OPNsense

Das neue OPNsense 25.1 Design und Dashboard zeigt alle wichtigen Status-Informationen und dient als Ausgangspunkt zur weiteren Firewall Konfiguration.

OPNsense ist eine Open Source Firewall Distribution, die auf dem FreeBSD Betriebssystem und dessen Paketfilter pf basiert. Zum Einsatz als Firewall, DHCP-Server, DNS-Server oder VPN kann es sowohl auf einem physischem Server als auch in einer virtuellen Maschine installiert werden. OPNsense wurde 2015 als Fork (Abspaltung) von pfSense gestartet, welches 2004 als Fork von m0n0wall begann. OPNsense enthält nun jedoch nur mehr rund 10% des PfSense Codes, es kann also als eine neue Sicherheitsplattform angesehen werden.

Versionen

Hier geht es zu unseren OPNSense Firewalls im Onlineshop von Thomas-Krenn

Die folgende Tabelle zeigt im Überblick die bisherigen OPNsense Versionen:

Version	FreeBSD Basis	Releasemeldung	Wichtige Neuerungen (auszugsweise)	Weitere Informationen
OPNsense 26.1 (aktuelle Stable-Version)	FreeBSD 14.3-RELEASE-p1	26.1	FreeBSD 14.3-RELEASE-p7 Now almost a full firewall MVC/API experience Suricata version 8 with inline inspection mode using "divert" Unbound blocklist source selection Automatic host discovery service
OPNsense 25.7	FreeBSD 14.3-RELEASE-p1	25.7	FreeBSD 14.3-RELEASE-p1 Replace general setup wizard Switch to reusable frontend code ChartJS 4 (upgrade) Usermanager csv export and import option Optional "strict" security mode for webui (no root mode) JSON container for alias imports Firewall automation revamp Move OpenVPN legacy to plugins as a first step to deprecation Move IPsec legacy to plugins as a first step to deprecation Migrate IPsec mobile page to MVC
OPNsense 25.1	FreeBSD 14.2-RELEASE	25.1	FreeBSD 14.2-RELEASE PHP 8.3 Zahlreiche Umwandlungen in MVC/API system: migrate user, group and privilege management to MVC/API system: migrate HA status page to MVC/API system: migrate tunables page to MVC/API Verbesserter Support von Security Zonen ZFS Snapshot Support Ein neues User Interface (mit hellem und dunklem Design) Wichtiger Hinweis: PPP-Geräte finden Sie nun unter Interfaces → Devices → Point-to-Point.
OPNsense 24.7	FreeBSD 14.1-RELEASE-p2	24.7	FreeBSD 14.1-RELEASE-p2 Python 3.11 New dashboard System trust MVC/API support GRE and GIF MVC/API support NAT 1-to-1 MVC/API support WireGuard QR code generator Dynamic IPsec VTI tunnel support Experimental OpenVPN DCO support
OPNsense 24.1	FreeBSD 13.2-RELEASE-p9	24.1	Ports-based OpenSSL 3 Suricata 7 Several MVC/API conversions New neighbor configuration feature for ARP/NDP Core inclusion of the os-firewall and os-wireguard plugins CARP VHID tracking for OpenVPN and WireGuard Functional Kea DHCPv4 server with HA support
OPNsense 23.7	FreeBSD 13.2-RELEASE-p1	23.7	FreeBSD 13.2-RELEASE-p1 PHP 8.2 OpenVPN "instances" configuration option OpenVPN group alias support deferred authentication for OpenVPN	Meldung zum 23.7 Release (heise.de)
OPNsense 23.1	FreeBSD 13.1-RELEASE-p5	23.1	Unbound DNS statistics Improved WAN SLAAC operability Firewall alias BGP ASN type support PHP 8.1 FreeBSD networking updates WireGuard kernel module plugin Wichtiger Hinweis: Im Webinterface unter System -> Firmware, dann Reiter Settings gab es in der Zeile Flavour bisher die Auswahl zwischen OpenSSL und LibreSSL. Mit 23.1 wurde LibreSSL entfernt. Sie müssen für ein Upgrade auf 23.1 zu OpenSSL zurückwechseln, falls Sie bisher LibreSSL verwendet haben.
OPNsense 22.7	FreeBSD 13.1-RELEASE	22.7	Upgrade to FreeBSD 13.1-RELEASE PHP 8.0 Phalcon 5 stacked VLAN support Intel QuickAssist (QAT) support DDoS protection using SYN cookies MVC/API pages for IPsec status Unbound overrides new APCUPSD and CrowdSec plugins
OPNsense 22.1	FreeBSD 13-STABLE	22.1	Upgrade to FreeBSD 13 Improved visibility and flexibility of tunables Circular logging support removed Insecure IPsec hash and cipher removed Migrated to LUA boot loader Realtek vendor driver moved to os-realtek-re plugin	Meldung zum 22.1 Release (heise.de)
OPNsense 21.7	FreeBSD 12.1 (HardenedBSD)	21.7	Last release on HardenedBSD 12.1 The installer was replaced to offer native ZFS installations and prevent glitches in virtual machines using UEFI. Firmware updates partially redesigned UI layout consolidated between static and MVC pages. The live log now contains the actual rule ID to avoid mismatches after adjusting your ruleset and the firewall aliases now also support wildcard netmasks.	Meldung zum 21.7 Release (heise.de) Meldung zum 21.7 Release (phoronix.com)
OPNsense 21.1	FreeBSD 12.1 (HardenedBSD)	21.1	New and improved are the firewall rules and NAT categories Traffic graphs support IPv6 Intrusion detection rule management by policies Alias for MAC addresses and NAT over IPsec Serial image now supports UEFI Dnsmasq has been switched to a pluggable file-based approach	Meldung zum 21.1 Release (phoronix.com)
OPNsense 20.7	FreeBSD 12.1 (HardenedBSD)	20.7	HardenedBSD 12.1 Traffic shaper statistics API and GUI page Firewall API plugin Missing plugin GUI install/dismiss feature Suricata 5 and optimized ET Pro Telemetry rules plugin Images are amd64 only as we jump the major OS version and leave i386 behind Nano images probably have a defunct growfs feature, but already fixed on master	Meldung zum 20.7 Release (phoronix.com)
OPNsense 20.1	FreeBSD 11.2 (HardenedBSD)	20.1	VXLAN device support Captive portal performance improvements Logging frontend migrated to MVC / API IPsec public key authentication support Elliptic curve TLS certificate creation CARP service demotion hook Loopback device support Python 3.7 is now the default Python version	Meldung zum 20.1 Release (phoronix.com)
OPNsense 19.7	FreeBSD 11.2 (HardenedBSD)	19.7	Wireguard VPN support (os-wireguard plugin) Remote logging via Syslog-ng Route-based IPsec support Ability to view automatic firewall rules Default gateway priority switching feature	Meldung zum 19.7 Release (pro-linux.de)
OPNsense 19.1	FreeBSD 11.2 (HardenedBSD)	19.1	Fully functional firewall alias API Migration to HardenedBSD 11.2 2FA support with a remote LDAP / local TOTP combination OpenVPN client export rewritten for full API support Realtek NIC driver version 1.95	Meldung zum 19.1 Release (pro-linux.de)
OPNsense 18.7	FreeBSD 11.1	18.7	Improved default route handling and gateway switching OpenVPN default setup improvements for IPv6 and RADIUS attribute support Monit core integration Pluggable backup framework with new Nextcloud option Firmware GUI speedup ZFS on root boot support Backports of FreeBSD 11.2 Intel NIC drivers (ixl version 1.9.9-k) Language updates	Meldung zum 18.7 Release (pro-linux.de)
OPNsense 18.1	FreeBSD 11.1	18.1	UTM plugins: antivirus, antispam, mail, web proxy extensions Portable NAT before IPsec support UI layout improvements and consolidation	Meldung zum 18.1 Release (pro-linux.de)
OPNsense 17.7	FreeBSD 11.0	17.7	SafeStack application hardening Quagga plugin with broad routing protocol support Unbound resolver as the new default	Meldung zum 17.7 Release (pro-linux.de)
OPNsense 17.1	FreeBSD 11.0	17.1	PHP7 SSH Installer Lets Encrypt plugin HardenedBSD's SEGVGUARD	Meldung zum 17.1 Release (heise.de)
OPNsense 16.7	FreeBSD 10.3	16.7	Pluggable service infrastructure Two factor authentication using RFC 6238 HardenedBSD's ASLR implementation	Meldung zum 16.7 Release (heise.de)
OPNsense 16.1	FreeBSD 10.2	16.1	Plugin support Menu/navigation restructuring
OPNsense 15.7	FreeBSD 10.1	15.7	Support both OpenSSL and LibreSSL Code refactoring
OPNsense 15.1	FreeBSD 10.0	15.1	Feature enhancements Code cleanup

Für Informationen zu künftigen Versionen ist eine detaillierte Roadmap abrufbar.

Business Edition

Die OPNsense Business Edition bietet einige Zusatzfunktionen. Die jeweiligen Versionen der Business Edition basieren auf folgenden OPNsense Versionen:

Version	OPNsense Basis	FreeBSD Basis
OPNsense 25.10	OPNsense 25.7.8	FreeBSD 14.3
OPNsense 25.4	OPNsense 25.1.4	FreeBSD 14.2
OPNsense 24.10	OPNsense 24.7.6	FreeBSD 14.1
OPNsense 24.4	OPNsense 24.1.6	FreeBSD 13.2
OPNsense 23.10	OPNsense 23.7.6	FreeBSD 13.2
OPNsense 23.4	OPNsense 23.1.5	FreeBSD 13.1
OPNsense 22.10	OPNsense 22.7.6	FreeBSD 13.1
OPNsense 22.4	OPNsense 22.1.4	FreeBSD 13
OPNsense 21.10	OPNsense 21.7.3	FreeBSD 12.1 (HardenedBSD)
OPNsense 21.4	OPNsense 21.1.4	FreeBSD 12.1 (HardenedBSD)

Download und Installation

Informationen zum Download und der Installation finden Sie im Artikel OPNsense installieren.

Weitere Informationen

• OPNsense documentation (docs.opnsense.org)
• OPNsense (de.wikipedia.org)
• End of the m0n0wall project - check out OPNsense (m0n0.ch)
• Exchange 2016: OPNsense, HAProxy und Let’s Encrypt (www.frankysweb.de, 10.04.2017)

Autor: Werner Fischer Werner Fischer arbeitet im Product Management Team von Thomas-Krenn. Er evaluiert dabei neueste Technologien und teilt sein Wissen in Fachartikeln, bei Konferenzen und im Thomas-Krenn Wiki. Bereits 2005 - ein Jahr nach seinem Abschluss des Studiums zu Computer- und Mediensicherheit an der FH Hagenberg - heuerte er beim bayerischen Server-Hersteller an. Als Öffi-Fan nutzt er gerne Bus & Bahn und genießt seinen morgendlichen Spaziergang ins Büro.