OPNsense vs. Fortinet & Cisco: Open-Source Next-Generation Firewalls (NGFW)

Die Perimeter- und internen Segmentierungs-Firewalls bilden das Rückgrat der Netzwerksicherheit in jedem Rechenzentrum und jeder Unternehmensniederlassung. Über Jahrzehnte hinweg galt im Enterprise-Umfeld der Grundsatz, dass an dieser Stelle ausschließlich proprietäre Hardware-Boxen von Herstellern wie Fortinet, Cisco, Palo Alto Networks oder Check Point eingesetzt werden dürfen.

In den letzten Jahren hat dieses Vertrauen jedoch gleich aus zwei Richtungen tiefe Risse bekommen: Zum einen sorgten wiederkehrende Serien kritischer, aus der Ferne ausnutzbarer Sicherheitslücken (CVEs) in den proprietären SSL-VPN- und Management-Oberflächen großer Firewall-Hersteller für weltweite Sicherheitsvorfälle. Zum anderen übersteigen die jährlichen Lizenzverlängerungen für Unified Threat Management (UTM) nach drei Jahren häufig den ursprünglichen Anschaffungspreis der gesamten Hardware.

Mit OPNsense (entwickelt vom niederländischen Unternehmen Deciso auf Basis von FreeBSD und dem bewährten pf-Paketfilter von OpenBSD) steht eine europäische Open-Source-Plattform zur Verfügung, die klassisches Enterprise-Routing, VLAN-Mikrosegmentierung, SD-WAN und moderne Next-Generation-Firewall-Inspektion ohne Lizenzfesseln vereint.

NGFW-Architektur im Detail: Paketfilter, Suricata IPS, DNS und TLS-Terminierung

Ein häufiges Vorurteil lautet, Open-Source-Firewalls seien reine Port-Filter der ersten Generation (Layer 3/4) und könnten mit der tiefen Paketinspektion kommerzieller Next-Generation Firewalls (NGFW) nicht mithalten. In einer zeitgemäß konfigurierten OPNsense-Architektur greifen jedoch vier spezialisierte Sicherheits-Engines ineinander:

• Zustandsbehafteter pf-Paketfilter und VLAN-Mikrosegmentierung: Trennung von Serverzonen, Büro-Clients, IoT-Geräten, Netzwerk-Sandboxes und Gastnetzen mit extrem niedrigem Ressourcenverbrauch und direkter 10/25/100-GbE-Netzwerkkarten-Unterstützung.
• Intrusion Detection und Prevention (IDS/IPS) mit Suricata: Multi-Threaded Deep Packet Inspection im Inline-Netmap-Modus prüft den Datenverkehr in Echtzeit gegen tausende täglich aktualisierte Angriffssignaturen (z. B. Proofpoint ET Pro Telemetry oder Abuse.ch Threat Feeds).
• Layer-7-Applikationskontrolle und Web-Filterung (Zenarmor): Erkennung und Blockade unerwünschter Schatten-IT, Datei-Uploads, verschlüsselter Tunnel oder Malware-Domains direkt auf Applikationsebene inklusive grafischer Echtzeit-Netzwerküberwachung.
• Souveränes DNS- und SSL/TLS-Management: Der integrierte Unbound-DNS-Resolver schützt über DNSBL-Sperrlisten und DNS-over-TLS vor Phishing-Domains, während HAProxy mit automatischer ACME-/Let’s-Encrypt-Integration die zentrale SSL/TLS-Terminierung für interne Webdienste übernimmt.

Wie Sie die Mikrosegmentierung auf der Firewall mit einer durchgängigen Identitäts- und Endgerätesicherheit verknüpfen, beschreibt unser Grundlagenwerk zu Enterprise Cyber-Resilience und Zero-Trust-Architektur.

Ergänzende Architektur-Analysen und technische Entscheidungsmatrizen für Ihre IT-Planung finden Sie in unseren weiterführenden Leitartikeln zu Keycloak IAM im Enterprise-Einsatz sowie zu NIS-2 Vorstandshaftung im Enterprise-Einsatz.

SD-WAN, Multi-Uplink-Failover (Glasfaser, 5G, Satellit) und Hochverfügbarkeit

Für Produktionsstandorte, Logistikzentren und Filialnetze bedeutet ein Ausfall der Internet- oder Standortverbindung den sofortigen Stillstand von Cloud-ERP, Scannern und IP-Telefonie. Während klassische MPLS-Standleitungen der Telekommunikationskonzerne hohe monatliche Kosten verursachen, ermöglicht OPNsense den Aufbau einer hochresilienten Software-Defined-WAN-Architektur (SD-WAN) mit Standard-Leitungen:

• Automatisches Multi-WAN-Gateway-Failover: OPNsense überwacht primäre Glasfaser-Uplinks, sekundäre Kabel-/VDSL-Anschlüsse sowie 5G-Mobilfunk- oder Low-Earth-Orbit-Satelliten-Backups kontinuierlich auf Paketverlust und Latenz (dpinger) und schaltet bei Störungen verzögerungsfrei um.
• Moderne Standortvernetzung mit WireGuard und IPsec: Aufbau performanter Site-to-Site-VPN-Mesh-Netzwerke mit dynamischem Routing über FRRouting (BGP und OSPF), die selbst auf kompakter Hardware mehrfachen Gigabit-Durchsatz erreichen.
• Echte Aktiv-Passiv-Clusterung über CARP und pfsync: Zwei identische OPNsense-Appliances teilen sich virtuelle IP-Adressen (Common Address Redundancy Protocol). Fällt die primäre Appliance aus, übernimmt der Sekundärknoten in unter einer Sekunde, ohne dass laufende VPN-Tunnel oder Telefonate abbrechen.
• Zentralisiertes Flotten-Management und Automatisierung: Über die integrierte REST-API, Ansible-Kollektionen oder das zentrale Deciso-Management-Portal lassen sich dutzende Außenstellen-Firewalls standardisiert provisionieren und aktualisieren.

„Eine Firewall, die nach Ablauf eines überteuerten Jahresabonnements ihre Sicherheitsfunktionen abschaltet oder den Administrator aussperrt, schützt nicht das Netzwerk, sondern das Geschäftsmodell des Herstellers.“

Welche besonderen Anforderungen für die Netzwerktrennung zwischen Büro-IT und industrieller Steuerungstechnik (OT) gelten, zeigt unser Leitartikel zum KRITIS-Dachgesetz, NIS-2 und OT-Security.

System-Matrix: Fortinet FortiGate / Cisco Secure Firewall versus OPNsense Enterprise

Die folgende Vergleichstabelle bewertet kommerzielle Hardware-Appliances und OPNsense anhand der wichtigsten Enterprise-Anforderungen:

Wirtschaftliche TCO-Analyse: Absicherung von 2 Rechenzentren (HA) und 10 Niederlassungen

Für ein mittelständisches Unternehmen mit zwei zentralen Rechenzentrums-Standorten (je ein redundantes 10/25-GbE-HA-Paar, also 4 Core-Appliances) und zehn vernetzten Außenstellen (jeweils 1-GbE-SD-WAN-Appliances) ergibt sich über 36 Monate folgender Kostenvergleich:

Selbst wenn das Unternehmen sich für offizielle Deciso-Rack-Hardware, die OPNsense Business Edition (inklusive ET-Pro-Telemetrie-Regelsätzen) und kostenpflichtige Zenarmor-Subskriptionen entscheidet, liegen die Gesamtkosten mehr als sechzig Prozent unter vergleichbaren proprietären Systemen.

Der 4-Phasen-Rollout für die OPNsense-Firewall-Modernisierung

Die Ablösung bestehender Perimeter- und Standort-Firewalls erfolgt im laufenden Betrieb ohne ungeplante Ausfallzeiten in vier kontrollierten Etappen:

Phase 1 (Monat 1): Regelwerk-Audit (Rule Cleanup) und VLAN-Zielarchitektur

Analyse der über Jahre gewachsenen Firewall-Regeln auf dem Altsystem. Entfernung verwaister „Any-to-Any“-Freigaben, Strukturierung klarer Sicherheitszonen (Management, Server, Clients, DMZ, IoT/OT) und Auswahl passender Hardware mit Intel-Netzwerkchips.

Phase 2 (Monat 2): Aufbau des CARP-HA-Clusters und VPN-Erprobung im Parallelbetrieb

Installation des primären und sekundären OPNsense-Knotens, Konfiguration des dedizierten Sync-Interfaces (pfsync) und Einbindung von WireGuard-Roadwarrior-VPNs mit Multi-Faktor-Authentifizierung über RADIUS/OIDC.

Phase 3 (Monat 3): Aktivierung von Suricata IDS/IPS, DNS-Filterung und Multi-WAN

Zunächst Einschalten von Suricata im reinen Erkennungsmodus (IDS) zur Feinabstimmung von False Positives, danach Umschaltung in den aktiven Blockiermodus (IPS). Einrichtung des automatischen Uplink-Failovers auf Glasfaser- und 5G-Backup-Gateways.

Phase 4 (Monat 4): Umschwenken des Produktivverkehrs und SIEM-Streaming

Physischer Cutover der VLAN-Trunks im Wartungsfenster inklusive Live-Failover-Test durch Ziehen des Stromkabels am Primärknoten. Weiterleitung aller Firewall- und IDS-Logs per Syslog an das zentrale Monitoring- und SIEM-System.

Fünf Kontrollfragen für CIOs, CISOs und Netzwerk-Architekten

1. Wann stehen Ihre nächsten 3-Jahres-Lizenzverlängerungen für Firewalls an?

Kennen Sie das genaue Ablaufdatum Ihrer aktuellen FortiGuard-, Cisco-SmartNet- oder Palo-Alto-Subskriptionen, um rechtzeitig sechs Monate vorher einen unverbindlichen OPNsense-Pilotcluster zu testen?

2. Nutzen Sie für den Fernzugriff noch verwundbare proprietäre SSL-VPN-Portale?

Haben Sie klassische, immer wieder von Zero-Day-Exploits betroffene SSL-VPN-Webportale bereits durch schlankes, kryptografisch gehärtetes WireGuard oder IPsec IKEv2 abgelöst?

3. Sind Ihre zentralen Firewalls als echtes Aktiv-Passiv-HA-Paar ausgelegt?

Oder haben Sie aus Kostengründen wegen der doppelten UTM-Lizenzgebühren in Ihren Niederlassungen nur einzelne Firewall-Boxen (Single Point of Failure) im Einsatz?

4. Werden alle Firewall-Konfigurationen automatisch und verschlüsselt gesichert?

Nutzt Ihr Betriebsteam das integrierte automatische Backup der gesamten `config.xml` (inklusive Git-/Nextcloud- oder S3-Versionierung), sodass eine defekte Appliance in zehn Minuten vollständig wiederhergestellt ist?

5. Haben Sie für jedes Büro und jedes Werk einen medienunabhängigen Zweit-Uplink?

Schaltet Ihr Gateway bei einem Baggerbiss an der primären Glasfaserleitung vollautomatisch und ohne manuelles Eingreifen auf eine sekundäre Richtfunk-, 5G- oder Satellitenstrecke um?

Strategisches Fazit: Offene Netzwerksicherheit ohne Abo-Falle

Netzwerksicherheit entsteht durch saubere Segmentierung, aktuelle kryptografische Protokolle, zeitnahe Sicherheitsupdates und konsequentes Monitoring, nicht durch das teuerste Herstellerlogo auf dem Blechgehäuse. Proprietäre Firewall-Anbieter lassen sich heute selbst grundlegende Routing- und Filterfunktionen über wiederkehrende Abonnements vergolden.

Mit OPNsense erhalten Unternehmen eine ausgereifte, in Europa entwickelte Next-Generation Firewall, die höchste Transparenz, echte CARP-Hochverfügbarkeit und erstklassige VPN- sowie IDS/IPS-Leistung bei einem Bruchteil der gewohnten Gesamtkosten liefert.

Häufig gestellte Fragen (FAQ) zu OPNsense und Open-Source-Firewalls