pfSense vs. OPNsense: Welche Open-Source-Firewall ist besser?

Wer eine professionelle Firewall für sein Heimnetzwerk oder seine KMU-Infrastruktur sucht, stößt unweigerlich auf pfSense und OPNsense — die zwei dominierenden Open-Source-Firewall-Distributionen, die auf FreeBSD basieren. Beide bieten Enterprise-Firewall-Features kostenlos, beide laufen auf günstiger Hardware oder als VM — aber sie unterscheiden sich in Philosophie, Entwicklungsmodell und Features deutlich.

Was ist pfSense?

pfSense wurde 2004 als Fork von m0n0wall gestartet und ist seit über 20 Jahren die bekannteste Open-Source-Firewall der Welt. Entwickelt von Netgate, gibt es pfSense in zwei Varianten:

  • pfSense CE (Community Edition): Kostenlos, Open Source (Apache 2.0), aber seit 2022 mit eingeschränktem Community-Support
  • pfSense Plus: Kommerzielle Version von Netgate, kostenpflichtig, erweiterte Features

pfSense-Features

  • Stateful Firewall: Vollständige IPv4/IPv6-Firewall mit pfFilter (pf)
  • VPN: OpenVPN, WireGuard, IPsec, L2TP — alle major VPN-Protokolle
  • Traffic Shaping: HFSC, PRIQ, CBQ-Algorithmen für QoS
  • VLAN-Support: IEEE 802.1Q VLAN-Tagging für Netzwerksegmentierung
  • HA/CARP: High Availability mit CARP für Failover-Setups
  • Packages: Squid (Proxy), Snort/Suricata (IDS/IPS), Haproxy, ACME (Let's Encrypt)
  • Dashboard: Klassisches, funktionales Web-Interface

pfSense Installation

# Hardwareanforderungen (minimal)
# CPU: 500 MHz+, RAM: 512 MB+, Storage: 4 GB+
# Empfohlen: 2 GHz Dual-Core, 2 GB RAM, SSD

# pfSense auf Proxmox (VirtIO-Netzwerk)
# 1. ISO von pfsense.org herunterladen (CE)
# 2. VM erstellen: 2 vCPUs, 2 GB RAM, 20 GB Disk
# 3. 2 Netzwerkkarten: WAN (Bridge zu physischem NIC) + LAN
# 4. ISO booten → Installation → Konfiguration

Was ist OPNsense?

OPNsense wurde 2015 als Fork von pfSense gegründet — ursprünglich wegen Unzufriedenheit mit pfSenses Code-Qualität und Governance. Entwickelt von Deciso, ist OPNsense vollständig Open Source (BSD-Lizenz) mit einer aktiveren Community und modernerer Codebasis.

OPNsense-Features

  • Stateful Firewall: pf-basiert, identisch zu pfSense auf Kernel-Ebene
  • VPN: OpenVPN, WireGuard (native, ohne Plugin), IPsec, Tinc
  • Intrusion Detection: Suricata built-in (kein Plugin nötig), ET Open Rules
  • Web Application Firewall: Nginx mit ModSecurity (Plugins)
  • Unbound DNS: Vollständiger DNS-Resolver mit DNSSEC und DoT/DoH
  • Sensei: Optionales Plugin für Layer-7-Inspektion (kostenpflichtig)
  • FreeBSD Rolling Releases: Häufigere Updates als pfSense CE
  • Modernes UI: Responsive, Bootstrap-basiertes Interface

OPNsense Installation

# OPNsense auf Proxmox
# 1. ISO von opnsense.org herunterladen (amd64-dvd)
# 2. VM: 2 vCPUs, 4 GB RAM, 20 GB Disk (mehr RAM empfohlen)
# 3. VirtIO für Netzwerk- und Disk-Controller
# 4. Boot → Login: installer/opnsense → Install (ZFS oder UFS)
# 5. Nach Installation: OPNsense läuft auf 192.168.1.1

Direkter Vergleich: pfSense CE vs. OPNsense

Kriterium pfSense CE OPNsense
Lizenz Apache 2.0 BSD 2-Clause
Update-Frequenz 2-3x/Jahr Alle 2 Wochen
WireGuard Plugin Native
IDS/IPS Snort/Suricata (Plugin) Suricata (Built-in)
UI-Modernität Legacy Bootstrap Modern Bootstrap 5
API Begrenzt (nicht vollständig) Vollständige REST-API
Dokumentation Sehr umfangreich Umfangreich
Community Groß (20+ Jahre) Aktiv und wachsend
Terraform-Provider Netgate-spezifisch Opnsense-Provider (Community)
HAProxy Via Plugin Via Plugin

Security-Updates: OPNsense gewinnt

Der wichtigste Unterschied für sicherheitsbewusste Nutzer: Update-Frequenz.

  • OPNsense veröffentlicht alle 2 Wochen Updates — Sicherheitslücken werden innerhalb von Tagen gepatcht
  • pfSense CE hat seit 2022 deutlich seltener Updates bekommen — Netgate fokussiert sich auf pfSense Plus

Für eine Firewall, die als einzige Barriere zwischen Internet und Heimnetz steht, ist schnelles Patching kritisch. OPNsense hat hier einen klaren Vorteil.

Automation und Infrastructure-as-Code

Für DevOps-orientierte Self-Hoster ist die API-Qualität entscheidend:

OPNsense REST-API:

# OPNsense vollständige REST-API
curl -k -u admin:password \
  https://opnsense.local/api/firewall/alias/addItem \
  -X POST \
  -H 'Content-Type: application/json' \
  -d '{"alias":{"name":"blocked_ips","type":"host","content":"1.2.3.4"}}'

# Terraform-Provider für OPNsense
# github.com/browningluke/terraform-provider-opnsense

pfSense: Keine offizielle vollständige REST-API in CE — Automation läuft meist über SSH + PHP-CLI oder inoffizielle Lösungen.

Hardware-Empfehlungen

Homelab / Heimnetzwerk (bis 1 Gbit/s)

  • Protectli VP2420: 4x Intel i225 2.5G NICs, passive Kühlung, 8 GB RAM — perfekt für pfSense/OPNsense
  • Raspberry Pi 4 (mit USB-NIC): Für sehr kleines Homelab — WireGuard-Performance begrenzt
  • Vorhandener PC/VM: Proxmox mit 2 NICs (PCIe-Passthrough empfohlen)

KMU / High-Performance (10 Gbit/s)

  • Deciso DEC740/DEC750: OPNsense-Hardware von Entwickler selbst, optimiert und unterstützt
  • Netgate 2100/4200: pfSense Plus vorinstalliert, Support inklusive

VPN-Vergleich: WireGuard und OpenVPN

Beide Firewalls unterstützen alle wichtigen VPN-Protokolle:

# OPNsense WireGuard (native, kein Plugin)
# Menü: VPN → WireGuard → Configuration
# Server + Client über GUI konfigurierbar
# Peer-Management mit QR-Code-Export für Mobilgeräte

# pfSense WireGuard (via Package Manager)
# System → Package Manager → WireGuard installieren
# Seit pfSense 2.5.2 offiziell unterstützt

Für WireGuard hat OPNsense den Vorteil der nativen Integration — kein Plugin, kein zusätzlicher Schritt. Für OpenVPN und IPsec sind beide gleichwertig.

Wann pfSense CE die bessere Wahl ist

  • Langjährige pfSense-Nutzer: 20 Jahre Dokumentation, Tutorials und Community-Wissen
  • Snort statt Suricata: Wer speziell Snort für IDS bevorzugt
  • Specific Hardware: Netgate-Appliances mit pfSense Plus
  • Legacy-Umgebungen: Bestehende pfSense-Konfigurationen, die nicht migriert werden sollen

Wann OPNsense die bessere Wahl ist

  • Neue Installationen 2026: OPNsense ist die bessere Wahl für neue Setups
  • Häufige Security-Updates wichtig: OPNsense patcht schneller
  • Automation/API: Vollständige REST-API für Terraform und Ansible
  • WireGuard native: Ohne Plugin-Overhead
  • Moderne UI: Responsive Design für Tablet/Mobile-Zugriff
  • Community-Projekt: 100% Open Source, keine kommerziellen Einschränkungen

Migration von pfSense zu OPNsense

Da beide auf pf basieren, ist eine Migration möglich, aber nicht trivial:

  1. Export: pfSense-Konfiguration als XML exportieren
  2. Konvertierung: Kein offizielles Migrations-Tool — manuelle Übertragung nötig
  3. Parallelbetrieb: OPNsense als VM testen, bevor die Produktion umgestellt wird
  4. Firewall-Regeln: Manuelle Übertragung — Struktur ist ähnlich, aber nicht identisch

Für kleine Setups (Heimnetz, 10–20 Regeln): 2–4 Stunden. Für KMU (100+ Regeln): 1–2 Tage Migrationsaufwand.

Fazit: pfSense oder OPNsense 2026?

Für neue Installationen empfehlen wir OPNsense: schnellere Updates, bessere API, native WireGuard-Integration und ein modernes UI machen es zur besseren Wahl für alle, die 2026 mit einer Open-Source-Firewall starten.

pfSense CE bleibt eine solide Wahl für bestehende Installationen und Nutzer, die das pfSense-Ökosystem gut kennen. Wer jedoch die langfristige Richtung von Netgate (zunehmend kommerziell) beobachtet, sollte OPNsense ernsthaft in Betracht ziehen.

Weiterführende Artikel

Verwandte Technologien im Techradar