Einleitung
Dies ist eine praktische Anleitung: Am Ende haben Sie vier isolierte Netzzonen, Deep Packet Inspection und Ausgangsfilterung – alles in etwa 60 Minuten und ohne jede Jahreslizenz.
Das typische Setup eines kleinen Büros hat keine VLAN-Isolierung, keine Inhaltsprüfung, keine Ausgangsfilterung und betreibt Dienste ohne Authentifizierung – Ollama zum Beispiel lauscht auf Port 11434, ohne Zugangsdaten zu verlangen. Wir lösen alle vier Punkte auf einmal.
Was Sie brauchen
Nano-N1241
Außerdem brauchen Sie:
- ✓ Einen USB-Stick mit mindestens 4 GB
- ✓ Monitor und Tastatur (nur für die Installation)
- ✓ Zwei Ethernet-Kabel
- ✓ Software: OPNsense (kostenlos) und das Plugin Zenarmor
Netzarchitektur
Die vier Ports des N1241 werden zu vier Zonen. Sie brauchen weder einen Managed Switch, noch müssen Sie trunking konfigurieren – jede Zone hat ihr eigenes Kabel.
| Port | Schnittstelle | Subnetz | Zweck |
|---|---|---|---|
| 1 | WAN | DHCP | Internet |
| 2 | LAN | 192.168.1.0/24 | Vertrauenswürdige Arbeitsplätze |
| 3 | AI_LAB | 192.168.20.0/24 | Inferenzserver und Agenten |
| 4 | IOT | 192.168.30.0/24 | Kameras, Sensoren, smarte Geräte |
Die sieben Phasen der Installation
Halten Sie die Reihenfolge ein. Jede Phase ist in sich abgeschlossen – Sie können nach jeder pausieren und später ohne Arbeitsverlust weitermachen.
Installations-USB-Stick erstellen
5 min- 1.1Laden Sie das Image "amd64 vga" im Format .img.bz2 von opnsense.org/download herunter.
- 1.2Entpacken Sie es mit 7-Zip (Windows) oder bunzip2 (Linux/macOS).
- 1.3Schreiben Sie das Image mit Rufus (Windows) oder dd (Linux/macOS) auf den Stick.
OPNsense installieren
15 min- 2.1Schließen Sie Tastatur und Monitor an den N1241 an und booten Sie vom USB-Stick.
- 2.2Melden Sie sich im Installer mit dem Benutzer installer und dem Passwort opnsense an.
- 2.3Wählen Sie "Install (UFS)" und verwenden Sie das ganze Laufwerk.
- 2.4Legen Sie das Root-Passwort fest, starten Sie neu und entfernen Sie den Stick.
Erste Web-Konfiguration
10 min- 3.1Schließen Sie den Laptop an Port 2 (LAN) an und öffnen Sie https://192.168.1.1.
- 3.2Melden Sie sich als root mit dem festgelegten Passwort an.
- 3.3Durchlaufen Sie den Assistenten: Hostname, Zeitzone Europe/Berlin, DNS-Server.
- 3.4Prüfen Sie, dass die WAN per DHCP eine Adresse vom Router des Providers erhält.
Isolations-VLANs anlegen
15 min- 4.1Interfaces → Other Types → VLAN: Legen Sie VLAN 20 (AI_LAB) auf igc2 und VLAN 30 (IOT) auf igc3 an.
- 4.2Vergeben Sie statische Adressen: 192.168.20.1/24 und 192.168.30.1/24.
- 4.3Aktivieren Sie auf jeder neuen Schnittstelle einen DHCP-Server.
- 4.4Prüfen Sie, dass ein Client in jeder Zone eine Adresse erhält und DNS auflöst.
Zenarmor installieren
10 min- 5.1System → Firmware → Plugins: Suchen und installieren Sie os-zenarmor.
- 5.2Registrieren Sie sich bei sunnyvalley.io und holen Sie den Aktivierungsschlüssel.
- 5.3Aktivieren Sie das Blockieren von Malware, Botnetzen und Phishing.
- 5.4Starten Sie die Engine im Zenarmor-Dashboard und wählen Sie die zu prüfenden Schnittstellen.
Firewall-Regeln schreiben
10 min- 6.1AI_LAB: Ziel 192.168.1.0/24 blockieren (das vertrauenswürdige LAN).
- 6.2AI_LAB: ausgehenden Verkehr ins Internet erlauben.
- 6.3IOT: Ziel LAN und Ziel AI_LAB blockieren.
- 6.4IOT: nur DNS (Port 53) und HTTPS (Port 443) für Firmware-Updates erlauben.
Testen
5 min- 7.1Versuchen Sie von einem Client in AI_LAB auf das NAS im LAN zuzugreifen – das muss scheitern.
- 7.2Rufen Sie vom selben Client eine Website im Internet auf – das muss funktionieren.
- 7.3Versuchen Sie von einem IOT-Client AI_LAB zu erreichen – das muss scheitern.
- 7.4Prüfen Sie im Zenarmor-Dashboard, dass der Verkehr nach Anwendung klassifiziert erscheint.
Resultierende Zugriffsmatrix
Nach Phase 6 muss sich das Netz genau so verhalten:
| Von \ Nach | LAN | AI_LAB | IOT | Internet |
|---|---|---|---|---|
| LAN | ✓ | ✓ | ✓ | ✓ |
| AI_LAB | × | ✓ | × | ✓ |
| IOT | × | × | ✓ | 53, 443 |
Optional: Whitelist für KI-APIs
Wenn Sie das egress filtering auf die Spitze treiben wollen, legen Sie unter Firewall → Aliases einen Alias vom Typ Host(s) mit den Domains der freigegebenen APIs an – zum Beispiel die Endpunkte von OpenAI, Anthropic, Google, Mistral und Cohere.
Ersetzen Sie dann die allgemeine Regel “AI_LAB erlaubt Ausgang” durch eine Regel, die nur dieses Alias als Ziel auf Port 443 erlaubt. Ab dann kann ein kompromittierter Agent nichts an einen Server senden, der nicht auf der Liste steht – und der Versuch wird protokolliert.
Fehlerbehebung
192.168.1.1 lässt sich nicht öffnen
Prüfen Sie, dass das Kabel in Port 2 steckt und der Laptop auf DHCP steht. Bleibt das Problem, schließen Sie einen Monitor an den N1241 an und weisen Sie die Schnittstellen über Option 1 der Konsole neu zu.
Die WAN erhält keine Adresse
Der Router des Providers verteilt möglicherweise dasselbe Subnetz 192.168.1.0/24. Ändern Sie das LAN von OPNsense auf 192.168.10.0/24 und versuchen Sie es erneut.
Zenarmor startet nicht
Es braucht mindestens 8 GB RAM, wenn die Engine auf mehreren Schnittstellen aktiv ist. Prüfen Sie auch, ob der Aktivierungsschlüssel akzeptiert wurde.
Clients im VLAN ohne DNS
Die IOT-Regel erlaubt Port 53, aber der Client nutzt eventuell DNS-over-HTTPS. Erzwingen Sie im DHCP-Bereich der Zone den DNS-Server von OPNsense.
Fazit
Eine Stunde Arbeit bringt Ihnen vier isolierte Zonen, Bedrohungserkennung mit threat intelligence, Isolierung der KI-Lasten und ein IoT-Netz, das nichts anderes erreichen kann. Das ist die Segmentierung, die man von einem Unternehmen erwartet – ohne Jahresrechnung.
Empfohlene nächste Schritte: Konfigurations-Backup exportieren, Zwei-Faktor-Authentifizierung für die Weboberfläche aktivieren, WireGuard für den Fernzugriff einrichten und Firmware-Updates wöchentlich prüfen. Für den Hintergrund und die Bedrohungen hinter dieser Konfiguration lesen Sie Selbst gehostete und hybride KI: Warum Sie eine eigene Firewall brauchen.
Hardware für diese Anleitung
Lüfterlose Appliances, getestet mit OPNsense, pfSense und Zenarmor.
