Die Fritzbox ist für viele Haushalte der Standard: anschließen, Zugangsdaten eintragen und das Netzwerk läuft. Für ein einfaches Heimnetz ist das auch völlig in Ordnung. Sobald man aber mehr Kontrolle über sein Netzwerk möchte, stößt man relativ schnell an Grenzen.
Bei mir lief bisher eine Fritzbox 7490. Sie hat ihren Dienst getan, war inzwischen aber spürbar langsam und bot mir für den geplanten Ausbau des Heimnetzes schlicht zu wenig Möglichkeiten.
Die Entscheidung fiel deshalb: Fritzbox raus – Modem und Firewall werden getrennt.
Mein neuer Aufbau
Der Internetzugang besteht jetzt im Wesentlichen aus zwei Geräten:
- DrayTek Vigor 167 als reines DSL-Modem
- J6412 Mini-PC mit 8 GB RAM, auf dem OPNsense läuft
Der Vigor 167 übernimmt dabei nur noch die DSL-Verbindung. Routing, Firewall, DHCP, VLANs und die eigentliche Netzwerkkontrolle erledigt komplett OPNsense.
Damit wird aus einer klassischen All-in-One-Routerlösung ein deutlich flexibleres Setup.
Internet / DSL
│
DrayTek Vigor 167
│
OPNsense
J6412 / 8 GB
│
Managed Switch
│
├─ Benutzer
├─ Server
├─ WLAN
├─ IoT
└─ weitere VLANs
Warum überhaupt der Aufwand?
Der Hauptgrund war für mich nicht die reine Geschwindigkeit.
Ich wollte mein Netzwerk sauber segmentieren.
Server, normale Benutzergeräte, WLAN-Komponenten und IoT-Geräte müssen nicht zwangsläufig alle im gleichen Netz miteinander kommunizieren können. Mit OPNsense lassen sich dafür VLANs und sehr gezielte Firewall-Regeln erstellen.
Ein Fernseher muss beispielsweise nicht auf meinen Server zugreifen können. Ein IoT-Gerät benötigt normalerweise ebenfalls keinen Zugriff auf das komplette interne Netzwerk.
Genau diese Trennung ist mit einer vollwertigen Firewall erheblich komfortabler umzusetzen.
Mehr Kontrolle mit Zenarmor
Zusätzlich läuft auf der OPNsense Zenarmor. Damit lässt sich der Netzwerkverkehr wesentlich detaillierter analysieren und über Policies steuern.
Das wird auch bei ganz alltäglichen Dingen interessant.
Für Geräte wie einen Fernseher im Kinderzimmer können beispielsweise eigene Regeln definiert werden. Bestimmte Dienste oder Kategorien lassen sich blockieren, sodass etwa YouTube auf genau diesem Gerät gesperrt werden kann, ohne deshalb YouTube im gesamten Haushalt abschalten zu müssen.
Der entscheidende Vorteil ist für mich deshalb weniger eine einzelne Funktion als die Kombination aus:
- VLANs
- Firewall-Regeln
- Geräte-Gruppen
- unterschiedlichen Security-Policies
- Traffic-Analyse
Und schafft der kleine J6412 das?
Das war eine meiner interessantesten Fragen beim Aufbau.
Der eingesetzte Intel J6412 ist schließlich keine besonders leistungsfähige Desktop-CPU. Trotzdem sieht die bisherige Praxis sehr gut aus.
Im normalen Betrieb inklusive OPNsense und laufendem Zenarmor liegt die CPU-Auslastung bei mir überwiegend ungefähr bei:
- 28–30 % User
- 5–7 % System
- insgesamt also meist etwa 35 % CPU-Last
Damit bleibt noch genügend Leistungsreserve.
Temperatur und Kühlung
Auch thermisch macht das System einen sehr guten Eindruck.
Der Mini-PC wird aktiv von einem Noctua-Lüfter gekühlt, der sogar über einen Silent- beziehungsweise Low-Noise-Adapter mit reduzierter Drehzahl läuft.
Der Lüfter ist praktisch nicht zu hören.
Trotzdem bewegt sich die CPU über längere Zeit lediglich ungefähr zwischen:
37 und 45 °C.
Auch die 8 GB RAM sind für meinen derzeitigen Aufbau völlig ausreichend. Im bisherigen Betrieb gibt es weder bei CPU noch Arbeitsspeicher Hinweise darauf, dass das System an seine Grenzen kommt.
Für meinen aktuellen DSL-Anschluss ist der J6412 damit mehr als ausreichend.
Was kostet der Spaß?
Ganz billig ist der Umstieg natürlich nicht.
Für meinen Aufbau lagen die Kosten ungefähr bei:
| Komponente | Preis |
|---|---|
| J6412 Mini-PC mit 8 GB RAM | ca. 240 € |
| DrayTek Vigor 167, gebraucht | ca. 100 € |
| Gesamt | ca. 340 € |
Dazu kommen gegebenenfalls noch ein Managed Switch und passende Access Points, wenn VLANs wirklich konsequent durch das gesamte Netzwerk gezogen werden sollen.
Eine Fritzbox bekommt man natürlich mit deutlich weniger Aufwand betriebsbereit.
Fazit
340 Euro nur um eine Fritzbox zu ersetzen sind viel Geld.
Wer lediglich Internet und WLAN benötigt, braucht diesen Aufwand vermutlich nicht.
Wer sein Netzwerk aber wirklich kontrollieren möchte, bekommt mit Vigor 167 + OPNsense eine völlig andere Klasse von Möglichkeiten.
VLAN-Segmentierung, detaillierte Firewall-Regeln, Zenarmor, unterschiedliche Policies für einzelne Geräte und später auch umfangreiches Monitoring sind genau die Funktionen, die ich haben wollte.
Für mich war der Wechsel deshalb trotz der höheren Kosten eindeutig sinnvoll.
Die Fritzbox war einfacher.
OPNsense ist dafür deutlich flexibler – und genau darum ging es mir.
