OPNsense auf Proxmox installieren: Firewall-VM Schritt für Schritt einrichten — Enterprise Homelab #6 (Teil 1)
Ein einziges übernommenes Smart-Home-Gerät kann dir den ganzen Tag vermiesen — wenn dein Heimnetz komplett flach ist, hat ein Angreifer freie Bahn zu allem anderen. In diesem ersten Teil der OPNsense-Reihe setzt du genau die Basis, mit der du das änderst: eine dedizierte Firewall-VM auf Proxmox, sauber zwischen WAN und LAN verkabelt und einsatzbereit für die Netzwerksegmentierung, die wir im zweiten Teil aufbauen.
Serie: Dieser Guide ist Teil 1 von Episode 6 der Reihe „Enterprise Homelab — Die Startrampe“. Der vorherige Post auf dem Kanal: VM, LXC oder Docker auf Proxmox? Der Entscheidungs-Guide. Weiter geht’s direkt mit Teil 2: VLANs und Firewall-Regeln, wo wir die hier installierte OPNsense in echte Netzwerksegmente aufteilen.
Das Video dazu — schau es dir gerne zuerst an, dann macht dieser Guide noch mehr Sinn:
Was du für diesen Guide brauchst
- Eine laufende Proxmox VE-Installation (siehe die vorherigen Teile dieser Serie)
- Das OPNsense-ISO-Image, lokal in Proxmox hochgeladen
- Mindestens zwei Netzwerk-Bridges in Proxmox (eine für WAN, eine für LAN)
- Optional eine Test-VM (z. B. Windows), um den Web-GUI-Zugriff später zu verifizieren
In diesem Guide
- Schritt 2: OPNsense Installation
- Schritt 3: OPNsense Startkonfiguration bis WebGUI
- Schritt 4: OPNsense Installation Wizard
- Fazit & nächste Schritte
Schritt 2: OPNsense Installation
Für die Firewall selbst nimmst du eine eigene VM statt eines LXC-Containers — OPNsense braucht vollen Kernel-Zugriff für Netzwerk-Interfaces und Paketfilterung, das geht nur mit echter Virtualisierung. Leg in Proxmox VE eine neue VM an, wähle das lokal abgelegte OPNsense-ISO als Installationsquelle und vergib eine VM-ID nach deiner eigenen Konvention.
Bei den Ressourcen reicht ein bescheidener Zuschnitt: 20 GB Disk statt der vorgeschlagenen 32 GB sind für OPNsense mehr als genug, dazu vier CPU-Kerne und 4 GB RAM — je mehr Bandbreite dein Provider liefert, desto mehr Rechenleistung braucht die Firewall, um den Traffic in Echtzeit zu filtern.
Tipp: Eine Firewall braucht mindestens zwei Netzwerkkarten — eine für die WAN-Seite (wo das Internet von deinem Provider ankommt) und eine für die LAN-Seite (wo deine Geräte hängen). OPNsense ist genau das Bindeglied dazwischen, das über Firewall-Regeln steuert, was durchgelassen und was blockiert wird.
Nach dem Anlegen der VM gehst du im Hardware-Bereich noch einmal rein und fügst die zweite Netzwerkkarte hinzu, verbunden mit der passenden Bridge (bei mir vmbr0 für LAN, bereits aus einem früheren Teil dieser Serie vorbereitet). Danach läuft der eigentliche OPNsense-Installer durch — Standardeinstellungen reichen, das Dateisystem ist ZFS.
Wichtig: Der Installer löscht alle Daten auf der gewählten Disk — bei einer frischen VM kein Problem, aber prüfe die Auswahl trotzdem einmal genau.
Schritt 3: OPNsense Startkonfiguration bis WebGUI
Nach der Installation zeigt die Konsole meist schon IP-Adressen auf WAN und LAN an — aber wenn beide zufällig im selben Subnetz landen, gibt es sofort einen IP-Konflikt. Über Interface-Zuordnung (Option 1 in der Konsole) legst du fest, welche Netzwerkkarte WAN und welche LAN ist. Da OPNsense hier nur MAC-Adressen zeigt, lohnt sich vorher ein Screenshot deiner Proxmox-Hardwarekonfiguration, damit du die richtige zuordnest.
Danach loggst du dich mit dem Standard-Login root / opnsense ein (Achtung: OPNsense schreibt sich ohne „e“ in der Mitte). Über Option 2 vergibst du der LAN-Seite eine statische IP statt DHCP — in diesem Setup:
172.16.0.251/24Das /24-Subnetz stellt dir 254 nutzbare Adressen zur Verfügung, mehr als genug für ein Homelab. IPv6 lässt du in diesem Setup bewusst deaktiviert.
Schritt 4: OPNsense Installation Wizard
Mit der neuen LAN-IP ist die Web-GUI jetzt per Browser erreichbar (https://172.16.0.251). Die Browser-Warnung wegen des selbst-signierten Zertifikats ist normal — einfach bestätigen und mit root / opnsense einloggen.
Der Setup-Wizard fragt dich der Reihe nach ab:
- Hostname & Domäne — frei wählbar, z. B. eine interne Domain, die dir gehört
- Oberflächensprache — bleib bei Englisch: die OPNsense-Community und die meisten Firewall-Begriffe sind ohnehin englisch, das erleichtert die Fehlersuche später
- Zeitzone — z. B. Europe/Vienna
- DNS-Server & Override DNS — Override lässt du aktiv, wenn dein Provider passende DNS-Server liefert; sonst trägst du eigene ein
- WAN-Konfiguration — bei den meisten Providern reicht DHCP
- Root-Passwort — jetzt vom Standardpasswort auf ein eigenes, sicheres Passwort ändern
Tipp: Änderst du im Wizard noch einmal die LAN-IP, denk daran, danach auch die URL in deinem Browser anzupassen — die alte Adresse ist sonst nicht mehr erreichbar.
Nach „Continue to Dashboard“ landest du im OPNsense-Dashboard mit den ersten Standardinformationen — die Ersteinrichtung ist damit abgeschlossen.
Fazit & nächste Schritte
Damit hast du die Basis für eine sichere Heimnetz-Architektur gelegt:
- ✅ OPNsense läuft als VM auf Proxmox, sauber von WAN und LAN getrennt
- ✅ Web-GUI ist über eine statische IP erreichbar
- ✅ Ersteinrichtung (Hostname, Zeitzone, DNS, Root-Passwort) ist abgeschlossen
Im nächsten Video geht’s ans eigentliche Sicherheitsthema: Wir teilen das bisher flache Netzwerk mit VLANs in Segmente auf, trennen IoT-Geräte von Servern und bauen die Firewall-Regeln, die diese Trennung durchsetzen — bereits online in Teil 2 dieser Reihe.
Wenn dir der Guide weitergeholfen hat, freue ich mich über ein Abo — die nächsten Videos kommen regelmäßig. Bei Fragen zur OPNsense-Installation einfach in die Kommentare.