pfSense Firewall installieren und konfigurieren – vollständige Anleitung

Was ist pfSense?

pfSense Community Edition (CE) ist ein kostenloses, BSD-basiertes Firewall- und Router-Betriebssystem. Es basiert auf FreeBSD und bietet enterprise-grade Features:

• Stateful Firewall mit Paket-Inspektion
• VLAN-Unterstützung (802.1Q)
• VPN: OpenVPN, WireGuard, IPsec
• DHCP- und DNS-Server
• Traffic Shaping (QoS)
• Package Manager: Snort/Suricata (IDS/IPS), pfBlockerNG (DNS-Blocking), HAProxy, etc.
• Web-Interface für vollständige Konfiguration

pfSense läuft auf alter PC-Hardware (mit 2 Netzwerkkarten), Mini-PCs (Protectli, Netgate) oder als VM in Proxmox.

Hinweis: Netgate (pfSense-Hersteller) bietet seit 2023 pfSense Plus (kommerziell) und pfSense CE (kostenlos). Für KMU ist pfSense CE ausreichend, oder die Alternative OPNsense (vollständig open-source).

Hardwareempfehlungen

Mini-PC/Bare Metal:

• Protectli Vault FW4B: 4x GbE, Intel J3160, 8 GB RAM ~250 €
• PC Engines APU2: günstig, leise, energiesparend
• Intel NUC mit zusätzlicher NIC

Als VM in Proxmox:

• 2 CPU Cores
• 2 GB RAM
• 20 GB Disk
• 2 virtuelle Netzwerkadapter (WAN + LAN)

pfSense CE herunterladen und installieren

ISO herunterladen

1. pfsense.org → Downloads → Community Edition
2. Architecture: AMD64, Installer: CD Image (ISO)

Installation auf Bare Metal

1. USB-Stick mit ISO erstellen (Rufus oder dd)
2. Von USB booten
3. Installer: Accept, dann Install pfSense
4. Partitionsschema: Auto (ZFS) oder Auto (UFS) – ZFS für Snapshots
5. Disk auswählen → Installieren → Neustart

Als Proxmox-VM

1. ISO in Proxmox hochladen
2. VM erstellen: 2 Core, 2 GB RAM, 20 GB Disk, q35-Chipsatz
3. Zwei Netzwerkadapter hinzufügen:
   • NIC1: vmbr0 (WAN – Upstream/Internet-Bridge)
   • NIC2: vmbr1 (LAN – interne Clients)
4. VM starten → pfSense-ISO booten

Grundkonfiguration – Setup-Wizard

Nach dem ersten Boot erscheint das Setup-Wizard-Menü:

Interface-Zuweisung

pfSense fragt: "Should VLANs be set up now?"
→ No (zunächst ohne VLANs)

WAN-Interface: vtnet0 (oder em0 auf Bare Metal)
LAN-Interface: vtnet1

Bestätigen → pfSense konfiguriert die Interfaces.

Weboberfläche (WebGUI)

Standard-IP für LAN: 192.168.1.1

Browser: https://192.168.1.1
Login: admin / pfsense (sofort ändern!)

Setup-Wizard:

1. Hostname: z. B. pfsense-hd
2. DNS: 8.8.8.8, 8.8.4.4 (oder eigener DNS)
3. WAN: DHCP (für die meisten Heimanschlüsse) oder PPPoE (DSL)
4. LAN: 192.168.1.1/24 (oder gewünschtes Netz)
5. Admin-Passwort ändern
6. Reload → pfSense ist konfiguriert

Firewall-Regeln

Standardverhalten

• LAN → WAN: Alles erlaubt (Default-Regel)
• WAN → LAN: Alles blockiert (kein Zugang von außen)

Eigene Regel – LAN-Traffic einschränken

Firewall → Regeln → LAN:

Klicken Sie auf Hinzufügen (Pfeil nach oben = Insert Before):

• Action: Block
• Interface: LAN
• Protocol: TCP
• Destination Port: 25 (SMTP direkt aus LAN blockieren → nur via Mailserver)
• Beschreibung: "Block direct SMTP"

Port-Weiterleitung (NAT)

Für interne Server:
Firewall → NAT → Port Forward → Hinzufügen:

• Interface: WAN
• Protocol: TCP
• Destination: WAN Address
• Destination Port Range: 443
• Redirect Target IP: 192.168.1.100 (interner Webserver)
• Redirect Target Port: 443
• NAT Reflection: Pure NAT

pfSense erstellt automatisch eine passende Firewall-Regel.

DHCP-Server

Services → DHCP Server → LAN:

• Enable: ✓
• Range: 192.168.1.100 – 192.168.1.200
• DNS Servers: 192.168.1.1 (pfSense selbst als DNS nutzen)
• Lease Time: 86400 (1 Tag)

DNS Resolver (Unbound)

pfSense hat einen eingebauten Unbound DNS Resolver der direkt die Root-DNS-Server fragt:

Services → DNS Resolver:

• Enable: ✓
• DNSSEC: ✓ (aktivieren für DNS-Sicherheit)
• DNS Query Forwarding: Optional (deaktiviert = direktes Auflösen)

Lokale Hostnamen: Host Overrides hinzufügen:

• Hostname: server01
• Domain: ihrefirma.de
• IP: 192.168.1.50

VPN mit OpenVPN einrichten

VPN → OpenVPN → Wizards:

Der Wizard führt durch die OpenVPN-Konfiguration:

1. Typ: Remote Access (SSL/TLS + Auth)
2. Zertifikat-Autorität erstellen
3. Server-Zertifikat erstellen
4. Tunnel-Netzwerk: 10.8.0.0/24
5. Lokales Netzwerk: 192.168.1.0/24 (für Split-Tunnel)
6. Wizard abschließen → Firewall-Regeln werden automatisch erstellt

Client-Export:
VPN → OpenVPN → Client Export Utility → Installer für Windows/macOS/Linux herunterladen.

Wichtige Pakete

System → Package Manager → Available Packages:

pfSense aktuell halten

System → Update → System Update: Aktuelle Version prüfen und updaten.

Automatische Update-Checks: System → Update → Update Settings → Check Frequency: Daily

FAQ

pfSense oder OPNsense – was nehmen?
OPNsense ist vollständig open-source (keine kommerziellen Einschränkungen), hat eine modernere UI und häufigere Updates. pfSense CE hat mehr Community-Ressourcen und Tutorials. Beide sind exzellente Firewalls – wählen Sie nach Präferenz.

Kann pfSense auf einem Raspberry Pi laufen?
Nicht offiziell. pfSense ist für x86-Hardware optimiert. Für ARM-Plattformen: OpenWRT oder OPNsense mit ARM-Unterstützung (experimentell).

Was kostet pfSense Plus (kommerziell)?
Netgate bietet Bundles ab ~130 €/Jahr. Die CE-Version bleibt kostenlos.

Fazit

pfSense ist die bekannteste Open-Source-Firewall und eine ernsthafte Alternative zu kommerziellen Lösungen. Mit den verfügbaren Paketen erreichen Sie enterprise-grade Schutz.

Als Firewall-Spezialisten in Heidelberg installieren und konfigurieren wir pfSense und OPNsense für KMU in Mannheim, Ludwigshafen und der Rhein-Neckar-Region. Jetzt Firewall-Beratung anfragen.