pfSense / OPNsense als Firewall – Erstkonfiguration

pfSense und OPNsense sind FreeBSD-basierte, als Open Source kostenlose Firewalls, die fast vollständig per Web-GUI konfiguriert werden. Diese Anleitung führt durch die Erstkonfiguration beider Produkte parallel: Interface-Zuordnung, Setup-Assistent, DHCP, DNS-Resolver, Firewall-Regeln, Port-Forwarding und Grundhärtung.

Voraussetzungen

• pfSense CE oder OPNsense installiert (Appliance, Mini-PC oder VM) mit mindestens zwei Netzwerkkarten (WAN und LAN).
• Client-PC per Kabel am LAN-Port, IP per DHCP.
• Aktueller Webbrowser.
• Konsolenzugang (Monitor/Tastatur, seriell oder VM-Konsole).
• Zugangsdaten des Internetanschlusses, falls WAN nicht per DHCP läuft (z. B. PPPoE).

Hinweis: Ab Werk nutzen beide 192.168.1.0/24 mit Firewall-IP 192.168.1.1. Das kollidiert häufig mit Heim-Routern; planen Sie ggf. ein anderes LAN-Subnetz wie 192.168.10.0/24.

Schritt 1: Interfaces zuordnen (WAN und LAN)

Nach der Installation legen Sie im Konsolen-Menü fest, welche Netzwerkkarte WAN und welche LAN ist; ohne korrekte Zuordnung ist die GUI nicht erreichbar.

Wählen Sie Option 1 (Assign Interfaces). pfSense fragt erst WAN, dann LAN ab:

pfSense Konsole - Option 1: Assign Interfaces
  Should VLANs be set up now? -> n
  Enter the WAN interface name -> vtnet0  (bzw. em0)
  Enter the LAN interface name -> vtnet1  (bzw. em1)
  Do you want to proceed? -> y

OPNsense fragt umgekehrt erst LAN, dann WAN ab:

OPNsense Konsole - Option 1: Assign interfaces
  Configure LAN interface -> em0
  Configure WAN interface -> em1
  bestaetigen

Welche Schnittstelle welcher Name ist (z. B. em0, vtnet0, igb0), zeigt oft der Link-Status beim Einstecken eines Kabels. Option 2 setzt IP-Adressen; Option 3 setzt bei pfSense das webConfigurator-Konto bzw. bei OPNsense das Root-Passwort zurück (nach einem Aussperren).

Verifizieren: Das Konsolen-Menü zeigt oben WAN und LAN mit den gewählten Adaptern; LAN trägt 192.168.1.1, WAN hat bei DHCP-Anschluss eine Adresse vom vorgelagerten Router oder Provider.

Schritt 2: Web-GUI öffnen und einloggen

Der DHCP-Server der Firewall ist ab Werk aktiv und vergibt dem Client eine IP aus 192.168.1.0/24. Öffnen Sie:

https://192.168.1.1

HTTP wird auf HTTPS umgeleitet; die Warnung zum selbstsignierten Zertifikat bestätigen Sie einmalig. Standard-Zugangsdaten:

Produkt	Benutzer	Passwort	Assistent
pfSense CE	admin	pfsense	startet automatisch
OPNsense	root	opnsense	startet automatisch

Der Setup-Assistent startet beim ersten Login. Bei pfSense Plus ab 24.03 ist der Passwortwechsel dabei Pflicht. Ein im OPNsense-Installer gesetztes Root-Passwort gilt statt opnsense. Später finden Sie den OPNsense-Assistenten unter System > Configuration > Wizard.

Verifizieren: Der Client hat per ipconfig (Windows) bzw. ip a (Linux) eine Adresse aus 192.168.1.0/24, und nach der Anmeldung erscheint die erste Seite des Setup-Assistenten.

Schritt 3: Setup-Assistent durchlaufen

Der Ablauf ist bei beiden ähnlich. pfSense:

1. Welcome: Next.
2. General Information: Hostname (z. B. fw01), Domain (z. B. company.home.arpa), DNS-Felder leer lassen für den lokalen Resolver.
3. NTP / Zeitzone: z. B. Europe/Berlin; NTP-Server Standard 2.pfsense.pool.ntp.org.
4. WAN: DHCP (Standard), Static, PPPoE oder PPTP. Block RFC1918 Private Networks und Block Bogon Networks bleiben im Internet-Betrieb aktiv.
5. LAN: Standard 192.168.1.1/24, bei Kollision ändern.
6. Admin-Passwort: starkes Passwort, nicht Default und nicht gleich dem Benutzernamen.
7. Reload: Konfiguration neu laden.

OPNsense analog: General (Hostname, Domain, DNS z. B. 9.9.9.9), Timezone, WAN (DHCP), LAN (192.168.1.1/24), Root-Passwort, Reload.

Wichtig: Hängt Ihre Firewall in einem Testlabor hinter einem anderen NAT-Router mit privater WAN-IP, dann verhindern Block RFC1918 und Block Bogon Networks die WAN-Funktion. Entfernen Sie diese Haken in einem solchen Doppel-NAT-Szenario temporär.

Verifizieren: Nach dem Reload erreichen Sie die GUI unter der gewählten LAN-IP und melden sich mit dem neuen Passwort an. Das Dashboard zeigt Hostname, Domain und für WAN eine gültige IP-Adresse.

Schritt 4: DHCP-Server einrichten

Der DHCP-Server ist auf dem LAN aktiv; legen Sie den Adressbereich bewusst fest. Der alte ISC DHCP ist abgekündigt (End-of-Life). OPNsense nutzt in neuen Installationen Dnsmasq DNS & DHCP (für große Umgebungen Kea), pfSense empfiehlt Kea (umschaltbar unter System > Advanced > Networking).

pfSense:

Services > DHCP Server > Tab LAN
  [x] Enable DHCP server on LAN interface
  Range: 192.168.1.100  -  192.168.1.199
  DNS servers: (leer lassen)
  Save  ->  Apply Changes

OPNsense (Dnsmasq): Services > Dnsmasq DNS & DHCP > DHCP ranges, etwa 192.168.1.100 – 192.168.1.200 mit Gateway 192.168.1.1. Über rund 1000 Clients: Services > Kea DHCP.

Lassen Sie das DNS-Feld leer: Dann verteilt die Firewall ihre eigene IP als DNS-Server, und lokale Hostnamen werden aufgelöst. pfSense-Lease-Zeiten: Standard 7200 Sekunden (2 Stunden), maximal 86400 (1 Tag).

Verifizieren: Ein Client erhält nach ipconfig /renew bzw. Neuverbinden eine Adresse aus dem festgelegten Bereich und die Firewall-IP als Gateway und DNS-Server. Der Client erscheint in der Lease-Übersicht (pfSense Status > DHCP Leases, OPNsense bei Dnsmasq unter Services > Dnsmasq DNS & DHCP > Leases).

Schritt 5: DNS-Resolver (Unbound) prüfen

Beide nutzen Unbound als validierenden, rekursiven, cachenden Resolver, ab Werk aktiv. OPNsense:

Services > Unbound DNS > General
  [x] Enable Unbound

pfSense: Services > DNS Resolver, standardmäßig an. Mit leerem DNS-Feld im DHCP (Schritt 4) lösen die Clients über die Firewall auf.

Verifizieren: nslookup s-edv.com 192.168.1.1 auf dem Client liefert eine IP-Adresse, und als antwortender Server erscheint die Firewall.

Schritt 6: Firewall-Regeln und das Default-Deny-Prinzip

Beide arbeiten nach dem Default-Deny-Prinzip: Am Ende jeder Regelkette verwirft eine implizite Block-Regel alles nicht Erlaubte. Regeln sind stateful und werden top-down nach first-match auf dem Interface ausgewertet, auf dem Pakete eingehen.

Ab Werk gibt es zwei automatische LAN-Regeln:

• Anti-Lockout-Regel: sichert GUI- und SSH-Zugriff aus dem LAN.
• Allow-LAN-to-any-Regel (IPv4 und IPv6): LAN-Clients dürfen sofort ins Internet.

Das WAN hat keine Allow-Regel; unaufgefordert Eingehendes wird geblockt. Neue Regel anlegen:

pfSense:   Firewall > Rules > Tab LAN (bzw. WAN) > Add
OPNsense:  Firewall > Rules > LAN (bzw. WAN) > +  Add
  Action:      Pass / Block / Reject
  Interface:   LAN bzw. WAN
  Protocol:    z. B. TCP
  Source / Destination / Destination Port
  Save  ->  Apply Changes

Die drei Aktionen:

Aktion	Verhalten	Empfehlung
Pass	Paket wird erlaubt.	für gewünschten Verkehr
Block	Paket wird still verworfen, keine Antwort.	für nicht vertrauenswürdige Netze
Reject	Paket wird verworfen, mit Antwort (TCP RST bzw. ICMP unreachable).	für interne Netze, schnelleres Feedback

Der erste Treffer gewinnt: Eine zu weit oben stehende Regel übersteuert spätere, ganz unten greift das Default-Deny.

Verifizieren: In der Regelübersicht des LAN stehen Anti-Lockout- und Allow-LAN-to-any-Regel, auf dem WAN keine Pass-Regel. Ein Client im LAN erreicht Webseiten im Internet, und die Firewall-Logs (pfSense Status > System Logs > Firewall, OPNsense Firewall > Log Files > Live View) zeigen geblockte Zugriffe von außen auf das WAN.

Schritt 7: NAT und Port-Forward einrichten

Für einen aus dem Internet erreichbaren Dienst (z. B. Webserver) brauchen Sie einen Port-Forward und zusätzlich eine Pass-Regel auf dem WAN, denn sonst blockt Default-Deny das gemappte Paket.

Die Option Add associated filter rule erzeugt die Pass-Regel mit. pfSense:

Firewall > NAT > Tab Port Forward > Add
  Interface:              WAN
  Protocol:               TCP
  Destination:            WAN Address
  Destination Port:       443
  Redirect Target IP:     192.168.1.10  (interner Host)
  Redirect Target Port:   443
  Filter rule association: Add associated filter rule
  Save  ->  Apply Changes
# Danach pruefen: Firewall > Rules > WAN  ->  Pass-Regel vorhanden?

OPNsense: Firewall > NAT > Destination NAT (früher Port Forward), mit + anlegen: Interface WAN, Protocol TCP, Destination WAN address, Ziel-Port, Redirect target IP (interner Host) und Redirect target port. Filter rule association auf Pass legt die Freigabe automatisch an. Speichern und Apply.

Verifizieren: Von außen, etwa per Mobilfunk-Hotspot, ist der Dienst unter der WAN-Adresse und dem freigegebenen Port erreichbar; bei pfSense steht die zugehörige Pass-Regel unter Firewall > Rules > WAN.

Schritt 8: Erste Härtung

Grundhärtung:

• Default-Passwort sofort ändern: nie admin/pfsense bzw. root/opnsense belassen, auch nicht im Labor; mindestens 15 Zeichen (NIST SP 800-63B), Passwort-Manager.
• Kein Management vom WAN: keine Allow-Regel auf GUI/SSH im WAN.
• Eigenen Admin-User anlegen: nicht admin bzw. root im Alltag; eigener Benutzer mit minimalen Rechten.
• SSH nur per Key.
• Admin-Zugriff einschränken: nur aus einem Management-Interface oder -VLAN.
• Updates regelmäßig einspielen.

SSH härten Sie bei pfSense unter System > Advanced > Admin Access:

System > Advanced > Admin Access
  [x] Enable Secure Shell
  [x] Disable password login for Secure Shell (RSA/DSA/ECDSA key only)
# Oeffentlichen Schluessel beim User hinterlegen:
#   System > User Manager > (Benutzer bearbeiten) > Authorized SSH Keys

Lassen Sie die Anti-Lockout-Regel zunächst aktiv. Deaktivieren Sie sie nur, wenn vorher eine eigene Admin-Zugriffsregel existiert, sonst sperren Sie sich sofort aus. pfSense: System > Advanced > Admin Access, Disable webConfigurator anti-lockout rule; OPNsense: Firewall > Settings > Advanced, Disable anti-lockout.

Verifizieren: Die Anmeldung mit den Standard-Zugangsdaten schlägt fehl, ssh admin@192.168.1.1 ohne hinterlegten Schlüssel wird abgewiesen, und ein Portscan der WAN-Adresse von außen zeigt weder 443 noch 22 offen.

Typische Fehler

• Subnetz-Kollision: gleiches Subnetz vor und hinter der Firewall (Standard 192.168.1.1/24); LAN z. B. auf 192.168.10.0/24 ändern.
• Block RFC1918 / Bogon im Labor: hinter einem NAT-Router mit privater WAN-IP blockieren diese Haken das WAN; im Lab temporär entfernen.
• Port-Forward ohne Pass-Regel: automatische Filterregel nutzen (pfSense Add associated filter rule, OPNsense Pass) oder Regel manuell anlegen.
• Anti-Lockout voreilig deaktiviert: erst eigene Admin-Zugriffsregel, dann Anti-Lockout aus.
• Default-Credentials belassen: siehe Schritt 8.
• ISC DHCP weiterverwenden: End-of-Life ohne Sicherheitsupdates; OPNsense auf Dnsmasq oder Kea, pfSense auf Kea migrieren.
• Regel-Reihenfolge übersehen: first-match auf dem Eingangs-Interface; Reihenfolge prüfen.
• Falsche DNS im DHCP: feste Fremd-DNS verhindern lokale Namensauflösung; DNS-Feld leer lassen.

Häufige Fragen

Soll ich pfSense oder OPNsense nehmen?

Für die hier beschriebenen Grundfunktionen sind beide gleichwertig. Die Wahl hängt von Plugins, GUI-Vorlieben und Support-Optionen ab.

Warum erreiche ich die Web-GUI nach der Installation nicht?

Prüfen Sie die Interface-Zuordnung (Konsole, Option 1), ob der Client am LAN-Port hängt und eine IP aus 192.168.1.0/24 hat. Dann https://192.168.1.1 aufrufen und die Zertifikatswarnung bestätigen.

Muss ich nach dem Setup-Assistenten noch Regeln für LAN-Internetzugang anlegen?

Nein. Allow-LAN-to-any- und Anti-Lockout-Regel existieren ab Werk (Schritt 6). Eigene Regeln brauchen Sie erst zum Einschränken oder Freigeben.

Mein Port-Forward funktioniert nicht – woran liegt das?

Meist fehlt die Pass-Regel auf dem WAN (Schritt 7). Prüfen Sie sie unter Firewall > Rules > WAN.

Welche DHCP-Backend-Variante soll ich wählen?

Nicht mehr ISC DHCP: OPNsense Dnsmasq (über rund 1000 Clients Kea), pfSense Kea (Schritt 4).

Wie verhindere ich, dass ich mich selbst aussperre?

Zuerst eine eigene Pass-Regel für vertrauenswürdige Admin-Hosts (idealerweise per Alias) anlegen, erst danach die Anti-Lockout-Regel deaktivieren.

Fazit

Interfaces zuordnen, Assistent durchlaufen, DHCP und Unbound prüfen, Regeln nach Default-Deny verstehen, Port-Forwards mit Pass-Regel anlegen: So gehen beide Produkte nach demselben Schema in Betrieb. Für den sicheren Betrieb entscheidend ist die Grundhärtung: Default-Passwort ändern, kein Management vom WAN, SSH per Key, eigene Admin-Konten mit minimalen Rechten, regelmäßige Updates.

Weiterführende Anleitungen und Quellen

• Netze sauber segmentieren als Ergänzung zur Firewall: VLANs verstehen und einen Managed Switch einrichten
• Sicherer Fernzugriff auf das Firmennetz: WireGuard-VPN für Homeoffice und Standortkopplung einrichten
• Grundlagen zur IP-Konfiguration der Clients: Feste IP, Gateway und DNS unter Windows und Linux setzen
• Weitere Anleitungen rund um Netzwerk: Kategorie Netzwerk

Quellen: Offizielle pfSense-Dokumentation von Netgate (Setup Wizard, Default Username and Password, NAT Port Forwards, DHCPv4) sowie die offizielle OPNsense-Dokumentation (Initial Installation & Configuration, Firewall Rules, DHCP mit Dnsmasq/Kea und Unbound DNS), geprüft für Stand 2025/2026.