur hinter der OPNsense; das Transfernetz-Setup bleibt unverändert.

Damit steht die Segmentierung — das größte einzelne Sicherheits-Upgrade, das ein Heimnetz bekommen kann.