OPNsense - Tipps zur Installation (2024)

Tipps & Tricks zu OPNsense – Teil 1: Installation So klappt die Installation der Open-Source-Firewall OPNsense

OPNsense gehört zu den bekanntesten, beliebtesten und besten Open-Source-Firewalls. Mit der Sicherheitslösung lassen sich auch größere Netzwerke absichern und kleine Unternehmen profitieren von kostenlosen Funktionen für eine Maximierung der Sicherheit. Im ersten Teil dieser Artikelserie geben wir Tipps zur Installation.

Die Vorteile von OPNsense liegen darin, dass die Open-Source-Firewall trotz kostenloser Bereitstellung locker mit Funktionen großer und teurer Enterprise-Firewalls mithalten kann. Die Verwaltung erfolgt über ein Webinterface. Die Installation ist auf Mini-PCs oder älteren Servern möglich. Die Open-Source-Firewall kann mehrere Netzwerkschnittstellen anbinden, sodass auch eine DMZ kein Problem darstellt. Installation und Einrichtung erfolgen auf Basis eines Assistenten.

OPNsense booten und installieren

Die Installation von OPNsense kann in einer VM erfolgen, aber natürlich auch auf physischer Hardware. Wichtig ist, dass mehrere Netzwerkadapter verbaut sind, und die Möglichkeit das Gerät dauerhaft laufen zu lassen. Dazu ist nicht jede Hardware in der Lage. Nach dem Start in den Bootscreen, erfolgt die Installation über die Auswahl "Boot Multi user". Dananch startet OPNsense. Als Nächstes sollte eine Taste betätigt werden, damit die Zuweisung der Netzwerkadapter manuell erfolgt.

Im Anschluss kann die Konfiguration Link Aggregation Group (LAGs) erfolgen. Das ist bei der Installation und Einrichtung aber nicht notwendig und kann nachträglich erfolgen. Das gleiche gilt für die Konfiguration der VLANs. Auch dieser Bereich muss nicht während der Installation eingerichtet werden.

Danach zeigt OPNsense die Netzwerkadapter an, die das System gefunden hat. Hier lassen sich die Zuordnungen vornehmen, welcher Adapter für das WAN und welcher Adapter für das LAN genutzt werden. Danach blendet OPNsense nochmal die Zuordnung ein und nach der Bestätigung fährt der Start fort. Sobald der Start abgeschlossen ist, steht OPNsense im Login.

Um die eigentliche Installation zu starten, erfolgt die Anmeldung mit dem Benutzer "installer" und dem Kennwort "opnsense". Danach startet der Installationsassistent von OPNsense.

Installation mit Assistenten durchführen

Sobald die Anmeldung mit dem Benutzer "installer" und dem Kennwort "opnsense" erfolgt ist, startet der OPNsense installer. Zunächst wird hier das Tastaturlayout ausgewählt. Danach lässt sich festlegen, ob die Firewall mit dem ZFS-Dateisystem oder mit UFS installiert werden soll. Generell ist ZFS besser geeignet, weil das Dateisystem stabiler ist und auch robuster bei Abstürzen. Im Rahmen der Installation lässt sich auch ein RAID-System für die Installation konfigurieren, wenn mehrere Datenträger im Computer verbaut sind. Nach der Bestätigung des Datenträgers kopiert der Assistent die notwendigen Dateien auf die Firewall. Zum Abschluss lässt sich noch das Kennwort für den Benutzer "root" ändern. Mit diesem Benutzer erfolgt später auch die Anmeldung an der Weboberfläche für die Verwaltung von OPNsense. Ist die Installation abgeschlossen, sollte der Installationsdatenträger aus dem Computer entfernt werden. Nach dem Neustart bootet OPNsense von der Festplatte. und es kann die Einrichtung beginnen.

Grundeinrichtung von OPNsense an der Konsole

Um OPNsense in Betrieb zu nehmen, muss die Firewall mit ihrem installierten Betriebssystem starten. Danach erfolgt die Anmeldung mit dem Benutzer "root" und dem Kennwort, das während der Installation angegeben wurde. Über das Einstellungsmenü sollten zunächst bei "Set interface IP address" die IP-Adressen der LAN- und WAN-Schnittstellen sowie der DMZ angepasst werden. Danach lässt sich der Rest in der Weboberfläche konfigurieren.

OPNsense in der Weboberfläche einrichten

Die Einrichtung von OPNsense erfolgt über die Weboberfläche. Dazu wird einfach die IP-Adresse des Servers im Browser aufgerufen und die Zertifikatewarnung bestätigt. In produktiven Umgebungen macht es Sinn mit einem richtigen Zertifikat zu arbeiten. Nach der Installation startet zunächst der Einrichtungs-Assistent von OPNsense. Mit diesem lassen sich einige grundlegende Einstellungen festlegen, wie der Name der Firewall, die verwendete DNS-Domäne, die Sprache der Benutzeroberfläche, die DNS-Server und die Aktivierung des internen DNS-Servers. Im Anschluss lassen sich Zeitserver und Zeitzone festlegen.

Wenn die IP-Adresse der WAN-Schnittstelle noch nicht konfiguriert ist, kann hier die Anpassung erfolgen. Das geht aber auch jederzeit nachträglich direkt in der Weboberfläche, ohne den Assistenten. Das Gleiche gilt für die nachträgliche Anpassung der Einstellungen für die IP-Adresse des LANs und des Root-Benutzers. Mit "Neu laden" übernimmt der Assistent die Einstellungen der Firewall und es geht an die Einrichtung der Firewall-Regeln.

Erste Schritte mit der Oberfläche in OPNsense: Gateway und Schnittstellen

Nach dem Start der Oberfläche lassen sich über das Menü auf der linken Seite die Einstellungen der Firewall konfigurieren. Über das Dashboard zeigt die Firewall eine Zusammenfassung an. Hier sind Systeminformationen zu sehen, die aktuelle Auslastung, der Status der aktivierten Dienste und die Version. Bei "Aktualisierungen" lassen sich Updates für die Firewall online installieren.

Über den Menüpunkt "System -> Gateways -> Einzeln" lassen sich Upstream-Gateways definieren, wenn die Firewall nicht direkt die Internetverbindung aufbaut, sondern einen Router nutzt. An dieser Stelle lassen sich die IP-Adresse und weitere Einstellungen für das Gateway definieren. Wichtig ist an dieser Stelle, dass als Status "Online" zu sehen ist.

Bei "Schnittstellen" sind die verschiedenen Netzwerkschnittstellen von OPNsense zu finden. Hier sollte überprüft werden, ob für alle Schnittstellen die Einstellungen und IP-Adressen korrekt gesetzt sind. Zu Beginn ist das vor allem für LAN und WAN wichtig, später auch für DMZ und andere Schnittstellen, wie OpenVPN oder WireGuard.

Firewall-Regeln definieren

Wenn es bei OPNsense keine Regel für das Erlauben eines bestimmten Netzwerkverkehrs gibt, dann protokolliert die Firewall den Zugriff automatisch. Nach dem Verbinden mit dem Internet ist die Firewall daher zunächst sicher. Um die Firewall noch sicherer zu machen, ist es sinnvoll mit Blockierlisten und Geo-IP-Filtern zu arbeiten. Die Einstellungen dazu haben wir im Beitrag „Geo-IP-Filter und Blockierlisten für Firewalls“ am Beispiel der OPNsense-Firewall gezeigt. Für die Maximierung der Sicherheit, ist es sehr empfehlenswert sich mit diesem Thema so schnell wie möglich auseinanderzusetzen, um Angreifer effektiv zu blockieren, bevor eine Firewall überhaupt erst tätig werden muss.

Über den Menüpunkt "Firewall -> Regeln" erfolgt die Definition von Verbindungsregeln. Nur durch Regeln erlaubte Verbindungen lässt OPNsense zu, aller anderen Verbindungen blockiert die Firewall. Besonders wichtig sind natürlich die Regeln zum WAN. Hier lassen sich über das Plus-Zeichen oben rechts neue Regeln erstellen, wie bei anderen Firewalls auch. Setzen die Regeln auf bestimmte Aliase, zum Beispiel Ports oder Filterlisten, dann müssen diese zuvor bei "Firewall -> Aliase" angelegt werden.

OPNsense wendet die Regeln auf Basis der Reihenfolge an, in der diese bei "Firewall -> Regeln -> <Schnittstelle>" angeordnet sind. Blockier-Regeln sollten daher zu Beginn angeordnet werden. Das geht über die Icons oben rechts. Regeln müssen immer zuerst gespeichert und danach in die Konfiguration übernommen werden. Dazu blendet die Weboberfläche die entsprechenden Schaltflächen ein.

Firewall überwachen

Bei "Firewall -> Protokolldateien -> Liveansicht" ist der Echtzeitbetrieb der Firewall zu erkennen. Dadurch lassen sich jederzeit Regeln überprüfen oder auch Angriffe analysieren.

Über diese Artikelserie

OPNsense gehört zu den bekanntesten, beliebtesten und besten Open-Source-Firewalls. Im Rahmen dieser Serie geben wir Tipps & Tricks zu den Themen Installation, IP-Filterlisten, Updates und Überwachung, sowie VPN-Nutzung.

(ID:49639645)