Tutorial

Configure Your PfSense Firewall LIKE A PRO 2025

Melden

Hier ist ein umfassendes Tutorial, wie du deine pfSense-Firewall im Jahr 2025 auf Profi-Niveau konfigurierst. Wir konzentrieren uns auf Sicherheit, Performance und moderne Standards wie WireGuard und DNS over TLS.

Im Jahr 2025 ist eine einfache Firewall nicht mehr genug. Bedrohungen sind komplexer, und Privatsphäre ist wichtiger denn je. Dieses Tutorial führt dich durch die optimale Einrichtung.

1. Die Basis: Installation und erste Härtung

Bevor wir ins Detail gehen, muss das Fundament stehen.

  • Version: Stelle sicher, dass du die aktuellste Version (pfSense Plus oder CE) installiert hast.
  • Default Passwords: Ändere sofort das Admin-Passwort unter System > User Manager.
  • WebGUI-Sicherheit:
    • Gehe zu System > Advanced > Admin Access.
    • Stelle das Protokoll auf HTTPS.
    • Ändere den Standard-Port (z. B. auf 4443 statt 443), um automatisierte Scans zu erschweren.
    • Aktiviere Secure Shell (SSH) nur mit Public-Key-Authentifizierung, falls benötigt.

2. Netzwerk-Segmentierung: VLANs (Der Profi-Weg)

Ein Profi lässt nicht alle Geräte im selben Netz. Trenne dein Netzwerk in logische Zonen:

  1. MANAGEMENT (VLAN 10): Nur für Netzwerkgeräte (pfSense, Switches, APs).
  2. TRUSTED (VLAN 20): Deine Haupt-PCs, Laptops, NAS.
  3. IOT (VLAN 30): Smarte Lampen, Kameras (kein Internetzugriff oder stark limitiert).
  4. GUEST (VLAN 40): Isoliertes Netz für Besucher.

Vorgehen:

  • Unter Interfaces > Assignments > VLANs die Tags erstellen.
  • Unter Interfaces > Assignments die VLANs den physischen Ports zuweisen.
  • Jedes Interface aktivieren und eine statische IPv4 vergeben.

3. Firewall-Regeln: Das "Zero Trust" Prinzip

Standardmäßig blockiert pfSense alles Eingehende (WAN) und erlaubt alles Ausgehende (LAN). Ein Profi verfeinert das:

  • Verwende Aliase (Firewall > Aliases): Erstelle Gruppen für IPs und Ports. Statt "192.168.1.50" nennst du es "Media_Server". Das macht Regeln lesbar.
  • Regel-Reihenfolge:
    1. Floating Rules: Für globale Regeln (z.B. ICMP/Ping begrenzen).
    2. Reject/Block: Unerwünschten Traffic explizit blockieren.
    3. Allow: Nur das erlauben, was nötig ist.
  • Kill-Switch für IOT: Erlaube IoT-Geräten den Zugriff auf den DNS der pfSense, aber blockiere den Zugriff auf deine anderen VLANs.

4. DNS über TLS (DoT) für maximale Privatsphäre

Im Jahr 2025 sollte dein ISP nicht sehen, welche Webseiten du besuchst.

  1. Gehe zu Services > DNS Resolver > General Settings.
  2. Aktiviere DNSSEC.
  3. Scrolle zu Custom Options oder nutze das GUI (je nach Version), um Forwarding zu aktivieren.
  4. Unter System > General Setup: Trage verschlüsselte DNS-Server ein (z.B. Quad9: 9.9.9.9 mit Hostname dns.quad9.net).
  5. Aktiviere unter DNS Resolver: Enable Forwarding Mode und Use SSL/TLS for outgoing DNS Queries to Upstream Forwarders.

5. Must-Have Packages (Die Pro-Tools)

Gehe zu System > Package Manager und installiere:

  • pfBlockerNG-devel: Das wichtigste Tool. Es blockiert Werbung, Tracker und ganze Länder (Geo-IP) auf IP-Ebene.
    • Pro-Tipp: Aktiviere IP-Blocklisten (z.B. Priority-Listen von CrowdSec oder FireHOL).
    • DNSBL: Nutze Listen wie "OISD", um Werbung im gesamten Netzwerk zu eliminieren.
  • WireGuard: Der Goldstandard für VPNs 2025. Es ist schneller und sicherer als OpenVPN.
    • Richte einen WireGuard-Tunnel ein, um von unterwegs sicher auf dein Heimnetz zuzugreifen.
  • Suricata (IDS/IPS): Zur Erkennung von Eindringlingen.
    • Achtung: Erfordert leistungsstarke Hardware (CPU-Last!).

6. Traffic Shaping (Bufferbloat minimieren)

Damit dein Gaming-Ping nicht steigt, wenn jemand Netflix schaut:

  1. Gehe zu Firewall > Traffic Shaper > Wizards.
  2. Starte den Traffic Shaper Dedicated Pipe Wizard.
  3. Gib deine Bandbreite (etwas unter dem Maximum) an.
  4. Nutze den FQ_CODEL Algorithmus. Er ist 2025 der effektivste Weg, um Verzögerungen zu minimieren.

7. Monitoring & Backups

Ein Profi weiß, was in seinem Netz passiert.

  • Status > Dashboard: Passe dein Dashboard an. Füge Widgets für "Traffic Graphs", "Interface Statistics" und "pfBlockerNG" hinzu.
  • Auto Config Backup: Gehe zu Services > Auto Config Backup. pfSense sichert deine Konfiguration verschlüsselt in die Cloud der Netgate-Server (kostenlos).
  • Dark Mode: Gehe zu System > General Setup und wähle ein modernes Theme wie "pfSense-dark", um deine Augen zu schonen.

Fazit für 2025

Eine Profi-Konfiguration zeichnet sich nicht durch die meisten Regeln aus, sondern durch die logischsten.

  1. Segmentiere mit VLANs.
  2. Verschlüssele deinen DNS-Traffic.
  3. Automatisiere Blocklisten mit pfBlockerNG.
  4. Sichere den Fernzugriff mit WireGuard.

Mit diesem Setup bist du für die Bedrohungslage der nächsten Jahre bestens gerüstet!

0