Ersetze den Internet-Router

Ersetze den Internet-Router

Mai 21, 2026 | OPNsense, Tips und Tricks

Ich wollte meinen heimischen Internet-Router loswerden. Nicht, weil der schlecht oder bekannt für Schwachstellen wäre: Es war mehr dem "ich will das jetzt wissen, wie es geht" geschuldet. Und was soll ich sagen? Es fühlt sich gut an 🙂

Ich habe auf meinem Router so ziemlich alle Funktionen genutzt: Einwahl ins Glasfaser-Internet, die NAS zur Datenablage sowie die Telefonanlage für die Telefone im Haus. Einen Vorteil hatte ich sicherlich: Hier läuft bereits ein kleiner Home-Server mit Virtualisierung, eine geeignete Hardware für die Firewall war bereits vorhanden. Und was habe ich konkret gemacht?

💡 Das Routing sowie die Einwahl ins Internet mach jetzt eine OPNsense Firewall.

💡 Die NAS-Funktionalität wurde durch openmediavault ersetzt.

💡 Für die Telefonie verwende ich eine IPTAM Telefonanlage.

OPNsense und openmediavault sind Open Source und frei verfügbar, die IPTAM Telefonanlage kann für 5 Benutzer kostenfrei eingesetzt werden.

Welche Mehrwerte habe ich dadurch?

🎯 Statt eines einfachen Internet-Routers habe ich jetzt eine vollwertige Firewall mit den kompletten Schutzmechanismen, welche diese bietet.

🎯 Die NAS ist viel flexibler einstellbar als die integrierte Lösung im Router. Dazu hat sie einen deutlich größeren Funktionsumfang, welcher uns zusätzliche Möglichkeiten eröffnet.

🎯 Ebenso die Telefonanlage: Dank der IPTAM haben wir neue Möglichkeiten, welche vorher undenkbar waren.

Wir sind mit der Lösung super zufrieden. Der Internet-Router war sicherlich gut, gar kein Thema. Nur haben wir jetzt viel mehr Möglichkeiten als vorher und alles wirkt einfach, professioneller und sicherer.

Lasst und das Ganze mal aus einem anderen Blickwinkel betrachten: Bisher war ich auf meinen Internet-Router angewiesen - von dieser Abhängigkeit habe ich mich gelöst. Meine Erfahrung zeigt, dass viele Personen oder sogar Firmen, sich über diese Abhängigkeiten gar nicht bewusst sind. Oder die Abhängigkeit hinnehmen, da sie vordergründig Alternativen übersehen. Dabei gibt es, wenn man mal etwas genauer hinschaut, oftmals wirklich gute und funktionierende Lösungen.

Welches System würdest Du gerne ablösen?

PS: Die KI meinte, dass ich wie auf dem angefügten Bild ausgesehen haben muss. Und, dass jeder natürlich unbedingt im Privathaushalt einen 19" Serverschrank braucht 😉

VPN aber richtig

VPN aber richtig

Mai 19, 2026 | Tips und Tricks, VPN

Sehr oft sehe ich Fälle wie diese: fürs VPN gibt es lediglich eine Firewall-Regel, welche alles erlaubt. Beim WAN hingegen ist alles ausgeklügelt bis ins letzte Detail. VPN sei ja schließlich sicher. Ja, ist es - bei der Übertragung. Das ist allerdings keine Aussage über die Verbindung. VPN verschlüsselt nur, hat allerdings keine Zugriffspolitik. Die Firewall muss festlegen, welcher VPN-Client wohin darf.

👉 Sollte es jemand schaffen, einen VPN-Zugang zu kompromittieren, kann er sich frei und uneingeschränkt in Deinem Netz bewegen.

👉 Über infizierte Endgeräte kann sich Ransomware ungehindert verbreiten.

👉 Wenn man schon einmal im Netz drin ist, lassen sich bekannte CVEs viel leichter ausnutzen. Man erreicht Systeme, welche vorher unerreichbar waren.

Bei eigenen Mitarbeiter bzw. Kollegen hat man die Endpunktkontrolle selbst in der Hand - aber bei Verbindungen zu Geschäftspartnern nicht. Warum glaubst Du, dass dort nicht ebenfalls mal Fehler passieren können?

🎯 Ein VPN ohne restriktive Firewall-Regeln ist kein sicherer Fernzugriff, es ist ein direkter Eintrittspunkt in Dein LAN.

Wieder sind es die üblichen Punkte, welche Dein VPN sicherer machen:

🛡️ Segmentierte Netze trennen Systeme und ermöglichen Filterung.

🛡️ Least-Privilege-Regeln damit wirklich nur das erreicht werden kann, was wirklich benötigt wird.

🛡️ MFA und starke Authentifizierung um die Kompromittierung des VPNs zu erschweren.

🛡️ Monitoring und Logging damit Du stets den Überblick behältst.

Wie sicherst Du Deine VPN-Verbindungen?

Sichere VPN‑Firewall‑Regeln sind kein technisches Detail, sondern ein Risikofaktor für das gesamte Unternehmen. VPN verschlüsselt nur den Transport – nicht den Zugriff. Segmentierung und restriktive VPN‑Policies sind heute Pflicht, nicht Kür.

Steffen Schoch
dsb IT-Services GmbH
OPNsense pfStates

OPNsense pfStates

Mai 4, 2026 | OPNsense, Tips und Tricks

Viele Admins überwachen bei ihren Firewalls CPU, RAM, Traffic - und übersehen den wichtigsten Frühindikator für Firewall-Stabilität, nämlich die Anzahl der gerade aktiven Verbindungen. Das sind die pfStates.

👉 Sobald die State-Table voll ist, werden neue Verbindungen sofort verworfen. Es gibt kein "es wird langsam", das führt zu sofortigem Stillstand.

👉 VPN, Webanwendungen, einfach alles: Die Stabilität hängt unmittelbar an der State-Table.

👉 Jeder State benötigt Ressourcen und hat somit direkten Einfluss auf die Performance der Firewall.

👉 Ein sprunghafter Anstieg weist oft auf DDoS, Botnetze, Routing Loops oder fehlerhafte Dienste hin.

Wer OPNsense produktiv betreibt, sollte die pfStates immer im Monitoring haben. Sie zeigen viel schneller als jede Logdatei, wie gesund Deine Firewall wirklich ist.

Und was überwachst Du bei Deiner Firewall?

WireGuard via AVM Fritz!Box

WireGuard via AVM Fritz!Box

Okt. 31, 2023 | Allgemein, OPNsense, Tips und Tricks, VPN, WireGuard

AVM

Internet in Deutschland ohne AVM Fritz!Box gibt es eigentlich nicht. Unserer Meinung nach völlig zu Recht handelt es sich bei den Routern der Berliner AVM um sehr beliebte Router im privaten Umfeld. Von daher ist es alles andere als verwunderlich, dass man diese Router oftmals im geschäftlichen Umfeld ebenfalls antrifft.

Viele Administratoren betrachten allerdings die Fähigkeiten einer Fritz!Box bei IpSec VPN als eher eingeschränkt. Mit WireGuard hat nun allerdings eine neue, weitere VPN Technik zuletzt in einigen Fritz!Box Modellen Einzug gehalten. Und die funktioniert selbst bei Site-to-Site wunderbar.

 

Eine Verbindung per VPN ist dank WireGuard zwischen einer Fritz!Box und einer OPNsense Firewall nun kein Problem mehr. Eingerichtet wird dies auf Seiten von der Fritz!Box genauso wie in OPNsense so wie in der jeweiligen Dokumentation beschrieben (Links Stand Oktober 2023):

https://avm.de/service/vpn/wireguard-vpn-zur-fritzbox-am-computer-einrichten/dok2/3687_WireGuard-VPN-zwischen-FRITZ-Box-und-anderem-Router-einrichten/

https://docs.opnsense.org/manual/how-tos/wireguard-s2s.html

Der Vollständigkeit wegen noch der Link zu WireGuard allgemein - falls unbekannt:

https://www.wireguard.com/

Fritz!Box

Allerdings gibt es eine Besonderheit auf Seiten der Fritz!Box. Wie in deren Dokumentation zu lesen ist, benötigt die Fritz!Box keine IP-Adresse in einem Transfernetz. Anstatt eines Transfernetzes trägt man an dieser Stelle die interne IP der Fritz!Box mit der zugehörigen Maske ein. Für OPNsense bedeutet dies im Umkehrschluss, dass die Tunnel-Adresse bei der Instanz leer gelassen werden kann. Diese ist, aufgrund des fehlenden Transportnetzes, unnötig. Der Rest wird so eingerichtet, wie dies bei WireGuard üblicherweise gemacht wird.

Zusammengefasst kann man sagen, dass WireGuard und Fritz!Box zusammen wunderbar funktionieren. Eine stabile Verbindung zu einer OPNsense Firewall ist somit in wenigen Minuten eingerichtet. Auch in dieser Kombination spielt WireGuard seine Vorteile wie einfache, schnelle aber sichere Konfiguration selbst bei wechselnden öffentlichen IP-Adressen vollends aus.

 

Quellen zu Bildern von Dritten

Sinnvolles „allow any“

Sinnvolles „allow any“

Okt. 25, 2023 | Allgemein, OPNsense, Tips und Tricks

Sofern ich einen eigenen E-Mail-Server betreibe, habe ich in meiner Firewall eine Regel stehen, die besagt, dass jeder da draußen an meinen E-Mail-Server eine Mail senden darf. Aber nur E-Mail. Das ist ja schließlich kein Webserver und auch kein Datenbankserver. So sind Firewallregeln nun mal, dies ist so allgemein üblich.

Aber warum eigentlich? Wirklich „jeder“ darf an mich E-Mails senden? Und das „jeder“ kann an vielen Stellen hinterfragt werden: Man betreibt einen Webshop ausschließlich für den deutschsprachigen oder vielleicht sogar den europäischen Markt. Warum sollte jemand am anderen Ende der Welt diesen Shop besuchen wollen? Und selbst wenn man für die zu betrachtende Webanwendung keine solchen Einschränkungen treffen kann, dann sollte man trotzdem „jeder“ kritisch hinterfragen.

Zum einen sollte man den Bereich der „Bogon“ Adressen ausschließen. Das sind Adressen, die im Internet an niemanden vergeben wurden und welche für Firewalls häufig um die Bereiche erweitert wurden, welche im Internet erst gar nicht vorkommen können. Neben den privaten A/B/C-Netzen gibt es da noch einiges mehr.

Ebenso gibt es DROP bzw. EDROP-Listen. Das sind IP-Adressen von gekaperten Netzbereichen, professionellen Spammern, Cybercrime-Organisationen usw. EDROP erweitert diese Liste um die noch freien IP-Bereiche. Also ein zusätzlicher Schutz – freie IPs könnten bereits von Dritten gekapert worden sein.

Das ist der Mindestschutz, den eine Firewall bei eingehenden Verbindungen bieten sollte. Was ist, falls man jetzt, wie oben bei einem Webservice gezeigt, den Besucherkreis noch weiter einschränken kann, zum Beispiel auf Deutschland? Selbst das kann eine moderne Firewall filtern: IP-Adress-Bereiche sind an Länder vergeben worden. Dank GeoIP kann eine Firewall nach diesen Länderlisten filtern und entsprechend den Zugang gewähren oder eben verweigern.

Das waren jetzt mal ein paar grundlegende Möglichkeiten, die man hat um „jeder“ zu optimieren. Hier ist noch viel mehr möglich als dieser kurze Artikel im Detail zeigen könnte.

Zusammengefasst: Bei eingehenden Verbindungen von extern sollte man wirklich einen kurzen Moment innehalten und überlegen, ob das wirklich „jeder“ heißen muss. Selbst falls keine Beschränkung via GeoIP möglich sein sollte, so kann man das direkt offensichtliche mit Bogon sowie DROP und EDROP sperren. Für mehr Schutz ihrer Webservices.

Nehmen Sie einfach unverbindlich Kontakt zu uns auf bei Fragen wie man dies mit einer OPNsense Firewall in wenigen Minuten wirkungsvoll umsetzen kann. Und was davon kann Ihre Firewall?

Quellen zu Bildern von Dritten