Was sollte ich nach der OPNsense-Installation als Erstes tun?

Zuerst Updates einspielen unter System, Firmware, Status. Danach die Weboberfläche absichern: HTTPS erzwingen, einen eigenen Admin-Benutzer mit starkem Passwort und TOTP-Zweifaktor anlegen. Die wichtigste Regel dabei: Die Weboberfläche gehört niemals ans WAN, sondern nur ins LAN bzw. später ins Management-VLAN.

Wie richte ich Unbound als DNS-Resolver in OPNsense ein?

Unter Services, Unbound DNS, General aktivieren, DNSSEC einschalten und unter Query Forwarding nichts eintragen. Dann arbeitet Unbound als rekursiver Resolver und fragt die Root-Server direkt, statt alles an einen Drittanbieter zu geben. Zusätzlich Register DHCP leases aktivieren, damit interne Hostnamen auflösbar sind.

Wie sichere ich die OPNsense-Konfiguration?

Die gesamte Konfiguration ist eine einzelne XML-Datei. Du kannst sie manuell unter System, Configuration, Backups herunterladen oder dort automatische Backups zu Nextcloud oder per Git einrichten. Damit ist die Firewall in Minuten wiederherstellbar.

OPNsense-Grundkonfiguration: Die ersten 10 Schritte nach der Installation

Q: Was sind Aliases in OPNsense und warum sollte ich sie nutzen?

Ein Alias bündelt IPs, Netze oder Ports unter einem Namen, etwa Server_Intern oder Ports_Web. Firewall-Regeln referenzieren dann Aliases statt nackter Adressen. Ändert sich eine IP, änderst du einen Alias statt zwanzig Regeln — das macht die Regeln wartbar.

Q: Welche OPNsense-Plugins lohnen sich für den Einstieg?

Weniger ist mehr: Bewährt sind os-ddclient für DynDNS und os-vnstat für Traffic-Statistik. IDS/IPS, Proxies und Sensei/Zenarmor sind eigene Projekte für später — eine Firewall wird nicht besser, indem man in Woche 1 alles aktiviert.

Kurz gesagt: Nach der Installation zuerst Updates einspielen, dann die Weboberfläche absichern (HTTPS, eigener Admin mit TOTP, niemals ans WAN), Unbound als rekursiven DNS-Resolver aktivieren und DHCP mit statischen Zuweisungen für Infrastrukturgeräte aufsetzen. Dazu automatische Config-Backups einrichten und zum Abschluss ein Reboot-Test — dann ist die Basis solide.

OPNsense läuft, das Dashboard ist erreichbar — und die Möglichkeiten erschlagen einen erst mal. Dieser Guide führt durch die zehn Schritte, die auf praktisch jeder neuen OPNsense sinnvoll sind, in der richtigen Reihenfolge. Er knüpft direkt an unser FritzBox-Setup an, gilt aber genauso am eigenen Modem.

1. Updates einspielen #

System → Firmware → Status → Check for updates. Immer zuerst — Releases kommen bei OPNsense regelmäßig, und die erste Amtshandlung jeder Firewall ist ein aktueller Stand. Danach neu starten, falls verlangt.

2. Weboberfläche absichern #

Unter System → Settings → Administration:

HTTPS erzwingen (Standard) und den Listen-Port optional auf einen Nicht-Standard-Port legen
Session-Timeout setzen
Und die wichtigste Regel: Die Weboberfläche gehört niemals ans WAN. Erreichbar sein sollte sie nur aus dem LAN bzw. später dem Management-VLAN.

Lege außerdem unter System → Access → Users einen eigenen Admin-Benutzer mit starkem Passwort an und aktiviere TOTP-Zweifaktor (System → Access → Servers → TOTP-Server anlegen, dem Nutzer ein Token zuweisen). Der Standard-root-Login bleibt als Notfallzugang mit sehr gutem Passwort.

3. Zeit und Zeitzone #

System → Settings → General: Zeitzone Europe/Berlin, NTP-Standardserver können bleiben. Klingt banal — falsche Uhrzeiten machen später Logs, Zertifikate und VPN-Fehlersuche zur Qual.

4. Unbound als DNS-Resolver einrichten #

OPNsense bringt Unbound mit (Services → Unbound DNS → General):

Enable aktivieren, lauschen auf den internen Interfaces
DNSSEC aktivieren
Unter Query Forwarding nichts eintragen — dann arbeitet Unbound als rekursiver Resolver und fragt die Root-Server direkt, statt alles an einen Drittanbieter zu geben. Warum das die bessere Architektur ist, erklärt unser Pi-hole+Unbound-Guide — auf der OPNsense bekommst du sie ohne Zusatzgerät.
Register DHCP leases aktivieren, damit interne Hostnamen auflösbar sind

Im DHCP (Schritt 5) verteilst du dann die OPNsense selbst als DNS-Server. Betreibst du zusätzlich einen Pi-hole, zeigt der DHCP stattdessen auf den Pi-hole und dieser nutzt die OPNsense/Unbound als Upstream.

5. DHCP sauber aufsetzen #

Services → DHCPv4 → LAN: Range festlegen (z. B. .100–.199), Gateway und DNS werden automatisch gesetzt. Wichtige Gewohnheit von Anfang an: Statische Zuweisungen für alle Infrastrukturgeräte (NAS, Server, APs, Drucker) — unterhalb der Range, mit sprechenden Hostnamen. Das zahlt sich bei Firewall-Regeln und Fehlersuche hundertfach aus.

6. Firewall-Grundverständnis: Aliases zuerst #

Bevor du Regeln baust, lerne das eine Konzept, das OPNsense-Regeln wartbar macht: Aliases (Firewall → Aliases). Ein Alias bündelt IPs, Netze oder Ports unter einem Namen — Server_Intern, Admin_Geraete, Ports_Web. Regeln referenzieren dann Aliases statt nackter Adressen. Ändert sich eine IP, änderst du einen Alias, nicht zwanzig Regeln.

Die Standard-Logik zur Erinnerung: Eingehend auf einem Interface wird gefiltert, Standard ist Verwerfen. Die vorinstallierte „Default allow LAN to any“-Regel darf am Anfang bleiben — verfeinert wird, sobald VLANs ins Spiel kommen.

7. Logging kurz prüfen #

Firewall → Log Files → Live View ist dein wichtigstes Diagnosewerkzeug. Einmal reinschauen, Filter ausprobieren („action is block“) — wer das Live Log lesen kann, löst 90 % aller „warum geht X nicht?“-Fragen selbst.

8. Konfigurations-Backup automatisieren #

Die OPNsense-Konfiguration ist eine einzelne XML-Datei — sichere sie, bevor du experimentierst:

Manuell: System → Configuration → Backups → Download
Automatisch: ebenfalls dort — Backup zu Nextcloud oder per Git. Einmal eingerichtet, hast du zu jeder Änderung einen Stand zum Zurückrollen.

Das ersetzt keine Backup-Strategie für deine Daten, aber es macht die Firewall in Minuten wiederherstellbar.

9. Erweiterungen: weniger ist mehr #

Unter System → Firmware → Plugins locken Dutzende Pakete. Bewährter Einstieg: os-ddclient (DynDNS, falls WireGuard geplant ist) und os-vnstat (Traffic-Statistik). IDS/IPS, Proxies und Sensei/Zenarmor sind eigene Projekte für später — eine Firewall wird nicht besser, indem man in Woche 1 alles aktiviert.

10. Reboot-Test #

Zum Abschluss einmal bewusst neu starten (Power → Reboot) und prüfen: Internet da? DNS löst auf? DHCP verteilt? Wenn ja, ist die Basis solide — und jede spätere Fehlersuche kann diesen Zustand als „bekannt gut“ voraussetzen.

Wie es weitergeht #

Mit dieser Basis stehen die spannenden Ausbaustufen offen: VLANs für echte Netztrennung, WireGuard für unterwegs und DNS-Filterung. Genau in dieser Reihenfolge würden wir es wieder tun.