Bastion der Hoffnung

Sicheres und Leistungsstarkes Heimnetzwerk mit OPNsense

Ein modernes Heimnetzwerk muss weit mehr leisten, als nur Geräte mit dem Internet zu verbinden. Mit der steigenden Anzahl von IoT-Geräten, der wachsenden Bedeutung von Datenschutz und der zunehmenden Bedrohung durch Cyberangriffe wird ein gut geplantes, sicheres und leistungsstarkes Netzwerk zur essenziellen Grundlage für unser digitales Leben.

In diesem Beitrag möchte ich eines meiner Projekte vorstellen: die Planung, Konfiguration und Absicherung eines Heimnetzwerks mit OPNsense als zentralem Baustein. Ziel ist es, ein flexibles und sicheres Netzwerk zu schaffen, das sowohl die Anforderungen eines fortgeschrittenen Anwenders erfüllt als auch den Schutz von sensiblen Daten und Services gewährleistet.

Dabei zeige ich, wie wir verschiedene Technologien wie VLAN-Segmentierung, WireGuard-VPN, WPA3-Enterprise und Intrusion Detection nutzen können, um sowohl Sicherheit als auch Komfort zu gewährleisten. Zusätzlich stelle ich Lösungen für selbstgehostete Dienste vor, die über einen sicheren Zugang aus dem Internet erreichbar sind.

Die folgenden Themen bilden das Fundament dieses Projekts – von der Grundkonfiguration bis hin zu fortgeschrittenen Sicherheitsmaßnahmen.

Der Masterplan 2025-10-03 (updated: 2026-05-04)

1. Grundlegende Netzwerkbasis: FritzBox und OPNsense

• FritzBox als Modem und DECT-Telefonzentrale: Konfiguration von IPv4 und IPv6, inklusive Weiterreichung des IPv6-Präfixes.

• Installation von OPNsense auf einem Zimaboard als zentrale Firewall.

WAN

Wir bekommen vom ISP, respektive von der Fritz!Box eine dynamische IPv4 Adresse und ein dynamisches IPv6 Präfix zugewisen: /56.

Wir können diese Adressen direkt veredeln und einer DynDNS zuweisen, damit wir später beispielsweise für WireGuard unsere Geräte von extern zugänglich machen können. Ich verwende dafür aktuell den Service von Dynu.com. Dieser ist kostenlos und ihr könnt euch bis zu 4 DynDNS Adressen erstellen. (praktisch für intensive Fernwartung bei der Familie :-))

LAN

• Die Verbindung zwischen der Fritz!Box und der OPNsense Firewall sieht folgendermaßen aus:

IPv4

IPv6

Verwendete IPv6 Präfixe:

Delegiert werden in meiner Konfiguration: xxxx:xx:xxxx:xxxx:: /60, was 2⁴ = 16 IPv6 Subnetze bedeutet.
In meinem privaten Setup sind das mehr als genug.

Bei einem /56 Präfix hätten wir 256 Subnetze (/64).

Admin (VLAN200)

Ein Admin-Subnetz ist ein separates IP-Netz, das ausschließlich für administrative Zugriffe und Management-Traffic reserviert ist.

Typische Einsatzgründe:

• Management von Geräten (Firewalls, Switches, Server, APs, Router)

• Remote-Zugänge für Administratoren (z. B. SSH, HTTPS, RDP, SNMP)

• Trennung von Benutzer- und Admin-Traffic → erhöht die Sicherheit

LAN2 (VLAN2)

Ein LAN-Subnetz ist das klassische Netz für Endgeräte wie PCs, Laptops, Tablets, Smartphones, Drucker oder Smart-Home-Geräte. (hierfür verwenden wir ein eigenes Subnet)

Es stellt die Basis für die normale interne Kommunikation bereit.

• Zentraler Zugriff: Alle „normalen“ Clients sind in einem gemeinsamen Netz.

• Klarer Anwendungsbereich: Nutzergeräte und alltäglicher Traffic, nicht Administration.

Entertain (VLAN4)

Ein Entertainment-Subnetz bündelt Geräte wie Spielekonsolen, Streaming-Sticks, Smart-TVs und IoT-Entertainmentgeräte.
Ziel ist es, diese von klassischen LAN- und Admin-Geräten zu trennen, da sie meist:

• von Drittanbietern verwaltet werden,

• häufig Internetzugriff benötigen,

• potenziell unsicherer sind (z. B. Smart-TV-Firmware).

DMZ (VLAN3)

Eine DMZ ist ein separates Subnetz innerhalb eines Netzwerks, das öffentlich zugängliche Dienste von deinem internen Netzwerk trennt. Es wird häufig für Server verwendet, die von außen erreichbar sein sollen, z. B.:

• Webserver

• E-Mail-Server

• NAS-Systeme mit Fernzugriff

• Container-Hosts wie Docker-Server (z. B. Bitwarden)

Das Ziel einer DMZ ist, das Risiko eines Angriffs auf das interne Netzwerk zu minimieren.

• WAN: Interface zur Fritz!Box, leitet Internetverkehr an OPNsense.

• LAN: Interne, vertrauenswürdige Geräte.

• DMZ: Externe Dienste wie Docker oder NAS, sauber vom LAN isoliert.

• Entertain: IoT-Geräte, die keine sensiblen Daten sehen sollen.

• EntertainVPN: IoT-Geräte über VPN ins Internet (z. B. Saugroboter), um Tracking zu minimieren.

• Admin: Managementgeräte, sichere Admin-Zugriffe auf Netzwerkhardware.

• WG2: Wireguard Roadwarrior-Szenario, ermöglicht mobilen Zugriff auf Heimressourcen.

• OpenVPN / Wireguard: Policy Routing Gateways, leiten ausgewählte Subnetze (EntertainVPN) über verschlüsselte VPN-Tunnel.

• Wir seperieren jetzt das lokale Netzwerk in unterschiedliche Subnetze mit unterschiedlichen Anforderungen und Funktionen.

LAN

Natives LAN, welches ausschließlich zum Debuggen und Testen verwendet wird.

• kein VLAN

• default LAN Regeln - wenig Restriktion.

Gäste

Gäste lasse ich aktuell nur über die Fritz!Box zu. Hintergrund ist, dass ich des öffteren im Home Office arbeite und deshalb "IMMER" ein funktionierendes Internet benötige. Ich verbinde mich zum Firmen-VPN über das Gäste Netz der Fritz!Box.

• Fallback-Pfad, wenn ich es mal übertrieben habe mit der Abhärtung der Firewall

• Gäste surfen nicht in meinem LAN und können auch nichts unerwünschtes mitbringen.

EntertainVPN (VLAN104)

Gleicher USE-CASE wie beim Entertain Sub-Net, jedoch bauen bauen wir keine Verbindung über unsere WAN Adresse, sondern über einen VPN auf. Dadurch können wir IoT Geräte nochmal zusätzlich isolieren und unsere reale I-Net Adresse verbergen.

• IoT-Geräte über VPN ins Internet (z. B. Saugroboter), um Tracking zu minimieren.

• Wir richten uns zudem eine WLAN SSID ein um bei einem WLAN Switch in dieses Netz bequem anonym(er) zu surfen.

Interface Übersicht:

So könnte eine Interface Übersicht in der OPNsense aussehen. Wichtig ist nur die erste Adresse je Spalte. Alle weiteren Adressen sind virtuelle IPs, auf die wir später eingehen werden.

IPv4:

So könnte eine Interface Übersicht in der OPNsense aussehen. Wichtig ist nur die erste Adresse je Spalte. Alle weiteren Adressen sind virtuelle IPs, auf die wir später eingehen werden.

IPv6:

Im Heimnetz begegnet man dabei häufig drei Adresstypen: Link-Local-Adressen für die Kommunikation im lokalen Netzsegment, ULA (Unique Local Addresses) für interne, nicht im Internet geroutete Netze, und GUA (Global Unicast Addresses) für weltweit eindeutige, öffentliche Adressen.

Die GUA erhalten wir wie oben beschrieben von der Fritz!Box mit einem delegierten /60-Präfix. ULA lassen sich über Generatoren wie unique-local-ipv6.com erzeugen. Zusätzlich habe ich ein GitHub-Skript geschrieben, das sowohl GUA als auch ULA entsprechend generiert. Es braucht noch etwas Liebe um portabel zu sein. (Konfigurationsparameter)

update-kea-dhcp6.sh: https://github.com/sellandy/opnsense-configs/blob/f42a61d1e9cac9500156f0a7b2ae85399049ec2d/update-kea-dhcp6.sh

Fazit: Das ideale Heimnetzwerk

In diesem Projekt verbinde ich leistungsstarke Technologien mit moderner Netzwerksicherheit, um ein Heimnetzwerk zu schaffen, das den hohen Anforderungen der heutigen Zeit gerecht wird. Der Artikel bietet eine umfassende Anleitung, die von der Basiskonfiguration bis zu fortgeschrittenen Themen reicht – perfekt für alle, die ihr Heimnetzwerk auf das nächste Level bringen möchten.

Sellandy

kontakt@sellandy.de

+49 (0)15678 133840

Copyright © 2026 Benjamin Mönius

Entdecke die fesselnde Welt aus IT Cybersecurity und Privatsphäre für Heimanwender. Erweitere deinen IT Background oder lass dich einfach unterhalten.

Schnellzugriff

Rechtlich

Fingerprint:
454A 7836 8CDD 3ACF 734C
0DBF 8165 DD5B 0346 00F4