OPNsense: Firewall ohne Abo und Hardware-Zwang

Firewalls sind das eine Gerät im Unternehmensnetz, das nie auffallen soll. Und genau deshalb wird über sie selten nachgedacht: Die Appliance steht im Rack, das Abo läuft, alles gut. Bis das Abo ausläuft – oder die Appliance.

Jahrelang haben wir kommerzielle Firewall-Appliances installiert: WatchGuard, Fortinet, SonicWall – und einige dieser Systeme laufen bei Kunden auch heute noch. Was uns über die Jahre zunehmend gestört hat, ist nicht ein einzelner Hersteller, sondern das Geschäftsmodell dahinter: der ständige Hardwaretausch und das Hantieren mit den License Renewals.

Als sich die Frage bei mehr und mehr Kunden stellte – neue Appliance kaufen oder die Firewall-Frage grundsätzlich neu denken? –, haben wir uns für die zweite Antwort entschieden. Heute läuft auf der überwiegenden Mehrzahl unserer Kunden OPNsense. In diesem Beitrag erklären wir, warum – und wie zwei Hamburger Organisationen mit insgesamt 16 Standorten damit vernetzt sind.

Das Geschäftsmodell der commercial Appliances

Nichts von dem, was folgt, ist die Sünde eines bestimmten Herstellers – es ist das Muster, in dem sich die großen kommerziellen Anbieter einig sind:

Der Hardware-Zwang: Appliances laufen irgendwann End-of-Life. Neue Firmware-Generationen laufen auf alter Hardware nicht – es sei denn, man kauft die nächste Box. Eine Firewall, die technisch noch einwandfrei arbeitet, wird allein wegen des Release-Zyklus zum Austauschobjekt.
Der Abo-Stack: Viele der Funktionen, die man im Mittelstand wirklich braucht (Virenschutz, Content-Filter, VPN-Erweiterungen, IDS/IPS), sind an Jahres-Abo-Pakete gebunden – oft als „Security Bundle” vermarktet. Kündigt das Abo, dünnt der Schutz aus. Steigt der Preis beim Renewal, zahlt man oder sucht frustriert neu.
Das Renewal-Karussell: Vertragsende verwalten, Fristen verfolgen, Rechnungsvergleiche anstellen – für etwas, das technisch schlicht funktionieren könnte, ohne dass man darüber nachdenkt.

Für einen IT-Verantwortlichen, der die Firewall im Nebenamt betreut, ist das ein dauerhafter Verwaltungsballast – und für uns als Systemhaus ein regelmäßiger Ärgernis-Generator in der Budgetsaison unserer Kunden.

Was OPNsense ausmacht

OPNsense ist eine Open-Source-Firewall-Plattform, entwickelt von Deciso B.V. aus den Niederlanden – und damit einer der wenigen Full-Stack-Vertreter der europäischen Open-Source-Landschaft. Die Technik:

FreeBSD-Basis mit pf als Paketfilter – stabil, ressourcenschonend, sehr gut dokumentiert
Web-Interface, das alle Kernfunktionen ohne Konsole abdeckt: Interfaces, Firewall-Regeln, NAT, VPN, Reports
VLANs und Segmentierung ohne Zusatzlizenz – der Standard-Weg zu separierten Netzwerken (Gäste, Server, Client-Landschaften)
VPN, nativ integriert: WireGuard und OpenVPN für Homeoffice, IPsec für Standortvernetzung – ganz ohne Add-on
IDS/IPS mit Suricata – Angriffserkennung über regelbasierte und heuristische Scan-Muster
High Availability mit CARP – redundante Firewall-Paare im Aktiv/Passiv-Verbund
Konfigurations-Backup und API – automatisierte Konfigurationssicherung, Integration ins Monitoring

Der wirtschaftliche Kern: Kein Abo ist nötig, um alle Funktionen zu nutzen. Die Plattform ist vollständig Open Source; wer will, kann professionellen Support kaufen (Deciso und Partner wie wir), aber niemand verliert Security-Funktionen, weil ein Abo ausläuft.

Die Hardware ist frei wählbar – vom robusten Mini-PC bis zum 1U-Rackmount. Wir standardisieren auf Hardware, die wir kennen und die sich bewährt hat, statt auf Hersteller-Bindung.

Die ehrlichen Grenzen

Damit Sie wissen, worauf Sie sich einlassen:

Kein „Appliance-Gefühl”: Es gibt kein zentrales Management-Ökosystem mit Cloud-Dashboard, das alles von überall regelt. Für Verwaltung, Monitoring und Backup braucht man Prozesse – oder ein Systemhaus, das sie bereitstellt.
IDS/IPS braucht Tuning: Ein frisch aktiviertes Suricata-Regelwerk produziert auf ungetunten Netzwerken Fehlalarme in Serie. Die Qualität steht und fällt mit der Feineinstellung.
Hardware-Kompatibilität prüfen: FreeBSD ist in der Treiberlandschaft wählerischer als Linux. Nicht jede Netzwerkkarte läuft – wir wählen die Hardware deshalb bewusst aus und testen vorab.
Updates koordinieren: Kern- und Plugin-Updates wollen terminiert werden, idealerweise mit definierten Wartungsfenstern. Ohne Plan wird daraus ein „mal eben”-Risiko.
Support ohne Abo: Wer Deciso keinen Support-Vertrag spendiert, verlässt sich auf Community und seinen Systemhaus-Partner – was mit einem Betreiber, der Dutzende Installationen kennt, ohnehin gut funktioniert.

Zwei Standorte-Fälle aus der Praxis

Die überwiegende Mehrzahl unserer Kunden betreibt OPNsense – vom kleinen Netzwerk bis zu organisationsweiten Multi-Standort-Aufbauten. Zwei Fälle zeigen, was das konkret bedeutet:

Fall 1: Hamburger Verband – MPLS ersetzt, WireGuard für Homeoffice

Den Verband kennen Sie vielleicht schon aus unserem Proxmox-Beitrag – dort haben wir über 40 VMs von VMware befreit. Die Vernetzung war der zweite Baustein:

Ausgangslage: Vier Standorte in Hamburg, über eine Vodafone-MPLS-Anbindung miteinander verbunden – teuer, unflexibel, mit wachsendem Bedarf an Bandbreite.
Umsetzung: Vier OPNsense-Firewalls, die die Standorte über IPsec-Tunnel miteinander verbinden. Die MPLS-Anbindung wurde vollständig ersetzt.
Homeoffice: Per VPN mit WireGuard – schnell aufgebaut, ressourcenschonend, auf Notebook und Smartphone nutzbar.

Das Ergebnis: keine MPLS-Jahresmiete, keine Abo-Erneuerungen, nur die Internetleitungen, die der Kunde ohnehin hat – und die Firewalls, die wir pflegen.

Fall 2: Gemeinnützige Organisation – von der Appliance zu Open Source

Der zweite Fall ist der klassische „Warum haben wir nicht früher gewechselt”-Moment:

Ausgangslage: Eine gemeinnützige Organisation aus Hamburg, 12 Standorte über IPsec vernetzt, Homeoffice-Anbindung über OpenVPN. Die Firewalls: kommerzielle Appliances, mit dem üblichen Zirkus aus License Renewals und drohendem Hardware-EOL.
Umsetzung: Vollständige Umstellung der 12 Standorte auf OPNsense, IPSec-Standortvernetzung inklusive, OpenVPN für Homeoffice in der Architektur abgebildet.
Der Unterschied: Um Welten günstiger – keine laufenden License Renewals, kein drohender Hardware-Zwangskauf, transparente Betriebskosten über unsere Wartung.

Gemeinnützig heißt: Budget ernst nehmen. Jedes eingesparte Renewal ist Geld, das in die eigentliche Arbeit der Organisation fließt statt in eine Appliance-Erneuerung.

So betreiben wir OPNsense bei unseren Kunden

Der Betrieb ist Teil unseres Service-Modells und macht die Plattform für Kunden alltagstauglich:

Icinga-Monitoring der Firewalls – Verfügbarkeit, Tunnel-Zustände, Ressourcen im Blick
Automatisiertes Konfigurations-Backup – jede Änderung dokumentiert, restore-tauglich
Update-Management mit Wartungsfenster – Sicherheitsupdates zeitnah, aber geplant

Für uns als Systemhaus ist das der eigentliche Mehrwert: Der Kunde bekommt moderne Firewall-Funktionen ohne Abo-Zwang, wir bekommen einen Standard, den wir gut kennen und zuverlässig betreiben können.

Wann die bestehende Appliance einfach weiterläuft

Damit die Balance stimmt: Einige wenige Kunden fahren mit ihren kommerziellen Firewalls weiter – schlicht, weil es dort die pragmatische Lösung ist. Ein bestehender Support-Vertrag, der vom Kunden geschätzt wird; ein Netzwerk, das ohne Umbau sicher läuft; oder eine Kosten-Nutzen-Rechnung, die eine Migration aktuell nicht rechtfertigt. Das ist für uns kein Widerspruch – Firewalls sind Werkzeuge, keine Weltanschauung.

Unser Fazit

Zwei Dinge haben sich für uns geändert: Der Wechsel zu OPNsense hat die Betriebskosten und den Verwaltungsaufwand gesenkt – keine License Renewals, kein Hardware-Zwang, volle Funktionalität ohne Abo-Stufen. Und er passt zu allem anderen, was wir bauen: Open Source, auf eigener Hardware, in Europa verwurzelt.

Ihre Firewall-Appliance steht kurz vor dem EOL, oder die Renewals ärgern Sie ebenfalls? Sprechen Sie uns an – wir bewerten Ihre Situation unverbindlich und sagen Ihnen, ob ein Wechsel in Ihrem Fall sinnvoll ist.