pfSense-Installation und Basiskonfiguration für Unternehmen

pfSense ist eine Open-Source-Firewall und ein Router auf FreeBSD-Basis, der in Unternehmen als zentraler Punkt für Netzwerksegmentierung, VPN, Verkehrsfilterung und Intrusion Detection eingesetzt wird. Für KMU stellt es eine kosteneffiziente Alternative zu teuren kommerziellen Lösungen dar und bietet gleichzeitig Funktionen, die man sonst nur bei Geräten zum zehnfachen Preis findet.

TL;DR — Die wichtigsten Punkte

• pfSense ist eine kostenlose, kommerziell unterstützte Lösung (Netgate) für Firewalls
• Für bis zu 50 Mitarbeiter reicht ein Gerät der Netgate 4200-Klasse oder ein ähnlicher Mini-PC mit 2–4 GbE-Schnittstellen aus
• Kritische Schritte: Getrenntes WAN/LAN, standardmäßig deny, VLAN-Segmentierung, Zeitsynchronisation, regelmäßige Konfigurations-Backups
• Verwenden Sie für den Fernzugriff WireGuard oder OpenVPN, legen Sie das Web-Interface niemals am WAN offen

Warum pfSense statt eines Consumer-Routers

Consumer-Router sind für die einfache Nutzung zu Hause konzipiert. In einem Unternehmen stößt man schnell an Grenzen: unzuverlässiges VPN, fehlende Segmentierung, keine Kontrolle über DNS und keine Ereignisprotokolle. pfSense bietet eine echte Firewall mit Zustandsbeschreibungen (Stateful Inspection), NAT auf Paketebene, HA (High Availability) im Cluster, integriertes IPsec/WireGuard/OpenVPN und eine umfangreiche Paket-Unterstützung wie Suricata (IDS/IPS), pfBlockerNG (DNS-Filterung) und HAProxy.

Vergleichen wir typische Funktionen:

Wahl der Hardware

Die Leistung hängt primär von der Verbindungsgeschwindigkeit und den aktivierten Diensten ab. Als grobe Richtlinie:

Wenn Sie langfristige Stabilität und kommerziellen Support wünschen, empfehlen wir originale Netgate-Geräte. Günstigere Mini-PCs funktionieren hervorragend, aber im Problemfall sind Sie auf die Community angewiesen.

Schritt-für-Schritt-Installation

1. Laden Sie das pfSense CE oder Plus ISO/Memstick-Image von der offiziellen Seite herunter und überprüfen Sie die Prüfsumme (SHA256).
2. Starten Sie das Gerät vom USB-Stick, wählen Sie Install und installieren Sie es auf der SSD (ZFS empfohlen).
3. Legen Sie nach dem ersten Start über die Konsole die WAN- und LAN-Schnittstellen fest (WAN → zum Modem, LAN → zum Switch).
4. Öffnen Sie das Web-Interface unter `https://192.168.1.1` mit den Standarddaten `admin / pfsense`.
5. Stellen Sie im Wizard den Hostnamen, die Zeitzone Europe/Ljubljana, die DNS-Server (z.B. 1.1.1.1 und 9.9.9.9) ein und ändern Sie das Passwort.

Überprüfen Sie nach dem Wizard immer, dass der administrative Zugriff nur vom LAN aus erlaubt ist — schalten Sie unter System → Advanced → Admin Access HTTPS ein und ändern Sie nach Möglichkeit den Standardport.

Segmentierung mit VLANs

Eine flache VLAN-Struktur macht den Unterschied zwischen einem "funktionierenden Netzwerk" und einem "sicheren Netzwerk". Empfohlene Mindestsegmentierung für KMU:

• VLAN 10 — LAN (Arbeitsstationen, Drucker)
• VLAN 20 — Server (Active Directory, NAS, ERP)
• VLAN 30 — Gäste / WiFi (isoliert vom LAN, nur Internet)
• VLAN 40 — IoT (Kameras, Sensoren, Alarme)
• VLAN 99 — Management (Zugriff auf Switches, Access Points)

In pfSense fügen Sie VLANs unter Interfaces → VLANs hinzu und weisen jedem einen eigenen Netzbereich und DHCP zu. Richten Sie zwischen den VLANs explizite Berechtigungen ein — standardmäßig sollte deny gelten.

Grundlegende Firewall-Regeln

Beim Schreiben von Regeln gilt das Prinzip der geringsten Rechte. Für eine typische KMU-Umgebung:

1. LAN → WAN: Erlauben Sie HTTP/S, DNS, IMAP/S, SMTPS. Blockieren und protokollieren Sie alles andere.
2. GUEST → WAN: Nur TCP 80/443 und UDP 53 zu Ihren DNS-Servern.
3. IoT → WAN: Erlauben Sie nur genau definierte Zieldomänen (z.B. Cloud des Kameraherstellers).
4. Jedes VLAN → Management: Ausdrücklich block, außer für die Administrator-Workstation.

VPN für Fernzugriff

Für Remote-Benutzer empfehlen wir WireGuard — es ist schnell, einfach zu warten und schont den Akku von Laptops. IPsec bleibt die Standardwahl für Site-to-Site-Verbindungen zwischen Standorten. Lesen Sie mehr über die Unterschiede in unserem Artikel über VPN-Lösungen für Unternehmen.

Unabhängig vom gewählten Protokoll sollten Sie immer MFA aktivieren (z.B. TOTP über FreeRADIUS + Google Authenticator Paket) und den Zugriff auf genau definierte interne Ressourcen beschränken — Zero Trust Prinzip.

Monitoring, Backups und Updates

Exportieren Sie die pfSense-Konfiguration regelmäßig (Diagnostics → Backup & Restore) und speichern Sie diese an einem sicheren Ort außerhalb des Netzwerks — zum Beispiel in einem verschlüsselten Object Storage in Azure. Führen Sie Upgrades in einem Wartungsfenster durch und prüfen Sie immer die Release Notes. Für das Monitoring empfehlen wir das Senden von Syslog-Ereignissen an einen zentralen Sammler (Graylog, Elastic) oder an Azure Log Analytics.

Häufige Fehler in der Praxis

• Administrator-Interface am WAN ohne Einschränkungen exponiert — unbedingt schließen oder mit TLS + MFA und Quell-IP-Filter einschränken
• Standardberechtigung "LAN → any" schränkt IoT und Gäste nicht ein, was laterale Bewegungen eines Angreifers ermöglicht
• Fehlendes regelmäßiges Konfigurations-Backup
• Nichtverwendung von pfBlockerNG zur Blockierung bekannter bösartiger Domänen

Benötige ich die kostenpflichtige pfSense Plus Version?

Für die meisten KMU ist die kostenlose pfSense CE völlig ausreichend. Die Plus-Version (enthalten bei Netgate-Hardware) bietet zusätzliche Optimierungen, ZFS-Boot-Environments und kommerziellen Support, was wir für Produktionsumgebungen empfehlen.

Wie viel leistet pfSense bei einer 1 Gbps Verbindung?

Moderne CPU-Generationen (Intel N100, Atom C3000, Xeon-D) leiten 1 Gbps Traffic auch mit aktiviertem IDS problemlos weiter. Für 2,5 und 10 Gbps empfehlen wir Xeon-D oder eine stärkere Plattform.

Ersetzt pfSense einen Windows Server für DHCP und DNS?

Für DHCP in der Regel ja. Für DNS ist pfSense ein exzellenter Resolver, aber in Umgebungen mit Active Directory sollte das AD die internen DNS-Einträge verwalten und pfSense als Forwarder für das Internet fungieren.

Wie oft sollte man pfSense aktualisieren?

Kleinere Patches können monatlich installiert werden, größere Versionen sollten in einer Testumgebung geprüft und in einem Wartungsfenster aktualisiert werden. Erstellen Sie vor jedem Upgrade ein Konfigurations-Backup.