Version 1.32.1 · Quellcode einsehbar · selbst gehostet
Alle OPNsense-Firewalls. Eine Konsole.
OPNexus pflegt Regeln, NAT, Netzwerk, VPN, Zertifikate und Updates mehrerer OPNsense-Firewalls zentral – und rollt sie per API aus, mit Vorschau, Bestätigung und automatischem Rollback. Auf dem Desktop, Tablet und Smartphone.
OPNexus ist von Grund auf für kleine Bildschirme gebaut: Eine Störung am Wochenende lässt sich vom Sofa prüfen, ein Update im Zug vorbereiten. Alle Ansichten funktionieren ab 375 Pixel Breite.
Dashboard
Regeln
Cluster
Update Center
Große Tippflächen
Schaltflächen und Menüs sind für den Daumen gemacht – keine Mini-Links in dichten Tabellen.
Kompakte Navigation
Hauptbereiche als Symbolleiste, Unterseiten darunter. Mit der Schnellsuche (Strg/⌘+K) springst du überall hin.
Hell und Dunkel
Das Farbschema folgt dem System oder deiner Wahl – auch nachts im Serverraum gut lesbar.
Barrierearm
Automatisch mit axe-core auf allen 32 Seiten geprüft (WCAG 2.2 AA), vollständig per Tastatur bedienbar.
Hell oder dunkel
Beide Farbschemata, gleiche Klarheit
Ziehe den Regler: links das dunkle, rechts das helle Design. Die Seite hier folgt ebenfalls deinem System.
DunkelHell
Alles im Überblick
Der vollständige Funktionsumfang
Mehr als eine Regelverwaltung: der laufende Betrieb einer Firewall-Flotte.
Flotte & Hochverfügbarkeit
Zentrale Host-Liste
Cluster-Ansicht
CARP-Ereignis-Historie
CARP-Wartungsmodus
Ressourcen-Verlauf
Dienste-Steuerung
Dashboard
Host-Adresse änderbar
Regelwerk
Zentrale Firewall-Regeln
Vorschau → Ausrollen → Bestätigen
Hierarchische Policies
Gerätegruppen
Aliase
Verlauf je Regel
Drift-Erkennung
Sperrschutz
Bestand übernehmen
Standort-Variablen
Welche Regel trifft?
Regelnutzung
Netzwerk
Schnittstellen & VLANs
Virtuelle IPs
Gateways & Routen
DNS & DHCP
Geräte
Diff-Vorschau & Backup
Schutz vor Selbst-Aussperrung
Cluster-Abgleich
Auf den Partner übertragen
Host-System
Tunables
Cron
Syslog-Ziele
ZFS-Snapshots
Diagnose
NAT & VPN
Port-Forward
1:1-NAT und Outbound-NAT
NAT-Drift
IPsec Site-to-Site
OpenVPN
WireGuard
Zertifikate
Live-Überblick
Trust-Store
ACME / Let’s Encrypt
Monitoring & Benachrichtigung
Zentrale Log-Suche
Log-Dashboards
Speicherlimit & Aufbewahrung
Audit-Verlauf
Webhook & E-Mail
Sicherheitslage
Audit-Export
Alarme für Gateway, Ressourcen und Dienste
Mehr Benachrichtigungskanäle
API, Prometheus & KI-Assistenten
Konfiguration als Code
Updates & Wartung
Update Center
Geführter HA-Ablauf
Backup-Check
Geplante Wartung
Rollouts in Wellen
Zurück zur vorherigen Firmware
Update für OPNexus selbst
Update per Klick im Webinterface
Geplante Backups
Verschlüsseltes Offsite-Backup
Vollsicherung von OPNexus
Sicherheit & Betrieb
HTTPS-Proxy
Gepinnte Firewall-Zertifikate
Zwei-Faktor-Anmeldung
Rollen
Login-Infos
Selbst gehostet
Single Sign-on (OIDC)
Rollen & Aufgabentrennung
Firewall-Oberfläche über OPNexus
Management-Tunnel
Bedienung
Mobile first
Schnellsuche
Hell, Dunkel, System
Deutsch und Englisch
Barrierearm
Alle Funktionen mit Beschreibung
Flotte & Hochverfügbarkeit
Zentrale Host-Liste
Live-Status, CARP-Rolle, Cluster- und Policy-Zugehörigkeit; „In OPNsense öffnen“ mit einem Klick.
Cluster-Ansicht
HA-Paare werden über den Cluster-Namen automatisch gruppiert; MASTER und BACKUP stehen nebeneinander.
CARP-Ereignis-Historie
Jeder Rollenwechsel wird protokolliert; Alarm bei Split-Brain oder fehlendem MASTER.
CARP-Wartungsmodus
Optional mit Auto-Revert-Timer (15, 30, 60 Minuten oder dauerhaft).
Ressourcen-Verlauf
CPU-Last, Speicher und Festplatte der letzten 24 Stunden je Host.
Dienste-Steuerung
Dienste einer Firewall anzeigen sowie starten, stoppen und neu starten.
Dashboard
Offene Aktionen, Fleet-Gesundheit, Sicherheits- und Ablaufwarnungen und ein Aktivitäts-Feed.
Host-Adresse änderbar
Verwaltungs-IP anpassen, ohne den Host neu anzulegen; Verlauf und Zuordnungen bleiben erhalten.
Regelwerk
Zentrale Firewall-Regeln
Einmal pflegen, gezielt auf Hosts oder Gerätegruppen ausrollen.
Vorschau → Ausrollen → Bestätigen
Mit Zeitfenster und automatischem Rollback, wenn die Bestätigung ausbleibt.
Hierarchische Policies
Pre-/Post-Rulebases mit Vererbung über Gruppenbäume, in korrekter Reihenfolge.
Gerätegruppen
Hosts bündeln: ein Ziel, viele Firewalls.
Aliase
Netzwerk-Objekte (Host, Netz, Port, Gruppe, MAC, ASN) mit demselben Ablauf wie Regeln.
Verlauf je Regel
Frühere Stände einsehen und wiederherstellen.
Drift-Erkennung
Abweichungen zwischen verwalteter und tatsächlich aktiver Konfiguration werden markiert.
Sperrschutz
Jedes Ausrollen steht zunächst „auf Probe“ – wer sich aussperrt, wird nach Ablauf automatisch zurückgerollt.
Bestand übernehmen
Von Hand in OPNsense angelegte Regeln, Aliase, Port-Forwards, 1:1- und Outbound-NAT in OPNexus übernehmen, bearbeiten und ausrollen – einzeln oder alle auf einmal; die Übernahme selbst schreibt nichts auf die Firewall.
Standort-Variablen
Platzhalter wie {{LAN_NET}} in Regeln, Aliasen und NAT, je Firewall mit eigenem Wert – ein Objekt für viele Standorte; fehlt ein Wert, wird nichts gesendet.
Welche Regel trifft?
Quelle, Ziel, Port und Protokoll eingeben und für jede Firewall sehen, welche Regel das erste Paket tatsächlich erlaubt oder blockiert – in der Reihenfolge von pf, mit aufgelösten Aliasen und Prüfprotokoll. Was sich nicht belegen lässt, steht als „vermutlich“ oder „unbekannt“ da, nie geraten. Auch als MCP-Werkzeug für KI-Assistenten.
Regelnutzung
Zeigt, welche Regeln seit 30 Tagen nichts mehr getroffen haben – auch über Neuladen und Neustart der Firewall hinweg.
Netzwerk
Schnittstellen & VLANs
Zuweisung und IP-Konfiguration (per API ab OPNsense 26.7.6) sowie VLANs je Firewall.
Virtuelle IPs
IP-Alias und CARP-VIPs mit VHID.
Gateways & Routen
Gateways, Gateway-Gruppen und statische Routen.
DNS & DHCP
Unbound-Einträge und -Weiterleitungen, dnsmasq-Hosts sowie Kea-Subnetze und -Reservierungen.
Geräte
LAGG, Bridge, Loopback, GRE sowie VXLAN- und GIF-Tunnel.
Diff-Vorschau & Backup
Jede Änderung zeigt vorab einen Diff; ohne gespeichertes Konfig-Backup wird nichts geändert, danach wird zurückgelesen.
Schutz vor Selbst-Aussperrung
Änderungen, die die eigene Verbindung kappen könnten, brauchen eine ausdrückliche Bestätigung mit Eingabe des Firewall-Namens.
Cluster-Abgleich
Unterschiede der Netzwerk-Konfiguration zwischen den Cluster-Knoten, mit Alarm bei Abweichung.
Auf den Partner übertragen
Ein neu angelegtes Objekt mit einem Klick auch auf dem anderen Cluster-Knoten anlegen – mit eigener Vorschau.
Host-System
Tunables
Kernel-Parameter ansehen und ändern; immer mit Bestätigung.
Cron
Geplante Aufgaben je Firewall verwalten.
Syslog-Ziele
Remote-Logging an zentrale Log-Server einrichten.
ZFS-Snapshots
Anlegen und löschen; der aktive Snapshot ist geschützt.
Diagnose
Ping, Traceroute, Port-Prüfung und DNS-Abfrage – ausgeführt von der Firewall, nur für Admins und im Audit-Log.
NAT & VPN
Port-Forward
Portweiterleitungen zentral definieren und ausrollen.
1:1-NAT und Outbound-NAT
Mit Live-Ansicht der tatsächlich aktiven Regeln auf der Firewall.
NAT-Drift
Unterschiede zwischen den Knoten eines Clusters werden erkannt.
IPsec Site-to-Site
Tunnel mit Pre-Shared-Key zentral verwalten.
OpenVPN
Server- und Client-Instanzen, optional TLS-Crypt, Zertifikat und CA pro Host.
WireGuard
Server und Peers inklusive optionalem Pre-Shared-Key.
Zertifikate
Live-Überblick
Alle Zertifikate und CAs der Flotte mit Restlaufzeit und Status.
Trust-Store
Zertifikate zentral importieren und auf Firewalls verteilen.
ACME / Let’s Encrypt
Ausstellung direkt aus OPNexus – mit Warnhinweis vor jedem Kontakt zu einer echten CA.
Monitoring & Benachrichtigung
Zentrale Log-Suche
Firewall-Logs werden eingelesen, sind durchsuchbar und filterbar.
Log-Dashboards
Top-Quellen, Top-Zielports und Verteilung erlaubt/geblockt.
Speicherlimit & Aufbewahrung
Maximale Größe und Aufbewahrungsdauer der Logs einstellbar.
Audit-Verlauf
Lückenlos, mit JSON-Export; bleibt auch nach dem Löschen von Regeln oder Hosts erhalten.
Webhook & E-Mail
Signierte Webhooks und SMTP-Mail bei Host offline, Zertifikatsablauf, Drift, Split-Brain, Netzwerk-Abweichung und fehlgeschlagenem Rollback.
Sicherheitslage
Wert von 0 bis 100 je Firewall aus Härtungs- und Regel-Hygiene-Prüfungen (offene WAN-Regeln, SSH, SNMP, verdeckte Regeln, alte Backups …), mit Dashboard-Karte, Benachrichtigung und druckbarem Bericht.
Audit-Export
Das Audit zusätzlich an einen Syslog-Server (UDP/TCP/TLS) oder einen signierten Webhook weiterleiten.
Alarme für Gateway, Ressourcen und Dienste
Meldung, wenn ein Gateway ausfällt oder Paketverlust bzw. Latenz zu hoch sind – dazu optional Schwellen für Festplatte, Arbeitsspeicher, Swap und CPU sowie ausgefallene Dienste. Entprellt: Einzelspitzen schicken nichts.
Mehr Benachrichtigungskanäle
Zusätzlich zu E-Mail und Webhook: ntfy, Gotify, Telegram, Microsoft Teams und Matrix, mit Testknopf; Zugangsdaten nur in der Geheimnis-Ablage.
API, Prometheus & KI-Assistenten
API-Tokens mit Bereichen, Prometheus-Metriken, OpenAPI-Schema und ein nur lesender MCP-Zugang für KI-Assistenten.
Konfiguration als Code
Regeln, Aliase, NAT, Gruppen, Hierarchie und Standort-Variablen als eine YAML-Datei für Git und Review exportieren und wieder importieren: erst ein Plan, dann das Übernehmen in die Entwürfe (nie direkt auf eine Firewall). opnexus apply --dry-run für CI.
Updates & Wartung
Update Center
Stabile Updates und Major-Upgrades der ganzen Flotte, mit Neustart-Hinweis.
Geführter HA-Ablauf
Updates zuerst auf dem BACKUP, CARP-Umschaltung mit Bestätigung.
Backup-Check
Lokale Konfigurationssicherung als Voraussetzung; Restore-Vorschau für gespeicherte Backups.
Geplante Wartung
Neustarts und Updates für ein Wartungsfenster vormerken; wiederkehrende Fenster (wöchentlich/monatlich, mit Zeitzone und Sommerzeit) und Selbstprüfung des Ergebnisses.
Rollouts in Wellen
Firmware-Updates für die Flotte in Ringen (z. B. Canary → Pilot → Produktion), mit Beobachtungszeit und Gesundheitsprüfung nach jeder Welle, auf Wunsch mit Erreichbarkeitsproben von der Firewall aus. Bei Rot hält der Rollout an und meldet sich; im Cluster zuerst der BACKUP, dann der MASTER mit CARP-Übergabe.
Zurück zur vorherigen Firmware
Vor jedem Update legt OPNexus ein ZFS-Boot-Environment als Rückweg-Punkt an. „Zur vorherigen Firmware“ stellt es geführt wieder her (mit Vorschau, Sicherung der aktuellen Konfiguration und Markierung der seitdem ausgerollten Objekte).
Update für OPNexus selbst
Release-Images und opnexus update / opnexus rollback; Versionshinweis optional.
Update per Klick im Webinterface
Optional über einen abgeschotteten Updater-Container: mit Fortschritt, automatischem Rollback und „Auf Vorversion zurücksetzen“.
Geplante Backups
Konfigurationssicherung aller Firewalls nach Zeitplan mit Aufbewahrung und Änderungsansicht zwischen zwei Sicherungen (Geheimnisse nur als Hash).
Verschlüsseltes Offsite-Backup
Sicherungen werden auf deinem Server mit einer Passphrase verschlüsselt und auf S3-kompatiblen Speicher kopiert.
Vollsicherung von OPNexus
opnexus backup --full und opnexus restore: Datenbank und alle Geheimnisse in einer verschlüsselten Datei.
Sicherheit & Betrieb
HTTPS-Proxy
Mitgelieferter Caddy mit interner CA – auch für reine IP-Adressen.
Gepinnte Firewall-Zertifikate
OPNexus vertraut genau dem hinterlegten Zertifikat jeder Firewall.
Zwei-Faktor-Anmeldung
TOTP mit Wiederherstellungs-Codes.
Rollen
Admin und Nur-Lesen; Benutzerverwaltung mit Passwort-Reset.
Login-Infos
Letzte Anmeldung und fehlgeschlagene Versuche seit dem letzten Login.
Selbst gehostet
Docker Compose auf deinem Server; deine Daten verlassen ihn nicht.
Single Sign-on (OIDC)
Anmeldung über Authentik, Keycloak, Entra ID oder Google; die Rolle kommt bei jeder Anmeldung aus den Gruppen des Anbieters.
Rollen & Aufgabentrennung
Admin, Operator und Nur-Lesen; optional dürfen nur Admins ausrollen, Operatoren bereiten vor.
Firewall-Oberfläche über OPNexus
Die Weboberfläche einer Firewall mit einem Klick öffnen – auch für Firewalls hinter NAT, die nur über den Management-Tunnel erreichbar sind. Eigene Adresse getrennt von OPNexus, Cookies bleiben auf dem Server, nur für Admins, einmaliges Ticket, Zeitlimits, Audit; OPNexus kennt und speichert keine Firewall-Passwörter. Standardmäßig aus.
Management-Tunnel
Firewalls hinter NAT oder CGNAT verwalten: sie wählen sich per WireGuard nach außen bei einem Hub auf dem OPNexus-Server ein.
Bedienung
Mobile first
Ab 375 Pixel Breite voll nutzbar.
Schnellsuche
Strg/⌘+K springt zu Seiten, Hosts und Einstellungen.
Ein Werkzeug, das Firewalls ändern darf, muss besonders sorgfältig mit Zugangsdaten und Änderungen umgehen.
Nichts ohne Rückweg
Ausrollen steht zunächst auf Probe. Ohne Bestätigung wird zurückgerollt; schlägt der Rollback fehl, bleibt das sichtbar stehen.
Verschlüsselt und gepinnt
Browser und OPNexus sprechen per HTTPS. Firewall-Zertifikate werden gepinnt, statt Warnungen zu übergehen.
Zwei-Faktor und Rollen
TOTP-Anmeldung, Nur-Lesen-Rolle für Beobachter und Audit-Konten.
Lückenloser Audit
Jede Anfrage und jedes Deploy-Ergebnis wird dauerhaft protokolliert.
Keine Telemetrie
OPNexus meldet nichts nach außen. Der Update-Hinweis ist standardmäßig aus und sendet nur eine Versionsabfrage.
Quellcode einsehbar
Du kannst den Code lesen, prüfen und für den eigenen Betrieb anpassen – ohne Lizenzkosten.
Entwicklung
Regelmäßige Releases mit Raubvogel-Namen
OPNexus folgt Semantic Versioning, jede Minor-Version bekommt einen Codenamen.
AktuellRollout-Zielversion
1.32.1 „Merlin“23. Okt. 2026
Korrektur: Rollouts erkennen die Zielversion jetzt auch bei der Business-Edition und beim Wechsel des Release-Typs (Kernpaket opnsense-business/-devel); vorher hielt das Gate fälschlich an. Dazu ein klarerer Plan-Hinweis zu Alias-Namen.
Konfiguration als Code
1.32.0 „Merlin“
Regeln, Aliase, NAT, Gruppen, Hierarchie und Standort-Variablen als YAML exportieren und mit Plan wieder importieren (nur in die Entwürfe, nie direkt auf eine Firewall; opnexus apply --dry-run für CI). Vor jedem Firmware-Update ein Rückweg-Punkt (ZFS-Boot-Environment) und „Zur vorherigen Firmware“; Rollout-Gate mit Erreichbarkeitsproben.
Passwort-Reset repariert
1.31.1 „Vulture“
Korrektur: opnexus password und der 2FA-Reset stürzten ab, funktionieren wieder.
Regeln sicher entfernen
1.31.0 „Vulture“
Gefundene Regel-Kandidaten lassen sich über die gewohnte Vorschau deaktivieren (ohne Bestätigung setzt OPNexus sie automatisch zurück), später löschen und wiederherstellen; mit Schutz des Verwaltungszugangs, nur für Admins. Das Update-Werkzeug holt sich zudem die neuere CLI des Zielreleases (nur mit geprüfter Signatur).
Regeln aufräumen und nachvollziehen
1.30.0 „Owl“
Die Regel-Analyse listet ungenutzte, verdeckte und doppelte Regeln als Kandidaten, und jede Regel hat einen Änderungsverlauf (über OPNexus oder direkt auf der Firewall geändert).
Rechte sichtbar und Härtung
1.29.0 „Caracara“
Fehlende API-Rechte werden angezeigt und gemeldet, Gateway-Alarme lassen sich je Gateway abschalten; Härtung bei Sitzungs-Cookies, SSO, Webhooks und Firewall-Oberfläche, Grafana-Dashboard erweitert.
Gleiches nur einmal
1.28.0 „Sparrowhawk“
Von Firewall übernehmen verknüpft identische Regeln, Aliase und NAT-Einträge mit dem vorhandenen zentralen Objekt, statt sie doppelt anzulegen. Dazu überarbeitete Tooltips.
Frühere Versionen · 1.5 – 1.27
1.27.2 „Buzzard“21. Okt. 2026Update-Werkzeug prüft den Proxy vor dem Wechsel, repariert die Compose-Datei aus 1.27.0 und erkennt einen abstürzenden Proxy
1.27.1 „Buzzard“21. Okt. 2026Korrektur: Proxy startete mit der neuen Compose-Datei nicht (leere Variable OPNEXUS_GUI_SITES)
1.27.0 „Buzzard“21. Okt. 2026Firewall-Oberfläche über OPNexus öffnen (auch hinter NAT), sichere eigene Origin, Cookie-Härtung
1.26.0 „Kite“21. Okt. 2026Regel-Analyse: welche Regel trifft Quelle, Ziel und Port – pf-genau, mit Konfidenz; MCP-Werkzeug
1.25.0 „Goshawk“21. Okt. 2026Rollouts in Wellen mit Gesundheitsprüfung, wiederkehrende Wartungsfenster, Selbstprüfung geplanter Wartung
1.24.0 „Merlin“21. Okt. 2026Bestand übernehmen (Aliase, NAT), Alarme für Gateway, Ressourcen und Dienste, neue Benachrichtigungskanäle, ARM-Images
1.23.11 „Harrier“20. Okt. 2026Neu: Auch Updates per Klick prüfen jetzt die Signatur der Release-Images, bevor sie wechseln.
1.23.10 „Harrier“20. Okt. 2026Neu: Die Release-Images sind mit cosign signiert, und „opnexus update“ prüft die Signaturen vor dem Wechsel.
1.23.9 „Harrier“20. Okt. 2026Verbessert: Der Hinweis in der Update-Karte nennt bei Installationen ohne Release-Images jetzt die tatsächliche Ursache.
1.23.8 „Harrier“20. Okt. 2026Verbessert: Bei aus dem Quellcode gebauten Installationen zeigt die Update-Karte nur noch den passenden Hinweis statt der Updater-Anleitung.
1.23.7 „Harrier“20. Okt. 2026Neu: Die Prüfung auf neue Versionen wird in den Einstellungen per Schalter eingerichtet – keine .env-Änderung mehr nötig.
1.23.6 „Harrier“20. Okt. 2026Neu: Die Prüfung auf neue Versionen wird in den Einstellungen per Schalter eingerichtet – keine .env-Änderung mehr nötig.
1.23.5 „Harrier“20. Okt. 2026Fix: Die eigentliche Ursache des VIP-Problems aus 1.23.4 ist behoben – OPNexus schickt bei VIP-Änderungen die Schnittstelle mit, sonst entfernt OPNsense das CARP-VIP beim Anwenden. Außerdem eine klarere Anleitung für Updates per Klick.
1.23.4 „Harrier“20. Okt. 2026Fix: Eine Beschreibungsänderung an einem CARP-VIP konnte das VIP live deaktivieren. OPNexus prüft nach VIP-Änderungen jetzt den Live-Zustand und warnt je VHID, wenn ein VIP nicht aktiv ist.
1.23.3 „Harrier“20. Okt. 2026SSO getestet mit Keycloak und Authelia (Benutzername aus Userinfo); S3-Offsite mit MinIO, Garage, RustFS und Versity geprüft; neuer Ratgeber zum Management-Tunnel.
1.23.2 „Harrier“20. Okt. 2026SSO-Anmeldung funktioniert mit Keycloak und Entra ID (Standard-Scopes korrigiert); S3 und OIDC gegen echte Server getestet.
1.23.1 „Harrier“20. Okt. 2026Sicherheitskorrekturen aus einem unabhängigen Review: Aufgabentrennung vollständig, SSO-Anmeldung an den Browser gebunden, Management-Tunnel ohne Weiterleitung, weitere Geheimnisse in der Backup-Änderungsansicht verborgen.
1.23.0 „Harrier“20. Okt. 2026Sicherheitslage im Alltag: Dashboard-Karte, Benachrichtigung bei kritischen Befunden und ein druckbarer Sicherheitsbericht.
1.22.0 „Peregrine“20. Okt. 2026Standort-Variablen: {{NAME}}-Platzhalter in Regeln, Aliasen und NAT, je Firewall mit eigenem Wert. Ein Objekt für viele Standorte mit unterschiedlichen Netzen; fehlt ein Wert, wird nichts gesendet.
1.21.0 „Osprey“20. Okt. 2026Management-Tunnel: Firewalls hinter NAT oder CGNAT verwalten. Die Firewall wählt sich per WireGuard nach außen bei einem Hub auf dem OPNexus-Server ein, nichts muss aus dem Internet erreichbar sein.
1.20.0 „Lilli“20. Okt. 2026Single Sign-on über deinen Identitätsanbieter (OIDC) mit Rollen aus Gruppen und Aufgabentrennung: Operatoren bereiten vor, nur Admins rollen aus.
1.19.0 „Lanner“20. Okt. 2026Geplante Backups mit verschlüsselter Offsite-Kopie auf S3-kompatiblen Speicher, Vollsicherung und Wiederherstellung von OPNexus selbst, Rolle „Operator“, Audit-Export an Syslog/Webhook und Regelnutzung: welche Regeln treffen nichts mehr?
1.18.0 „Kestrel“19. Okt. 2026API-Tokens für Skripte, CI und KI-Assistenten, Prometheus-Metriken, ein nur lesender MCP-Endpunkt und die neue Sicherheitslage: ein Wert von 0 bis 100 je Firewall aus Härtungs- und Regel-Hygiene-Prüfungen.
1.17.0 „Imperial“19. Okt. 2026Geplante Wartung mit automatischer CARP-Umschaltung: erst auf den Partner wechseln, dann aktualisieren, danach zurückschalten – dazu ein Backup vor dem Update und eine Benachrichtigung, wenn ein Termin nicht ausgeführt wurde.
1.16.0 „Hobby“10. Okt. 2026Einrichtungsassistent direkt nach der Installation: eigenes Passwort, Zwei-Faktor und die erste Firewall verbinden – mit Anleitung für den API-Schlüssel. Dazu „opnexus password“ für ein neues Admin-Passwort.
1.15.0 „Gyrfalcon“10. Okt. 2026Update per Klick im Webinterface – mit Fortschritt und automatischem Rollback, über einen optionalen, abgeschotteten Updater-Container.
1.14.0 „Eagle“9. Okt. 2026Ping, Traceroute, Port-Prüfung und DNS von der Firewall aus, dazu VXLAN- und GIF-Tunnel.
1.13.0 „Buzzard“9. Okt. 2026Tunables, Cron, Syslog und Snapshots, LAGG, Bridge, GRE und Gateway-Gruppen – plus Cluster-Abgleich mit Alarm.
1.12.0 „Condor“9. Okt. 2026Neuer Bereich mit Vorschau, Backup vor jeder Änderung und Schutz vor Selbst-Aussperrung. Von Hand angelegte Regeln lassen sich übernehmen.
1.11.1 „Merlin“9. Okt. 2026Korrekturen aus dem Live-Test auf echten Firewalls: Zertifikate, VPN, ACME, Alarme, Handy-Ansicht.
1.11.0 „Merlin“7. Okt. 2026Sitzungen enden beim Passwortwechsel, SMTP prüft Zertifikate, Firewalls nur per HTTPS, mehr Audit-Einträge.
1.10.0 „Lanner“5. Okt. 2026Release-Images, opnexus update und rollback, optionaler Hinweis auf neue Versionen.
1.9.0 „Kite“4. Okt. 2026Versionierte Schema-Migrationen – Upgrades ohne Handarbeit an der Datenbank.
Mehrere OPNsense-Firewalls zentral verwalten: Regeln, NAT, VPN, Zertifikate und Updates einmal pflegen und sicher ausrollen. Selbst gehostet und kostenlos.
Firewalls ohne öffentliche Adresse trotzdem zentral verwalten: Der Management-Tunnel von OPNexus verbindet Filialen hinter NAT, CGNAT oder Mobilfunk per WireGuard, ohne dass etwas aus dem Internet erreichbar sein muss.
Ja. Version 1.32.1 „Merlin“ ist die aktuelle stabile Version – siehe Installation. Änderungen stehen im Changelog.
Muss ich etwas auf den Firewalls installieren?
Nein. OPNexus nutzt die REST-API des OPNsense-Kerns. Die Filter- und Alias-API ist ohne zusätzliches Plugin vorhanden. Du hinterlegst pro Firewall einen API-Schlüssel.
Was passiert, wenn mich eine Regel aussperrt?
Jede Änderung gilt zunächst nur auf Probe. Bestätigst du sie nicht innerhalb des Zeitfensters (Standard: 3 Minuten), stellt OPNexus automatisch den vorherigen Stand her. Schlägt das selbst fehl, bleibt der Fehler sichtbar und wird gemeldet.
Wo liegen meine Daten?
Auf deinem eigenen Server (Docker Compose mit PostgreSQL). Es gibt keine Cloud und kein Konto bei uns. Der Versionshinweis ist standardmäßig aus; wenn du ihn aktivierst, geht höchstens alle 12 Stunden eine einzelne Anfrage an updates.opnexus.dev – ohne Instanz- oder Nutzerdaten.
Für wen ist OPNexus gedacht?
Für alle, die mehrere eigene OPNsense-Firewalls betreiben – vom Homelab bis zum mittelständischen Unternehmen. Mandantenfähigkeit für Dienstleister mit vielen Kunden ist bewusst kein Ziel.
Unterstützt OPNexus Hochverfügbarkeit?
Ja. CARP-Paare werden als Cluster dargestellt, Rollenwechsel protokolliert, und Updates laufen in einem geführten Ablauf zuerst auf dem BACKUP.
Was kostet OPNexus?
Nichts. Herunterladen, Quellcode ansehen, anpassen und einsetzen – auch geschäftlich für die eigenen Firewalls – ist kostenlos. Nicht erlaubt ist, OPNexus oder Ableitungen weiterzuverkaufen oder als konkurrierendes Produkt oder Dienst anzubieten. Lizenz: PolyForm Shield 1.0.0 (source-available, keine Open-Source-Lizenz).
Gibt es eine Verbindung zu OPNsense oder Deciso?
Nein. OPNexus ist ein unabhängiges Projekt und steht in keiner Verbindung zu Deciso B.V. oder dem OPNsense®-Projekt. OPNsense® ist eine Marke von Deciso B.V.
Wie aktualisiere ich OPNexus?
Mit opnexus update: Das Werkzeug zieht die neuen Images, wartet auf „gesund“ und rollt bei Problemen automatisch zurück; opnexus rollback stellt auch die Datenbank aus der Sicherung vor dem Upgrade wieder her. Die fertigen Release-Images (amd64 und arm64) liegen in der Registry.
Loslegen
Installation
OPNexus läuft als Docker-Compose-Stack auf einem eigenen Server – deine Firewall-Daten bleiben bei dir.
Aktuelle Version: 1.32.1 „Merlin“. Gegen echte OPNsense-Instanzen entwickelt und getestet; eine frische Installation aus dem Release-Bundle sowie Updates und Rollbacks sind durchgängig geprüft. Rückmeldungen sind willkommen.
# Voraussetzung: Docker mit Compose-Plugin
git clone https://git.opnexus.dev/opnexus/opnexus.git
cd OPNexus
cp .env.example .env # POSTGRES_PASSWORD anpassen
docker compose up -d --build
Danach ist die Oberfläche lokal auf http://localhost:3100 erreichbar. Für den Zugriff von anderen Rechnern und den Produktivbetrieb mit TLS beschreibt die Handbuch den mitgelieferten HTTPS-Proxy. Ohne ADMIN_PASSWORD in der .env zeigt ./opnexus password ein Anmeldepasswort; danach führt der Einrichtungsassistent durch die ersten Schritte.
Fertige Images (amd64 und arm64) liegen in der Registry, siehe README. Aktualisieren mit opnexus update, zurück mit opnexus rollback – Dokumentation des Werkzeugs.
Gut zu wissen
Selbst gehostet. Keine Cloud, kein Konto bei uns.
Versionshinweis nur auf Wunsch. Standardmäßig aus; sonst höchstens eine Anfrage alle 12 Stunden an updates.opnexus.dev.
Signierte Images. Die Release-Images sind mit cosign signiert; opnexus update prüft sie, sobald cosign installiert ist.
Quellcode einsehbar. Kostenlos nutzbar unter der PolyForm Shield License 1.0.0 – nur Weiterverkauf und konkurrierende Produkte sind ausgeschlossen.
Gegen echte OPNsense-Instanzen entwickelt und mit einer umfangreichen Testsuite abgesichert.
