OPNsense VLANs und Firewall-Regeln: Homelab-Netzwerk richtig segmentieren
Im ersten Teil dieser Serie haben wir OPNsense auf Proxmox installiert und die Erstkonfiguration erledigt. Jetzt geht’s an den eigentlichen Grund, warum du überhaupt eine dedizierte Firewall-VM aufsetzt: dein Netzwerk in VLANs segmentieren, damit IoT-Geräte und Server nicht mehr im selben flachen Netz hängen.
Serie: Dieser Guide ist Teil 2 von Episode 6 der Reihe „Enterprise Homelab — Die Startrampe“. Teil 1 (Installation & Erstkonfiguration): OPNsense auf Proxmox installieren. Davor auf dem Kanal: VM, LXC oder Docker auf Proxmox? Der Entscheidungs-Guide.
Das Video dazu — schau es dir gerne zuerst an, dann macht dieser Guide noch mehr Sinn:
Was du für diesen Guide brauchst
- Eine laufende OPNsense-VM auf Proxmox (siehe Teil 1 dieser Serie)
- Zugriff auf die OPNsense-Weboberfläche
- Mindestens eine Test-VM in Proxmox, um die Segmentierung später zu verifizieren
- Grundverständnis von IP-Subnetzen — die wichtigsten Begriffe erklären wir im Text
In diesem Guide
- Schritt 6: Netzwerk in VLANs geteilt
- Schritt 7: VLAN-Interfaces anlegen
- Schritt 8: Segmentierung bestätigt
- Schritt 9: Aliase eingerichtet
- Schritt 10: IoT und Server getrennt
- Schritt 11: Internetzugriff bestätigt
- Fazit & nächste Schritte
Schritt 6: Netzwerk in VLANs geteilt
Bevor es an die eigentliche Segmentierung geht, schließt du kurz die Ersteinrichtung ab: Verbindung zur OPNsense-Weboberfläche per Browser (Standard-Login root / opnsense), Setup-Wizard mit Hostname, Domain und Zeitzone durchklicken. Ein Tipp aus dem Video: Lass die Oberflächensprache auf Englisch — die OPNsense-Community und die meisten Firewall-Begriffe sind ohnehin englisch, das macht die Fehlersuche später leichter.
Physisch hast du zuhause nur ein Netzwerk. Ein VLAN (Virtual Local Area Network) teilt dieses eine physische Netz in mehrere logisch komplett getrennte Netze auf — Geräte im selben VLAN sehen sich, Geräte in unterschiedlichen VLANs standardmäßig nicht. Genau das brauchst du, um IoT-Geräte von deinen Servern zu isolieren, ohne extra Hardware zu kaufen.
Schritt 7: VLAN-Interfaces anlegen
VLANs richtest du unter Interfaces → Devices → VLANs ein. Mit dem Plus-Button legst du ein neues VLAN an — als Parent wählst du dein physisches LAN-Interface, weil genau dieses eine Netz du aufteilst. Der Tag ist die Nummer, die das Segment später eindeutig identifiziert, sowohl in OPNsense als auch später am Switch-Port bzw. an der Proxmox-VM.
Tipp: Vergib die Tags in Zehnerschritten (10, 20, 30 …) statt fortlaufend — im Homelab brauchst du selten mehr als eine Handvoll Segmente, und du hast Luft, später weitere dazwischenzuschieben.
Schritt 8: Segmentierung bestätigt
Für dieses Setup legst du zwei VLANs an:
| VLAN | Tag | Zweck | Subnetz |
|---|---|---|---|
| VLAN 10 | 10 |
IoT-Geräte | 172.16.10.0/24 |
| VLAN 20 | 20 |
Server | 172.16.20.0/24 |
Nach dem Anlegen nicht vergessen: Apply klicken, sonst bleiben die Devices inaktiv. Danach weist du beide VLANs unter Interfaces → Assignments als eigene Interfaces zu, aktivierst sie (Enable) und vergibst pro Interface eine statische IPv4-Adresse aus dem jeweiligen Subnetz — bei mir 172.16.10.251 für VLAN 10 und 172.16.20.251 für VLAN 20. Diese Adresse ist gleichzeitig das Gateway für alle Geräte im jeweiligen Segment.
Schritt 9: Aliase eingerichtet
Damit Geräte in den neuen Segmenten überhaupt automatisch eine IP bekommen, richtest du pro VLAN einen eigenen DHCP-Bereich ein — unter Services → DHCPv4 für jedes Interface, mit Adresspool (z. B. .100 bis .200), Gateway und DNS-Server (hier reicht die OPNsense selbst als DNS).
Für die spätere Firewall-Regel lohnt sich jetzt ein Alias: ein Sammelname für mehrere IP-Bereiche, den du in Regeln wiederverwenden kannst, statt jedes Subnetz einzeln aufzuzählen. Leg unter Firewall → Aliases einen Alias namens Private Networks an, der alle deine eigenen VLAN-Subnetze zusammenfasst. Das ist der Baustein, der im nächsten Schritt die eigentliche Trennung von IoT und Servern möglich macht.
Schritt 10: IoT und Server getrennt
Jetzt kommt die eigentliche Trennung: eine Firewall-Regel auf dem VLAN-20-Interface (Server), die steuert, wohin Traffic aus diesem Segment darf.
Tipp: Pass erlaubt Traffic, Block bzw. Reject verbietet ihn — reject schickt dem Absender zusätzlich eine Fehlermeldung zurück, block verwirft den Traffic stillschweigend.
Die Regel baust du mit Destination = Alias Private Networks und dem Invertiert-Häkchen aktiviert — das kehrt die Bedeutung um: die Regel greift für alles außer deinen eigenen VLAN-Bereichen. Kombiniert mit einer zweiten Regel, die generellen Internetzugriff erlaubt, ergibt das genau die gewünschte Trennung: VLAN 20 darf ins Internet, aber nicht in die anderen privaten Netze — IoT bleibt vom Server isoliert, ohne dass du für jedes fremde Netz eine eigene Block-Regel brauchst.
Willst du zusätzlich einschränken, mit welchen Protokollen zugegriffen werden darf, kannst du das direkt in der Regel auf bestimmte Ports/Protokolle begrenzen, zum Beispiel nur administrative Zugriffe:
SSH / HTTPS / TelnetSchritt 11: Internetzugriff bestätigt
Zum Testen brauchst du keine physische Hardware — Proxmox VE reicht: Wähle deine Test-VM aus, öffne unter Hardware die Netzwerkkarte per Doppelklick und trage den gewünschten VLAN-Tag ein (10 oder 20). Sobald du bestätigst, hängt der virtuelle Switch-Port der VM am entsprechenden VLAN.
Startest du die VM neu bzw. erneuerst die IP-Adresse, sollte sie automatisch eine Adresse aus dem passenden DHCP-Bereich bekommen — bei Tag 20 also etwas aus 172.16.20.100–200. Damit hast du live bestätigt, dass Segmentierung, DHCP und Firewall-Regel zusammenspielen.
Fazit & nächste Schritte
In zwei Videos hast du jetzt eine solide Basis geschaffen:
- ✅ OPNsense läuft produktiv auf Proxmox
- ✅ Zwei VLANs trennen IoT-Geräte und Server logisch im selben physischen Netz
- ✅ Eigener DHCP-Bereich pro Segment, sauber über Aliase und eine invertierte Firewall-Regel voneinander abgeschottet
Wenn dir der Guide weitergeholfen hat, freue ich mich über ein Abo — die nächsten Videos kommen regelmäßig. Bei Fragen zur VLAN- oder Firewall-Config einfach in die Kommentare.