OPNsense-Partner seit 2016
OPNsense schützt Ihr Netz mit IDS/IPS, VPN und Hochverfügbarkeit, ohne Lizenz pro Nutzer oder Funktion. Wir planen die Appliance, holen Sie sicher von Ihrer bisherigen Firewall herunter, betreiben sie und schließen sie auf Wunsch an das 24/7-SOC unseres Partners NEOSEC an.
Zwei Wege, ein bekanntes Ende
Die meisten Betriebe landen bei einem von zwei Modellen. Beide funktionieren eine Weile.
Weg 1
Weg 2
OPNsense verbindet beides: offener Code und Enterprise-Funktionen, betrieben wie eine kommerzielle Firewall.
Funktionsumfang
Alles im Grundumfang, ohne Aufpreis pro Funktion.
Angriffserkennung und -abwehr im Inline-Modus, mit offenen und optional kommerziellen Regelsätzen.
IPsec für Standorte, WireGuard und OpenVPN für mobile Mitarbeitende, jeweils mit Zwei-Faktor-Anmeldung.
Zwei Geräte im CARP-Cluster mit synchronisierten Verbindungen. Updates und Hardwaretausch ohne Unterbrechung.
Beliebig viele VLANs und Zonen für Verwaltung, Produktion, Medizintechnik, Gäste und IoT.
Mehrere Provider mit Failover und Lastverteilung, dazu OSPF und BGP über Plugins.
Jede Einstellung per REST-API, Konfigurationshistorie mit Vergleich und Rücksprung.
Vergleich
| Kriterium | Typische kommerzielle UTM | OPNsense |
|---|---|---|
| Lizenzmodell | Subscription-Bündel, Funktionen teils einzeln lizenziert | Community Edition frei, Business Edition pro Firewall |
| Nach Lizenzablauf | Schutzfunktionen und Updates entfallen häufig | Firewall läuft vollständig weiter |
| Funktionsumfang | je nach Bündel | IDS/IPS, VPN, HA und Webfilter im Grundumfang |
| Quellcode | proprietär | offen (BSD-Lizenz) |
| Management | häufig Hersteller-Cloud | lokal, per API oder zentral mit OPNcentral |
| Release-Zyklus | herstellerabhängig | zwei Hauptversionen pro Jahr, im Januar und Juli |
| Späterer Wechsel | teuer, proprietäre Konfiguration | offene Formate und vollständige Dokumentation |
Migration
Für jedes Quellsystem beschreiben wir, was sich wie übertragen lässt und worauf Sie achten müssen.
Vorgehen
Eine Migration scheitert selten an der neuen Firewall, sondern an vergessenen Regeln und Sonderfällen. Deshalb beginnen wir beim Bestand.
Konfigurationsexport, Gespräch mit Ihrer IT, Analyse von Regeln, NAT, VPNs, Zertifikaten und Sonderfällen. Die Trefferzähler zeigen, welche Regeln überhaupt genutzt werden.
Überführung in die OPNsense-Logik: Aliases, Interface-Regeln, NAT, VPN-Tunnel, Benutzeranbindung. Herstellerspezifisches bilden wir mit Bordmitteln oder Plugins ab.
Aufbau im Labor oder parallel in einem Testsegment. Kritische Anwendungen, VPN-Tunnel und Sonderfälle prüfen wir gegen eine gemeinsame Checkliste.
Umschaltung im Wartungsfenster nach Drehbuch. Die alte Firewall bleibt verkabelt bereit, der Rückweg dauert Minuten.
Auswertung der Logs auf blockierte legitime Verbindungen, Feinschliff des Regelwerks, Übergabe der Dokumentation.
SOC mit NEOSEC
Logs aus OPNsense fließen auf Wunsch in das SIEM unseres Sicherheitspartners NEOSEC. Je nach Stufe überwacht, betreut oder übernimmt NEOSEC die Reaktion, bis hin zum 24/7-Betrieb.
Stufe 1
Wie fange ich mit strukturierter Überwachung an?
NEOSEC richtet das SIEM ein und betreibt es. Firewall-, Endpoint- und Netzwerkereignisse werden zentral erfasst und nach erprobten Regelwerken geprüft.
Stufe 2
Wie werde ich aktiv betreut?
Managed Detection and Response: NEOSEC pflegt die Regelwerke, bewertet Meldungen und reagiert gemeinsam mit Ihnen nach vorher festgelegten Wegen.
Stufe 3
Wer reagiert nachts und am Wochenende?
Security Operations Center rund um die Uhr. NEOSEC überwacht, reagiert in vereinbarten Grenzen selbstständig und dokumentiert jeden Vorfall.
KI und MCP
Unser selbst entwickelter OPNsense-MCP-Server gibt KI-Assistenten strukturierten Zugriff auf Regeln, Interfaces, VPNs und Logs. Jede Aktion ist nach Risiko eingestuft, kritische Eingriffe brauchen eine Bestätigung. Auf Wunsch läuft die KI komplett bei Ihnen.
Welche Regeln am Standort Nord wurden seit 90 Tagen nicht genutzt?
Regeln lesen, Trefferzähler abfragen
7 von 64 Regeln ohne Treffer, darunter 2 Freigaben für ein abgeschaltetes VPN. Soll ich sie deaktivieren? Vorher lege ich einen Sicherungspunkt an.
Ja, deaktivieren.
Sicherungspunkt anlegen, Regeln deaktivieren (Stufe mittel, bestätigt)
Erledigt. Sicherungspunkt angelegt, 7 Regeln deaktiviert, Rücknahme jederzeit möglich.
Für wen
Mehrere Standorte, Homeoffice, Produktion und Verwaltung im selben Netz. Enterprise-Sicherheit ohne Enterprise-Lizenzmodell.
OPNsense im MittelstandMedizintechnik ohne Updates, Telematikinfrastruktur und Prüfpflichten. Die Firewall wird zum Werkzeug für Segmentierung und Nachweis.
OPNsense im GesundheitswesenWarum mit uns
Nicht: Zeilen kopieren
Wir werten aus, welche Regeln wirklich greifen, und übertragen die Logik, nicht den Altbestand.
Nicht: Hoffen beim Umschalten
Die alte Firewall bleibt verkabelt, bis Sie freigeben. Der Rückweg dauert Minuten.
Nicht: Wissen als Bindung
So aufgebaut, dass auch ein anderer Dienstleister übernehmen könnte.
FAQ
Die Community Edition ist kostenfrei. Kosten entstehen für Hardware, optional für die Business Edition (Jahreslizenz pro Firewall) sowie für Einrichtung und Betrieb. Lizenzen pro Nutzer, Funktion oder Durchsatz gibt es nicht.
Die Kernbausteine von OPNsense, etwa der Paketfilter pf, Suricata, strongSwan und Unbound, gehören zu den am gründlichsten geprüften Sicherheitsprojekten. Dahinter steht Deciso als Hersteller mit kommerziellem Support, und vor Ort sind wir.
Die Umschaltung selbst meist ein bis zwei Stunden im Wartungsfenster. Vorbereitung und Test dauern je nach Umfang wenige Tage bis mehrere Wochen.
Auf Wunsch unser Sicherheitspartner NEOSEC. Die Logs fließen in dessen SIEM, und je nach Stufe reagiert NEOSEC rund um die Uhr. Mehr unter SOC mit NEOSEC.
Kontakt
Erstgespräch mit einem OPNsense-Techniker, kein Vertriebsgespräch. Wenn OPNsense nicht passt, sagen wir es.
