Wie cachito labs eine OPNsense-Firewall auf dem ZimaBoard 2 erstellt

Vielen Dank an cachito labs für die Dokumentation dieses durchdachten ZimaBoard-2-Projekts. In seinem ursprünglichen Build-Video wird ein ISP-Problem zu einer praxisnahen Lektion über Routing, Firewall-Richtlinien, DNS-Privatsphäre und VPN-Ausgänge. Die nützliche Idee besteht nicht einfach darin, eine Konfiguration zu kopieren, sondern zu verstehen, wie ein kleiner dedizierter Computer zum Kontrollpunkt für ein gesamtes Heimnetzwerk werden kann.

Dieser Überblick ist besonders hilfreich, wenn dein ISP-Gateway dir nur wenig Kontrolle über Routing oder Privatsphäre gibt. Er beschreibt den Wechsel von einer providerseitigen Verbindung zu einem ZimaBoard 2 mit OPNsense und zeigt anschließend, wie Firewall-Regeln, DNS-Entscheidungen und VPN-Routing das Verhalten des Netzwerks verändern. Die folgenden Abschnitte machen aus diesem Aufbau einen wiederverwendbaren Entscheidungsleitfaden statt eines Transkripts mit Zeitstempeln.

Hinweis zur Zusammenarbeit: Die Beschreibung des Originalvideos enthält einen Affiliate-Hinweis für Produkte oder Dienstleistungen, auf die im Aufbau möglicherweise verwiesen wird. Der folgende Artikel fasst die eigene Konfiguration und den vorgesehenen Einsatz von cachito labs zusammen. Softwareversionen, Details der Benutzeroberfläche, Hardwarepakete und Kompatibilität können sich nach der Veröffentlichung ändern.

Das Ergebnis: ZimaBoard 2 Mini-Home-Server  ist kein Mini-Ersatz für einen Rack-Server mit vielen Kernen. Seine Stärke liegt in der Kombination aus leisem Betrieb, zwei 2,5-GbE-Netzwerkanschlüssen, direktem SATA-Speicher und offener PCIe-Erweiterung in einem kleinen x86-System, dem eine klar definierte Rolle im Heimnetzwerk zugewiesen werden kann: eine dedizierte OPNsense-Firewall und Routing-Appliance.

Konzentriere dich beim Ansehen auf drei miteinander verbundene Änderungen: Das ZimaBoard 2 wird zum Netzwerk-Gateway, OPNsense trennt Firewall- und NAT-Richtlinien vom DNS-Verhalten, und das VPN erzeugt für ausgewählten Datenverkehr eine andere Ausgangsidentität. Diese Ebenen erklären, warum das Projekt die Sichtbarkeit des ISP reduzieren kann, ohne vollständige Anonymität zu versprechen.

Wenn ein ISP darauf besteht, das Gerät am Netzwerkrand zu kontrollieren, gehen vor allem Transparenz und Wahlmöglichkeiten verloren. Eine separate Firewall stellt beides wieder her. Das ZimaBoard 2 sitzt zwischen der Providerverbindung und dem restlichen Heimnetz, während OPNsense entscheidet, welcher Datenverkehr erlaubt ist, wohin er geleitet wird und welche Dienste Namen auflösen oder über ein VPN verlassen sollen. Diese Trennung macht das Netzwerk leichter verständlich und später einfacher anpassbar.

Wie aus einem ISP-Problem ein Firewall-Projekt wurde

Der Aufbau beginnt mit einer bekannten Frustration im Heimnetzwerk: Der Anbieter möchte nicht, dass der Kunde seinen eigenen Router direkt am Netzwerkrand betreibt. Statt das ISP-Gateway als Gehirn des Netzwerks zu behandeln, verlagert cachito labs Routing und Richtlinien auf Hardware, die der Besitzer kontrolliert. Das Ergebnis ist eine klare Grenze: Der ISP stellt die Verbindung bereit, während die lokale Firewall das private Netzwerk verwaltet.

Diese Unterscheidung ist wichtig, weil ein All-in-one-Gateway mehrere Aufgaben hinter einer einzigen Oberfläche verbirgt. Routing, Adressübersetzung, DNS-Weiterleitung, WLAN-Zugang und Sicherheitsregeln können alle gebündelt sein. Eine dedizierte Firewall macht diese Aufgaben zu getrennten Entscheidungen. Du kannst den Access Point ersetzen, ohne den Router auszutauschen, nur ausgewählte Geräte durch ein VPN leiten oder das DNS-Verhalten ändern, ohne das gesamte LAN neu zu entwerfen.

Warum das ZimaBoard 2 für die Firewall-Rolle geeignet ist

Eine Firewall muss nicht wie ein Desktop-PC aussehen. Sie benötigt zuverlässige Netzwerkschnittstellen, ausreichend Leistungsreserven für die ausgewählten Dienste und eine Bauform, die dauerhaft eingeschaltet bleiben kann. Das ZimaBoard 2 ist eine kompakte x86-Plattform mit zwei 2,5-GbE-Anschlüssen und eignet sich dadurch als zweiseitiges Gerät: Ein Anschluss ist dem ISP oder vorgeschalteten Modem zugewandt, der andere versorgt den internen Switch.

Die Hardware ist jedoch nur das Fundament. Ein dediziertes Gerät am Netzwerkrand verändert auch das Ausfallmodell. Wenn es neu startet oder die Stromversorgung verliert, kann das gesamte Zuhause die Verbindung verlieren. Deshalb sollte der Aufbau einen Wiederherstellungsplan enthalten: Halte eine funktionierende Konfigurationssicherung bereit, beschrifte beide Ethernet-Verbindungen und stelle sicher, dass die lokale Administration auch bei nicht verfügbarer WAN-Verbindung möglich bleibt. Kleine Hardware ist praktisch, verdient aber trotzdem eine Pflege auf Infrastrukturniveau.

Die Netzwerkarchitektur muss stimmen, bevor Regeln wichtig werden

Bevor du eine Firewall-Regel erstellst, zeichne den vorgesehenen Weg eines Pakets auf. Die Upstream-Schnittstelle empfängt die providerseitige Adresse, die Downstream-Schnittstelle verwaltet das private Subnetz, und jeder Client verwendet die ZimaBoard-2-Adresse als Standard-Gateway. Wenn diese Beziehungen nicht stimmen, kann auch ein perfekt aussehendes Regelwerk die Topologie nicht reparieren.

Diese Gateway-Position ermöglicht es der Firewall, den Datenverkehr aller verwalteten Geräte zu sehen. Sie kann eine gemeinsame Richtlinie für den gesamten Haushalt oder spezifischere Richtlinien für VLANs, Server, Arbeitsstationen und Smart-Home-Geräte anwenden. Das Design macht auch die Fehlersuche systematischer: Teste zuerst das WAN, dann das LAN-Gateway, anschließend DNS und untersuche erst danach Probleme auf Anwendungsebene.

OPNsense auf einem dedizierten Edge-Gerät installieren

Die Installation von OPNsense auf einem kleinen x86-Computer ist eine praktische Möglichkeit, generische Hardware in einen zweckgebundenen Router zu verwandeln. Das Image wird auf ein bootfähiges Laufwerk geschrieben, das Gerät startet von diesem Medium, und das Installationsprogramm platziert das Betriebssystem auf dem internen Speicher. Nach dem ersten Start dient die Konsole dazu, die physischen Schnittstellen zuzuweisen, bevor das Web-Dashboard die Verwaltung übernimmt.

Bei der Schnittstellenzuweisung solltest du dir Zeit nehmen. Eine Bezeichnung wie „WAN“ oder „LAN“ ist nur dann hilfreich, wenn sie mit dem tatsächlichen Kabel und Anschluss übereinstimmt. Prüfe den Link-Status, verbinde jeweils nur eine Seite und halte das anfängliche Layout einfach. Später können zusätzliche Netzwerke und Dienste ergänzt werden, ohne raten zu müssen, welche physische Schnittstelle sie führt.

Schnittstellen, Gateways, NAT und die erste funktionierende Route

Nach der Zuweisung der Schnittstellen benötigt OPNsense ein Upstream-Gateway und eine private LAN-Adresse. Die LAN-Adresse wird zur Standardroute der Clients, während das WAN-Gateway auf die ISP-Hardware verweist. Die Adressübersetzung ermöglicht es anschließend privaten Clients, gemeinsam die Upstream-Verbindung zu nutzen – das übliche Muster für ein Heimnetzwerk hinter einer öffentlichen Adresse.

Überprüfe in dieser Phase zunächst die grundlegende Verbindung, bevor du Datenschutzfunktionen hinzufügst. Ein Client sollte eine Adresse erhalten, das Firewall-Dashboard erreichen, einen Testnamen auflösen und das öffentliche Internet erreichen können. Wenn du diese Ebenen getrennt testest, verhindert das, dass eine VPN- oder DNS-Änderung einen einfacheren Fehler bei Verkabelung, DHCP oder Gateway verdeckt.

Firewall-Regeln und DNS-Privatsphäre sind unterschiedliche Ebenen

Firewall-Regeln beantworten die Frage: „Welcher Datenverkehr ist erlaubt?“ NAT beantwortet: „Wie teilt sich privater Datenverkehr die Upstream-Adresse?“ DNS-Einstellungen beantworten: „Welcher Resolver verarbeitet eine Namensabfrage?“ Diese Kontrollen greifen ineinander, sind aber nicht austauschbar. Das Erlauben ausgehenden Datenverkehrs verschlüsselt DNS nicht, und die Auswahl eines verschlüsselten Resolvers leitet nicht automatisch den gesamten Anwendungsdatenverkehr durch ein VPN.

Eine sinnvolle Basiskonfiguration erlaubt bestehenden Rückverkehr, lässt nur die vom Netzwerk benötigten ausgehenden Dienste zu und hält die Administration aus einem vertrauenswürdigen Verwaltungssegment erreichbar. DNS kann anschließend an einen ausgewählten Resolver geleitet werden, wobei – sofern unterstützt – eine verschlüsselte Übertragung aktiviert wird. Ziel ist kein magisch „unsichtbares“ Netzwerk, sondern eine kleinere und bewusstere Gruppe von Parteien, die jede Ebene beobachten oder beeinflussen kann.

Routing durch ein VPN verändert die Ausgangsidentität

Der VPN-Teil des Projekts verändert den Ausgangspfad des Netzwerks. Statt ausgewählten Datenverkehr direkt an den ISP zu senden, baut OPNsense einen Tunnel auf und leitet passende Clients oder Ziele darüber. Externe Dienste sehen dann die Ausgangsadresse des VPN-Anbieters statt der üblichen öffentlichen Adresse des Haushalts.

Das verbessert die Trennung vom ISP, ist aber nicht dasselbe wie vollständige Anonymität. Der ISP kann weiterhin die Verbindung zum VPN-Dienst und allgemeine Merkmale des Datenverkehrs beobachten. Der VPN-Anbieter wird zu einer weiteren Vertrauensstelle, und Websites können Nutzer weiterhin über Konten, Cookies, Browser oder Geräte-Fingerprinting identifizieren. Eine gute Richtlinie beginnt daher mit einer präzisen Frage: Welcher Datenverkehr benötigt aus welchem Grund einen anderen Ausgang?

Ein 3D-gedrucktes Gehäuse und die Platzierung im Rack machen den Aufbau alltagstauglich

Das Gehäuse ist mehr als Dekoration. Es schützt das Board, hält die Ethernet-Verbindungen stabil und erleichtert die Montage der Firewall dort, wo sich Modem und Switch bereits befinden. Eine Platzierung im Rack fördert außerdem eine klare Trennung zwischen Edge-Gerät, WLAN-Access-Points, Speicher und anderen Servern.

Lass ausreichend Platz für Luftzirkulation und Wartungszugang, insbesondere wenn das Board dauerhaft betrieben wird. Beschrifte das Netzteil und beide Netzwerkkabel und platziere die Firewall nicht an einem Ort, an dem ein einziger versehentlicher Zug die WAN-Verbindung trennen kann. Eine kompakte Netzwerk-Appliance ist dann erfolgreich, wenn sie auch sechs Monate nach dem ersten Aufbau noch verständlich ist.

Was dieses Setup verbirgt – und was nicht

Wenn OPNsense auf dem ZimaBoard 2 betrieben wird, kann die interne Struktur des Heimnetzwerks vor dem ISP verborgen werden. Der Anbieter muss nicht mehr jeden privaten Client einzeln verwalten; von außen präsentiert die Edge-Firewall eine kontrollierte Grenze. DNS-Entscheidungen und VPN-Routing können die Menge an Zielinformationen reduzieren, die über den Standardpfad offengelegt werden.

Diese Vorteile haben Grenzen. Der ISP stellt weiterhin die physische Verbindung bereit, kann sehen, dass die Verbindung aktiv ist, und möglicherweise den VPN-Endpunkt oder andere Metadaten erkennen. Die Firewall kann keinen kompromittierten Client schützen, kein Tracking durch einen angemeldeten Dienst verhindern und nicht garantieren, dass jede Anwendung der vorgesehenen Route folgt. Betrachte das Projekt als Netzwerksteuerung und Segmentierung, nicht als Versprechen vollständiger Privatsphäre.

Wer sollte eine ZimaBoard-2-OPNsense-Firewall bauen?

Dieses Design eignet sich hervorragend für technisch interessierte Haushalte, die Kontrolle über Routing, DNS, VPN-Richtlinien und künftige Segmentierung wünschen, ohne eine große Enterprise-Appliance zu kaufen. Es ist auch für ein Labor nützlich, in dem mehrere Dienste eine vorhersehbare Netzwerkkonfiguration benötigen und der Besitzer den Weg jedes Pakets verstehen möchte.

Weniger geeignet ist es, wenn null Wartungsaufwand oberste Priorität hat. Für jemanden, der sich nicht um Updates, Backups, Zertifikate, VPN-Zugangsdaten und Wiederherstellungsverfahren kümmern möchte, kann ein verwaltetes Gateway die bessere Wahl sein. Für alle anderen bietet die Kombination aus einem stromsparenden Board und einer transparenten Firewall-Plattform einen praktischen Mittelweg zwischen einer ISP-Box und einem vollständigen Rack-Server.

Fazit

Das Projekt von cachito labs zeigt, warum ein kleiner Computer einen überproportional großen Einfluss auf ein Heimnetzwerk haben kann. Das ZimaBoard 2 stellt die kompakte Plattform mit zwei Schnittstellen bereit, OPNsense liefert die Richtlinien-Engine, und der Besitzer entscheidet, wie DNS, NAT, Firewall-Regeln und VPN-Routen zusammenspielen. Die dauerhaft wichtigste Lehre ist architektonischer Natur: Errichte zuerst ein korrektes Gateway, teste jede Ebene unabhängig und füge anschließend Datenschutz- und Routing-Funktionen mit einem klaren Verständnis dafür hinzu, was sie verbergen können – und was nicht.

Für einen ähnlichen stromsparenden Edge-Aufbau entdecke ZimaBoard 2 Mini-Home-Server . Informationen zur Firewall findest du auf der offiziellen OPNsense-Website. Wenn du Konfigurationen vergleichen und deinen eigenen Home-Server-Aufbau teilen möchtest, tritt der ZimaSpace-Discord-Community bei.