VLANs auf OPNsense einrichten: Vom flachen Netz zur echten Segmentierung

Kurz gesagt: VLANs richtest du auf der OPNsense in drei Schritten ein: VLAN-Interfaces mit Tag auf dem Trunk-Interface anlegen, zuweisen und mit statischer IP aktivieren, dann DHCP pro Netz einrichten. Das Herzstück sind danach die Firewall-Regeln nach dem Muster „erst DNS erlauben, dann interne Netze blocken, dann Internet freigeben" — plus am Managed Switch ein Trunk-Port zur OPNsense und Access-Ports pro Gerät.

Die Theorie hatten wir im Guide VLANs trotz FritzBox: getrennte Netze für Server, Familie, IoT und Gäste, dazwischen eine Firewall. Jetzt die Praxis — komplett auf der OPNsense, vom VLAN-Interface bis zur ersten sinnvollen Regel. Vorausgesetzt wird die Grundkonfiguration und ein Managed Switch mit 802.1Q.

Der Plan (Beispiel) #

Ein Tipp aus Erfahrung: Subnetz-Drittes-Oktett = VLAN-Tag. Das erspart dir für immer das Nachschlagen. Was Netzadresse, Broadcast und nutzbare Hosts bei einem /24 (oder jeder anderen Netzgröße) genau bedeuten, rechnet dir der Subnetz-Rechner mit Erklärung vor.

Schritt 1: VLAN-Interfaces anlegen #

Interfaces → Devices → VLAN → Add, für jedes Netz:

• Parent: dein LAN-Interface (z. B. igc1) — das wird der Trunk
• VLAN tag: 10, 20, 30 …
• Description: MGMT, TRUST, …

Schritt 2: Zuweisen und aktivieren #

Interfaces → Assignments: Jedes neue VLAN-Device einem Interface zuweisen, dann pro Interface:

• Enable ✓
• IPv4 Configuration Type: Static — z. B. 192.168.10.1/24 für MGMT
• Beschreibung = VLAN-Name, spart Nerven in der Firewall-Ansicht

Schritt 3: DHCP pro VLAN #

Services → DHCPv4 → [Interface]: für jedes Netz eine Range aktivieren. DNS-Server: die jeweilige Interface-IP der OPNsense (Unbound lauscht auf allen internen Interfaces — prüfen unter Services → Unbound DNS), oder der Pi-hole, wenn DNS-Filterung gewünscht ist. Infrastruktur bekommt wie immer statische Zuweisungen.

Schritt 4: Firewall-Regeln — das Herzstück #

Neue OPNsense-Interfaces haben keine Regeln = alles eingehend wird verworfen. Das ist die richtige Ausgangslage; jetzt wird gezielt geöffnet. Lege zuerst zwei Aliases an (Firewall → Aliases):

• RFC1918 = 192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12 (alle privaten Netze)
• Ports_Verwaltung = 443, 22 (GUI + SSH)

Dann pro Interface das bewährte Grundmuster — am Beispiel IOT:

1. Allow: IOT-Netz → DNS (Port 53) an „This Firewall“ — sonst löst nichts auf
2. Block: IOT-Netz → RFC1918 — kein Zugriff auf irgendein internes Netz
3. Allow: IOT-Netz → any — der Rest ist Internet, das darf raus

Die Reihenfolge ist entscheidend: OPNsense wertet Regeln von oben nach unten aus, der erste Treffer gewinnt („first match“). Das Muster „erst Nötiges erlauben, dann intern blocken, dann Internet freigeben“ funktioniert für IOT und GAST identisch.

Für TRUST drehst du es um: interne Zugriffe gezielt erlauben (z. B. TRUST → SERVER auf Ports_Web, TRUST → MGMT nur von Admin_Geraete), Internet frei. SERVER darf initiativ meist nur ins Internet (Updates), aber nicht in TRUST — Verbindungen laufen andersherum, und Antworten regelt die Stateful-Firewall von selbst.

Schritt 5: Ausnahmen für Smart Home #

Der Klassiker: Home Assistant (SERVER- oder eigenes Netz) soll IoT-Geräte steuern. Dafür braucht es eine gezielte Regel auf dem Interface des Initiators — z. B. Allow: HomeAssistant_Host → IOT-Netz. Manche Protokolle (mDNS/Chromecast, AirPlay) sind broadcast-basiert und brauchen zusätzlich den mDNS-Repeater (os-mdns-repeater-Plugin) zwischen den gewünschten Netzen. Sparsam einsetzen — jede Bridge zwischen Zonen weicht die Trennung auf.

Schritt 6: Der Switch (Trunk + Access) #

Am Managed Switch:

• Trunk-Port zur OPNsense: alle VLANs tagged
• Access-Ports pro Gerät: untagged im jeweiligen VLAN (PVID setzen!)
• Uplinks zu Access Points: tagged mit allen WLAN-VLANs — die SSIDs mappen dann je auf ein VLAN

Die genaue Klick-Reihenfolge unterscheidet sich je Hersteller, das Konzept (tagged/untagged/PVID) ist überall gleich.

Migrationsstrategie: nicht alles auf einmal #

Der sicherste Weg vom flachen Netz:

1. VLANs auf OPNsense + Switch zusätzlich zum bestehenden LAN aufbauen
2. Ein Testgerät in TRUST umziehen, alles prüfen (Internet, DNS, interne Zugriffe)
3. Gerätegruppen nacheinander umziehen — IoT zuletzt (dort meckert am meisten Alt-Hardware)
4. Erst wenn das alte LAN leer ist: aufräumen

Typische Stolperfallen #

• Sich selbst ausgesperrt: Verwaltung zuerst im neuen MGMT-Netz sicherstellen, bevor die alte Erreichbarkeit fällt. Im Notfall: Konsole/ Monitor an die OPNsense.
• DNS vergessen (Regel 1): „Internet kaputt“ im neuen VLAN heißt fast immer: Port 53 zur Firewall nicht erlaubt.
• Switch-Port als Access statt Trunk zur Firewall: dann kommt genau ein VLAN an. Der OPNsense-Port muss tagged sein.
• FritzBox davor? Stört nicht — die VLANs existieren nur hinter der OPNsense; das Transfernetz-Setup bleibt unverändert.

Damit steht die Segmentierung — das größte einzelne Sicherheits-Upgrade, das ein Heimnetz bekommen kann.