OPNsense Firewall Generator
OPNsense Firewall Generator
Erstelle OPNsense-Regeln mit Interface, Direction, Action, Protocol, Aliases und NAT/Port-Forwarding. Mit Live-Vorschau und Best Practices.
Hinweis: Dieser Generator erstellt OPNsense-Firewall-Regeln für die grafische Oberfläche. OPNsense ist eine Open-Source-Firewall auf FreeBSD-Basis mit moderner Web-UI. Die Regeln werden in der Reihenfolge von oben nach unten ausgewertet – mit Quick (Standard) stoppt die erste passende Regel die weitere Prüfung.
Inhaltsverzeichnis
Schnellübersicht
- Regel-Generator: Interface, Direction, Action, Protocol
- Aliase-Management: Host, Network, Port-Aliase
- NAT/Port-Forwarding: DNAT mit Filter-Rule-Association
- Advanced Options: Connection Limits, TCP Flags, Scheduling
- Live-Vorschau: Generierte Regel-Beschreibungen
- Beispiel-Setups: Webserver, Router, Segmentierung
- Theorie: Über OPNsense, Regeln und Best Practices
- FAQ: Häufige Fragen zu OPNsense
1. OPNsense Regel-Generator
Füge Regeln hinzu, ordne sie und generiere die OPNsense-Konfiguration.
Action
Pass: Paket erlauben
Block: Paket verwerfen (keine Antwort)
Reject: Paket ablehnen (TCP RST / ICMP unreachable)
Quick
Ja (Standard): Erste passende Regel stoppt Prüfung
Nein: Letzte passende Regel gewinnt
Empfehlung: Quick nutzen und von oben nach unten lesen
Aliase
Host(s): Einzelne IPs
Network(s): Subnetze (z.B. USERS_NET)
Port(s): Port-Gruppen (z.B. WEB_PORTS)
Advanced Options
Max states: Verbindungs-Limit
Max new connections: Rate-Limit
TCP Flags: SYN, ACK, etc.
Regel-Reihenfolge
Regeln werden von oben nach unten ausgewertet.
Spezifische Regeln vor allgemeinen Regeln platzieren!
Backup
Diagnostics → Backup
/conf/config.xml enthält alle Regeln
NAT mit Filter-Regel
Bei Add Associated Filter Rule wird eine Regel automatisch erstellt.
Für mehr Kontrolle: No Filter Rule + manuelle Regel
Reload
configctl filter reload
pfctl -F states -F sources für State-Reset
2. Theorie – OPNsense Firewall
Verstehe, wie OPNsense funktioniert und wie du sichere Regeln erstellst.
Was ist OPNsense?
OPNsense ist eine Open-Source-Firewall auf FreeBSD-Basis:
- Entwickelt: Von Deciso (Niederlande)
- Seit 2015: Fork von pfSense
- UI: Moderne Web-Oberfläche
- Updates: Wöchentliche Sicherheitspatches
Default Deny
OPNsense folgt dem Default-Deny-Prinzip:
- Standard: Alles blockieren
- Explizit: Nur benötigtes erlauben
- Least Privilege: Minimale Rechte
- Segmentierung: Netze trennen
Quick vs. Last Match
OPNsense wertet Regeln von oben nach unten aus:
- Quick=Ja: Erste passende Regel stoppt
- Quick=Nein: Letzte passende Regel gewinnt
- Empfehlung: Quick nutzen
Best Practices
- Aliase: Netzwerke und Ports gruppieren
- Logging: Block-Regeln loggen
- Backup: Regelmäßig config.xml sichern
- Segmentierung: VLANs + Regeln pro Segment
- Connection Limits: Für SSH/Public-Services
- Weboberfläche aus dem Internet erreichbar: Admin-Zugang nur intern!
- Regel-Reihenfolge: Spezifische vor allgemeinen Regeln
- SSH aussperren: Vor Policy-Änderung SSH-Zugang testen!
- Backup vergessen: 200+ Regeln = 1 Tag Arbeit
- NAT ohne Filter-Regel: Bei "No Filter Rule" manuell erstellen
Wussten Sie schon?
OPNsense hat einen wöchentlichen Patch-Zyklus für Sicherheitsupdates. Das ist deutlich schneller als pfSense CE. Zudem bietet OPNsense ZFS-Boot-Environments – damit kannst du Updates gefahrlos testen und bei Problemen zum vorherigen Stand zurückrollen.
3. Geschichte von OPNsense
Von pfSense-Fork zur eigenständigen Firewall.
pfSense Start
pfSense wird als Fork von m0n0wall veröffentlicht. Es wird schnell zur beliebtesten Open-Source-Firewall. Basis: FreeBSD.
OPNsense Fork
Deciso (Niederlande) forkt pfSense zu OPNsense. Ziel: Modernere UI, schnellere Updates, vollständig offener Code.
Erste Version
OPNsense 15.1 wird veröffentlicht. Die moderne Web-UI und der wöchentliche Patch-Zyklus heben sich von pfSense ab.
WireGuard-Integration
OPNsense integriert WireGuard früh und sauber in die UI. pfSense folgt später. Dies macht OPNsense bei VPN-Nutzern beliebt.
EU-Souveränität
OPNsense positioniert sich als europäische Alternative zu US-Herstellern. Besonders für Behörden und KRITIS relevant.
Wachstum in DACH
OPNsense wächst stark in der DACH-Region, getrieben durch NIS2-Compliance und Präferenz für offene Software.
OPNsense 25.x
OPNsense ist eine ausgereifte Firewall mit aktiver Community. Für Einsteiger, Homelab und Unternehmen gleichermaßen geeignet.
4. FAQ – Häufige Fragen
Häufige Fragen zu OPNsense
| Merkmal | OPNsense | pfSense |
|---|---|---|
| Hersteller | Deciso (Niederlande) | Netgate (USA) |
| Lizenz | Vollständig Open Source | Plus closed source |
| Updates | Wöchentliche Patches | Unregelmäßig |
| UI | Moderne Seitenleiste | Ältere Struktur |
| WireGuard | Früh integriert | Später |
| ZFS Boot | Ja (Rollback) | Nein |
Empfehlung:
- EU-Souveränität: OPNsense
- Bewährte Umgebung: pfSense behalten
- Neue Systeme: OPNsense testen
OPNsense wertet Regeln von oben nach unten aus:
Quick-Modus (Standard):
- Erste passende Regel wird angewendet
- Weitere Regeln werden nicht geprüft
- Empfehlung: Quick nutzen
Quick=Nein:
- Alle Regeln werden geprüft
- Letzte passende Regel gewinnt
Praxis-Tipp: Spezifische Regeln (z.B. SSH nur aus Management) vor allgemeinen Regeln (z.B. Block SSH) platzieren!
Aliase sind benannte Gruppen von IPs, Netzwerken oder Ports:
Typen:
- Host(s): Einzelne IPs (z.B. DC01 → 10.10.20.10)
- Network(s): Subnetze (z.B. USERS_NET → 10.10.10.0/24)
- Port(s): Port-Gruppen (z.B. WEB_PORTS → 80, 443)
Vorteil: Änderungen nur an einer Stelle – alle Regeln aktualisieren sich.
Praxis-Beispiel: INTERNAL_NETS = Kombination aller internen Subnetze
Port-Forwarding in OPNsense:
- 1.
Firewall → NAT → Port Forward - 2. Interface: WAN, Protocol: TCP
- 3. Destination Port: 8080
- 4. Redirect Target IP: 192.168.1.100
- 5. Redirect Target Port: 80
Filter Rule Association:
Add Associated Filter Rule– erstellt automatisch RegelNo Filter Rule– manuelle Regel für mehr Kontrolle
Wichtig: Bei Add Associated Filter Rule kann die Regel nicht mehr bearbeitet werden.
Manuelles Backup:
Diagnostics → Backup- Download configuration as XML
- Enthält: Regeln, Interfaces, VPN, Zertifikate
Automatisiertes Backup (API):
- API-Key erstellen:
System → Access → Users → API keys curl -k -u 'key:secret' https://192.168.1.1/api/core/backup/download/this
Git-Repo: Tägliches Backup in privates Git-Repo
Advanced Options bieten erweiterte Kontrolle:
| Option | Beschreibung |
|---|---|
| Max states | Max. Verbindungen in State-Table |
| Max source nodes | Max. eindeutige Quell-IPs |
| Max established | Max. TCP-Verbindungen pro Quelle |
| Max new connections | Rate-Limit pro Sekunde |
| State timeout | Lebensdauer einer Verbindung |
Praxis: Für SSH-Zugang von außen: Max new connections = 3 gegen Brute-Force.
Segmentierung trennt Netzwerke logisch:
VLANs:
- USERS → 10.10.10.0/24
- SERVERS → 10.10.20.0/24
- MANAGEMENT → 10.10.30.0/24
- DMZ → 10.10.40.0/24
- GUEST → 10.10.50.0/24
Regeln:
- Allow USERS → Internet (HTTP/HTTPS)
- Block USERS → MANAGEMENT
- Allow MGMT → SERVERS (SSH)
Prinzip: Default Deny + Least Privilege
Über die GUI:
- Regeln werden automatisch nach dem Speichern angewendet
- Bei NAT: "Apply changes" klicken
Über CLI (SSH):
configctl filter reload- Lädt Regeln aus
config.xmlneu
State-Reset:
pfctl -F states -F sources- Warnung: Trennt alle aktiven Verbindungen!
Zusammenfassung
Die wichtigsten Punkte
- OPNsense: Open-Source-Firewall auf FreeBSD (Deciso, EU)
- Default Deny: Alles blockieren, nur benötigtes erlauben
- Quick: Erste passende Regel gewinnt (Standard)
- Aliase: Hosts, Networks, Ports gruppieren
- NAT: Port Forward mit Filter Rule Association
- Advanced: Max states, Rate-Limits, TCP Flags
- Backup: Diagnostics → Backup (config.xml)
- Segmentierung: VLANs + Regeln pro Segment
- Updates: Wöchentliche Sicherheitspatches
- Unser Tool: OPNsense-Regelgenerator mit Live-Vorschau
Weitere Tools
Moderne nftables-Regeln für Linux generieren.
Zum ToolKlassische iptables-Regeln für Linux generieren.
Zum ToolDNS-Abfragen für A, AAAA, MX, NS und mehr.
Zum ToolVLAN-IDs nach IEEE 802.1Q berechnen und prüfen.
Zum Tool