OPNsense hinter der FritzBox betreiben: Setup ohne Doppel-NAT-Chaos

Kurz gesagt: Gib dem OPNsense-WAN eine statische IP im FritzBox-Netz, deaktiviere dort „Block private networks" und „Block bogon networks" und trage die OPNsense in der FritzBox als Exposed Host ein. Das entstehende Doppel-NAT ist für Surfen, Streaming, Selfhosting und WireGuard unproblematisch — DHCP und DNS für alle eigenen Netze übernimmt ab dann die OPNsense.

Viele Homelabs starten mit derselben Ausgangslage: Die FritzBox muss bleiben (Telefonie, Vermieter-Anschluss, WLAN für die Familie), aber dahinter soll eine richtige Firewall arbeiten. Dieser Guide zeigt das übliche und bewährte Setup: OPNsense als eigener Router hinter der FritzBox. Einen echten Bridge- oder Modem-Modus bietet die FritzBox nicht — die Kaskade aus zwei Routern ist deshalb keine Notlösung, sondern der vorgesehene Weg.

Die Architektur #

Das Prinzip: Die FritzBox bleibt Internet-Gateway, die OPNsense wird der eigentliche Router deines Netzes — alles Interessante passiert hinter ihr.

Internet ── FritzBox (192.168.178.1)
                │  „Transfernetz“ 192.168.178.0/24
                └── OPNsense WAN (192.168.178.2, statisch)
                        │
                        └── OPNsense LAN (z. B. 192.168.10.1/24)
                                └── dein eigentliches Netz + VLANs

Die FritzBox bedient nur noch Internet und Telefonie. Alles hinter der OPNsense — Server, Clients, VLANs — kontrolliert die OPNsense. Das Netz zwischen beiden Geräten (das FritzBox-LAN) wird zum reinen Transfernetz.

Diese Aufteilung löst nebenbei das größte FritzBox-Limit: Sie kann kein VLAN-Tagging — die OPNsense dahinter schon, und die FritzBox bekommt davon nichts mit.

Das Transfernetz sauber wählen #

Die wichtigste Regel: Das Transfernetz darf sich mit keinem Netz hinter der OPNsense überschneiden — sonst bricht das Routing. Bleibt die FritzBox auf ihrem Standard 192.168.178.0/24, nutzt du hinter der OPNsense also andere Bereiche.

Ein Beispiel-Adressplan, der sich bewährt hat:

Puristen verkleinern das Transfernetz auf ein /30 — zwei nutzbare Adressen, genau FritzBox und OPNsense, kein Platz für „vergessene“ Geräte dazwischen. Das ist sauber, aber nur sinnvoll, wenn wirklich nichts mehr direkt an der FritzBox hängt: Familien-WLAN oder Repeater brauchen Adressen aus demselben Netz — dann bleibt es pragmatisch beim /24. Ob die FritzBox sehr kleine Subnetzmasken akzeptiert, hängt zudem vom FritzOS-Stand ab (Heimnetz → Netzwerk → Netzwerkeinstellungen → IPv4-Einstellungen).

Schritt 1: OPNsense-WAN eine feste IP geben #

Gib dem WAN-Interface der OPNsense eine statische Adresse im FritzBox-Netz, z. B. 192.168.178.2, Gateway 192.168.178.1. Alternativ funktioniert DHCP mit einer festen Zuweisung in der FritzBox (Heimnetz → Netzwerk → dem Gerät immer die gleiche IP zuweisen) — statisch ist die robustere Wahl, weil der Exposed-Host-Eintrag dauerhaft auf dieselbe Adresse zeigen muss.

Wichtig auf dem WAN-Interface der OPNsense: Die Haken „Block private networks“ und „Block bogon networks“ müssen deaktiviert werden — das WAN hängt hier in einem privaten Netz, sonst blockt OPNsense den eigenen Upstream. Das ist der mit Abstand häufigste Fehler in diesem Setup: Die OPNsense bekommt eine IP und pingt die FritzBox, aber alles dahinter scheitert am eigenen Filter.

Danach lohnt ein kurzer Test aus der OPNsense heraus (Interfaces → Diagnostics → Ping): erst 192.168.178.1, dann eine externe Adresse. Die restliche Grundeinrichtung — Interfaces, Updates, Unbound — deckt die OPNsense-Grundkonfiguration ab.

Schritt 2: Exposed Host in der FritzBox #

Der Exposed Host sorgt dafür, dass alle unangeforderten eingehenden Pakete bei der OPNsense landen — ohne ihn kommen Portweiterleitungen und VPN-Einwahl nicht an. So richtest du ihn ein (Menüpfade können je nach FritzOS-Version leicht abweichen):

1. In der FritzBox-Oberfläche zu Internet → Freigaben → Portfreigaben wechseln.
2. „Gerät für Freigaben hinzufügen“ klicken und die OPNsense aus der Geräteliste wählen (bzw. ihre IP 192.168.178.2 manuell eintragen).
3. Die Option „Dieses Gerät komplett für den Internetzugriff über IPv4 freigeben (Exposed Host)“ aktivieren und übernehmen.

Die FritzBox reicht dann alle unangeforderten eingehenden IPv4-Pakete an die OPNsense weiter — die entscheidet ab jetzt selbst, was rein darf. Zwei Details: Der Exposed Host gilt nur für IPv4 (IPv6-Freigaben verwaltet die FritzBox separat), und einzelne Portfreigaben auf andere Geräte haben Vorrang — solche Altlasten also aufräumen.

Ein Exposed Host ist hier kein Sicherheitsrisiko wie bei einem PC: Dahinter steht ja gerade eine Firewall, deren Standardverhalten „alles eingehend verwerfen“ ist.

Schritt 3: Doppel-NAT — lassen oder auflösen? #

In diesem Setup NATtet zweimal jemand: die FritzBox (öffentlich → Transfernetz) und die OPNsense (Transfernetz → LAN). Für die meisten Zwecke — Surfen, Streaming, Selfhosting mit Reverse Proxy, WireGuard — ist das völlig unproblematisch, solange der Exposed Host gesetzt ist.

Ehrlich eingeordnet, was Doppel-NAT im Alltag wirklich bedeutet:

• Kein Thema: ausgehender Traffic jeder Art — Streaming, Videokonferenzen, Cloud-Dienste, ausgehende VPN-Verbindungen. Auch die MTU ist kein Doppel-NAT-Problem: Ein eventuelles PPPoE terminiert die FritzBox, zwischen FritzBox und OPNsense läuft normales Ethernet — nur VPN-Tunnel reduzieren die MTU wie üblich.
• Mit Exposed Host gelöst: eingehende Verbindungen. Portfreigaben konfigurierst du nur noch einmal, auf der OPNsense — die FritzBox reicht ja bereits alles durch. Ohne Exposed Host müsstest du jede Freigabe doppelt pflegen (FritzBox → OPNsense → Zielgerät).
• Bleibt eine Randnotiz: Spielkonsolen melden hinter zwei NATs gern einen „strikten“ NAT-Typ, weil UPnP nur bis zur FritzBox reicht. Abhilfe: gezielte Portfreigaben auf der OPNsense — oder die Konsole bewusst im FritzBox-Netz lassen.

Wer das zweite NAT vermeiden will, kann auf der OPNsense unter Firewall → NAT → Outbound auf manuelles NAT umstellen und die Regel fürs LAN entfernen — dann braucht die FritzBox aber statische Routen in die OPNsense-Netze (Heimnetz → Netzwerk → IPv4-Routen). Empfehlung fürs erste Setup: Doppel-NAT einfach akzeptieren, es funktioniert zuverlässig.

Schritt 4: DHCP und DNS trennen #

Grundsatz: Die OPNsense übernimmt DHCP und DNS für alle Netze hinter ihr — was die FritzBox im Transfernetz macht, ist davon unabhängig. Für den FritzBox-DHCP gibt es zwei Varianten, beide funktionieren:

• FritzBox-DHCP anlassen (Standard-Empfehlung): Die FritzBox vergibt nur noch Adressen im Transfernetz — also an das, was direkt an ihr hängt, etwa das Familien-WLAN. Die OPNsense stört das nicht, ihr WAN hat ja eine statische IP.
• FritzBox-DHCP abschalten: nur sinnvoll, wenn wirklich kein Gerät mehr direkt an der FritzBox hängt. Konsequenz: Jedes Gerät, das später doch ins Transfernetz kommt (auch zum Debuggen), braucht eine manuelle IP — das vergisst man im Fehlerfall garantiert. Der Sicherheitsgewinn ist gering, der Fußangel-Faktor hoch.

Auf der OPNsense-Seite: Trage bei den DHCP-Optionen die OPNsense selbst als DNS-Server ein und nutze Unbound — so landen deine Clients nicht versehentlich auf der FritzBox.

Geräte, die noch direkt an der FritzBox hängen (z. B. das Familien-WLAN), bleiben davon unberührt — eine saubere Trennung zwischen „Familiennetz“ und „Labnetz“ ist für den Anfang sogar praktisch.

IPv6: Prefix Delegation oder erstmal weglassen #

Die kurze Antwort: IPv6 hinter der OPNsense geht, ist aber der fummeligste Teil dieses Setups — für den Einstieg darfst du es guten Gewissens weglassen. Die FritzBox delegiert nicht ohne Weiteres ein Präfix an Downstream-Router; ohne Delegation bekommen deine Netze hinter der OPNsense schlicht keine öffentlichen IPv6-Adressen.

Wenn du es einrichten willst:

1. In der FritzBox IPv6 aktivieren (Internet → Zugangsdaten → IPv6) und den DHCPv6-Server mit Zuweisung von Präfixen (IA_PD) einschalten — wo genau diese Option liegt, unterscheidet sich je nach FritzOS-Version (typisch: Heimnetz → Netzwerk → Netzwerkeinstellungen).
2. Das OPNsense-WAN als DHCPv6-Client mit Prefix delegation betreiben.
3. LAN und VLANs auf Track Interface (WAN) stellen, damit sie sich aus dem delegierten Präfix bedienen.

Ehrlicherweise: Wie groß das delegierte Präfix ausfällt, hängt von Provider und FritzOS ab — oft reicht es nur für wenige /64-Netze, was du bei vielen VLANs einplanen musst. Der pragmatische Start ist deshalb: IPv6 hinter der OPNsense zunächst deaktiviert lassen — fürs Surfen fehlt dir nichts, Dual-Stack-Dienste nutzen einfach IPv4. Nur an DS-Lite-Anschlüssen, wo eingehende Verbindungen ausschließlich über IPv6 möglich sind, wird IPv6 Pflicht, sobald du von außen erreichbar sein willst.

Telefonie und DECT bleiben an der FritzBox #

Der vielleicht beste Grund für dieses Setup: Telefonie, DECT und FritzBox-Smart-Home funktionieren einfach weiter, ohne dass du dich je damit beschäftigen musst. Die FritzBox bleibt SIP-Client beim Provider und DECT-Basis — und weil sie vor der OPNsense sitzt, läuft der VoIP-Verkehr komplett an deiner Firewall vorbei. Kein SIP-ALG-Gefrickel, keine RTP-Portbereiche in OPNsense-Regeln, keine Diskussion, warum das Telefon nicht klingelt.

Das ist der eigentliche Unterschied zur Alternative „FritzBox komplett ersetzen“: Dort müsstest du Telefonie entweder aufgeben oder die FritzBox als reine Telefonanlage hinter die OPNsense hängen — machbar, aber deutlich mehr Aufwand. Die Kaskade dreht das um: Die FritzBox macht weiter, was sie gut kann, die OPNsense übernimmt alles, was die FritzBox nicht kann.

Typische Stolperfallen #

• IPv6: Ohne Präfix-Delegation gibt es hinter der OPNsense kein öffentliches IPv6 — Details und die pragmatische „erstmal weglassen“-Option stehen im IPv6-Abschnitt oben.
• Telefonie/Smart-Home der FritzBox bleibt an der FritzBox — nicht versuchen, DECT- oder FritzBox-Funktionen „durchzureichen“.
• Hairpin-NAT: Interne Zugriffe auf die eigene öffentliche Adresse funktionieren im Doppel-NAT oft nicht sauber. Lösung: Split-DNS — interne Namen in Unbound direkt auf interne IPs auflösen.
• Alte Portfreigaben in der FritzBox: Einzelfreigaben haben Vorrang vor dem Exposed Host — Altlasten aus der Vor-OPNsense-Zeit löschen.
• Netz-Überschneidung: Das FritzBox-Netz 192.168.178.0/24 darf hinter der OPNsense nicht noch einmal vorkommen.

Kein Internet nach dem Umbau: die Checkliste #

Wenn hinter der OPNsense nichts geht, findet diese Reihenfolge den Fehler fast immer — von unten nach oben:

1. Hat das WAN eine IP? Interfaces → Overview: Steht dort 192.168.178.2 mit Gateway 192.168.178.1? Falls nicht: Verkabelung prüfen (WAN-Port der OPNsense → LAN-Port der FritzBox).
2. Pingt die OPNsense die FritzBox? Interfaces → Diagnostics → Ping auf 192.168.178.1. Scheitert das, liegt es an Kabel, Port oder IP-Konfig — nicht an NAT oder Firewall.
3. Pingt die OPNsense eine externe IP? Etwa 9.9.9.9. Scheitert nur das, sind fast immer „Block private networks“/„Block bogon networks“ noch aktiv, oder das Gateway ist nicht als Standard-Gateway gesetzt (System → Gateways).
4. Funktioniert DNS auf der OPNsense? Externe IP pingbar, aber kein Name auflösbar → Unbound prüfen (Services → Unbound DNS).
5. Haben die Clients frische Leases? Nach dem Umbau brauchen Clients eine Adresse aus dem neuen OPNsense-Netz — Netzwerk einmal trennen und neu verbinden statt auf den Lease-Ablauf zu warten.
6. Greift eine Firewall-Regel? Frische Installationen erlauben auf dem LAN alles Ausgehende; wer schon Regeln gebaut hat, prüft das Live-Log (Firewall → Log Files → Live View) auf geblockte Pakete.

Nächste Schritte #

Sobald dieses Fundament steht, folgen die eigentlichen Gewinne: VLAN-Segmentierung, ein Gastnetz, WireGuard für unterwegs und DNS-Filterung — jeweils vollständig unter deiner Kontrolle, unabhängig davon, was die FritzBox kann. Wenn bei der Grundeinrichtung noch Lücken sind, ist die OPNsense-Grundkonfiguration der richtige nächste Halt.