OPNsense

Entstehung und Beteiligte

OPNsense wurde 2014 vom niederländischen Unternehmen Deciso als Fork von pfSense gestartet; Version 15.1 erschien im Januar 2015. Die technische Ahnenlinie reicht über m0n0wall und pfSense zu FreeBSD, pf und weiteren BSD-Netzwerkkomponenten.

Welches Problem sollte gelöst werden?

Das Projekt wollte eine offene Firewallplattform mit regelmäßigem Releasezyklus, moderner Oberfläche und klarer Erweiterbarkeit schaffen. Anwender sollten Routing, VPN, Filterung und Zusatzdienste auf Standardhardware betreiben können.

Technische Hürden und Lösungen

Eine Firewall muss Updates liefern, ohne Regeln, Interfaces oder Hochverfügbarkeit zu brechen. FreeBSD-Treiber, Paketfilter, Plugins und Webkonfiguration müssen zusammenpassen. Zusätzliche Dienste vergrößern die Angriffsfläche.

Standardisierung und Einordnung

Infrastruktursoftware verbindet freie Basiskomponenten mit Installation, Verwaltung, Updates und Support. Hinter einem Produktnamen stehen meist zahlreiche Projekte, Firmen und Communitys. Für den produktiven Einsatz zählen deshalb nicht nur Funktionen, sondern Herkunft, Lizenz, Releasepolitik, Upgradepfad, Sicherheitsmeldungen und die Möglichkeit, Daten auch ohne den ursprünglichen Anbieter wiederherzustellen.

Technik im praktischen Betrieb

Für den Betrieb zählt neben dem Funktionsumfang die vollständige Lebenszykluskette. Dazu gehören unterstützte Version, Updatequelle, Signaturen, Konfigurationssicherung, Exportmöglichkeiten und ein getesteter Wiederaufbau auf neuer Hardware. Herstelleroberflächen erleichtern Routine, können aber technische Abhängigkeiten verdecken. Vor großen Updates sind Release Notes, bekannte Einschränkungen, freier Speicher und kompatible Gegenstellen zu prüfen. Eine dokumentierte Notfallanmeldung und unabhängige Sicherung verhindern, dass die Managementplattform selbst zum einzigen Zugangspunkt wird.

Warum das Thema heute noch relevant ist

Produkte und Projekte verändern Eigentümer, Namen und technische Grundlagen. Wer nur die heutige Oberfläche betrachtet, übersieht oft, welche Komponenten darunter arbeiten und welche Organisation Updates tatsächlich liefert. Die Entstehungsgeschichte erklärt Lizenzentscheidungen, Forks und Kompatibilitätsversprechen. Für eine langfristige Auswahl sind offene Exportformate, dokumentierte Schnittstellen, aktive Community, veröffentlichte Sicherheitsmeldungen und ein realistischer Migrationsweg wichtiger als eine einzelne besonders bequeme Funktion.

Daten und Meilensteine

• 2014 wird der Fork angekündigt, 2015 erscheint die erste Version.
• OPNsense basiert auf FreeBSD.
• pf übernimmt zentrale Paketfilteraufgaben.
• Das Projekt veröffentlicht zwei große Versionen pro Jahr mit regelmäßigen Updates.

Mehr als Paketfilterung

Eine OPNsense-Installation kann WAN-Verbindungen terminieren, Netze routen, DHCP und DNS bereitstellen sowie Firewall-Regeln zwischen VLANs durchsetzen. Zusätzlich stehen VPN-Verfahren, Multi-WAN, Captive Portal, Traffic Shaping und optionale IDS/IPS-Funktionen zur Verfügung.

Regeln nachvollziehbar aufbauen

Firewall-Regeln werden an Interfaces aus Sicht des eingehenden Datenverkehrs ausgewertet. Ein wartbares Regelwerk beginnt mit klaren Netzsegmenten, sprechenden Aliasen und dokumentierten Freigaben. Breite Any-to-Any-Regeln lösen kurzfristig Probleme, heben aber die Trennung zwischen Büro, Servern, Gästen und IoT wieder auf.

Betrieb und Absicherung

Konfigurationssicherungen, zeitnahe Updates und ein geschützter Administrationszugang sind Pflicht. Fernzugriff sollte über VPN statt über eine offen erreichbare Weboberfläche erfolgen. Hochverfügbarkeit benötigt zwei Systeme, synchronisierte Zustände und ein dazu passendes Anschluss- und Switching-Konzept.