WireGuard auf OPNsense: Das schlanke, schnelle und sichere VPN für Ihr Netzwerk

VPNs gehören zur Grundausstattung, wenn es um sichere Kommunikation über das Internet geht. Ob für den Fernzugriff auf ein internes Netzwerk, den Schutz der Privatsphäre oder die sichere Verbindung zwischen Standorten – eine gut konfigurierte VPN-Lösung ist essenziell. OPNsense bietet von Hause aus IPsec und OpenVPN an, doch beide Protokolle haben ihre Eigenheiten. Während IPsec durch seine Komplexität und Firewall-Probleme oft frustrierend ist, kann OpenVPN durch Performance-Einbußen und aufwendige Konfiguration ebenfalls Kopfschmerzen bereiten.

Hier kommt WireGuard ins Spiel. Die VPN-Technologie wurde entwickelt, um einfacher, sicherer und schneller zu sein. Weniger Code, weniger Fehlerquellen, weniger Aufwand – genau das macht WireGuard so interessant. Seit der neuesten OPNsense-Version ist WireGuard sogar standardmäßig integriert, sodass keine zusätzliche Installation mehr notwendig ist.

In meinem Artikel schauen wir uns an, warum WireGuard eine bessere Wahl als IPsec und OpenVPN ist, wie es sich auf OPNsense konfigurieren lässt und welche Vorteile es in Sachen Performance und Usability bietet. Am Ende wartet ein ausführliches YouTube-Video, das die gesamte Einrichtung Schritt für Schritt zeigt. Wer es lieber direkt in Aktion sehen will, kann also einfach reinschauen und WireGuard in wenigen Minuten auf OPNsense ans Laufen bringen.

OPNsense und ältere VPN-Protokolle 

OPNsense bietet von Hause aus IPsec oder OpenVPN zur Nutzung an. Allerdings hat gerade IPsec seine Eigenheiten, die es nicht immer zur besten Wahl machen. Wer sich mit VPN-Technologien beschäftigt, stößt unweigerlich auf IPsec – ein Protokoll, das schon seit Jahrzehnten im Einsatz ist. Aber warum wird es oft als kompliziert und fehleranfällig angesehen? Und wieso sollte man stattdessen lieber WireGuard nutzen? 

IPsec: Ein altes, aber weit verbreitetes VPN-Protokoll 

IPsec (Internet Protocol Security) wurde in den 1990er-Jahren entwickelt und ist in vielen Unternehmensnetzwerken noch immer der Standard für VPN-Verbindungen. Der große Vorteil von IPsec ist, dass es direkt auf der Netzwerkebene (Layer 3) arbeitet und somit ganze Netzwerke sicher verbinden kann. Es ist in vielen Geräten und Betriebssystemen integriert, ohne dass zusätzliche Software benötigt wird. 

Aber genau hier fangen die Probleme an: IPsec ist ein Monstrum an Komplexität. Die Konfiguration ist aufwendig und fehleranfällig, weil viele Parameter exakt übereinstimmen müssen. Es gibt verschiedene Betriebsmodi wie den Transport- und Tunnelmodus, dazu kommen Authentifizierungsmethoden wie Pre-Shared Keys (PSK), Zertifikate oder EAP. Außerdem gibt es diverse Verschlüsselungsalgorithmen, von denen nicht alle gleich sicher sind. Das alles macht IPsec anfällig für Fehlkonfigurationen. 

Ein weiteres Problem ist die Firewall-Kompatibilität. IPsec verwendet oft das Protokoll ESP (Encapsulating Security Payload), das nicht so einfach durch NAT-Router geleitet werden kann. Um das zu umgehen, gibt es NAT-Traversal (NAT-T), aber das macht die Sache nur noch komplizierter. Hinzu kommt, dass IPsec je nach Implementierung und Netzwerkumgebung Verbindungsabbrüche haben kann – ein Albtraum für Admins. 

Sicherheitsprobleme mit IPsec 

Obwohl IPsec als sicher gilt, hat es eine bewegte Vergangenheit. Immer wieder gab es Berichte, dass staatliche Geheimdienste wie die NSA gezielt Schwachstellen in bestimmten Implementierungen ausgenutzt haben. Zudem ist die Protokollvielfalt ein Problem: Je nach Einstellung kann eine IPsec-Verbindung schwache Verschlüsselung nutzen, weil alte Algorithmen wie 3DES oder SHA-1 immer noch in manchen Systemen vorhanden sind. 

IPsec ist auch ressourcenintensiver als moderne Alternativen. Der Verbindungsaufbau dauert länger, und die CPU-Belastung ist oft höher als bei neueren VPN-Protokollen. Gerade auf schwächeren Geräten wie kleinen Firewalls oder Embedded-Systemen kann das zu Performance-Problemen führen. 

Warum WireGuard besser ist 

Im Gegensatz zu IPsec ist WireGuard von Grund auf modern konzipiert. Es verzichtet auf die überflüssige Komplexität und setzt nur auf aktuelle, sichere Algorithmen. Statt zig Konfigurationsmöglichkeiten gibt es genau eine Art der Verschlüsselung – und die ist sicher. Der Quellcode von WireGuard ist um ein Vielfaches kleiner als der von IPsec, was die Sicherheit erhöht, weil weniger Fehlerquellen existieren. 

Auch in Sachen Performance schlägt WireGuard IPsec locker. Der Verbindungsaufbau erfolgt fast ohne Verzögerung, während IPsec je nach Konfiguration erst mehrere Handshakes benötigt. Das macht sich besonders bei mobilen Geräten bemerkbar: Während eine IPsec-Verbindung nach einem Wechsel zwischen WLAN und Mobilfunk oft abbricht oder neu aufgebaut werden muss, bleibt WireGuard durch sein cleveres Key-Management nahtlos verbunden. 

Dazu kommt die einfache Konfiguration. Während eine IPsec-Verbindung oft eine lange Liste von Parametern erfordert, besteht eine WireGuard-Konfiguration im Wesentlichen nur aus einer Handvoll Zeilen. Kein Vergleich zum IPsec-Dschungel. 

Was meine ich zu IPsec, OpenVPN und WireGuard? 

Da ich mich rund um die Uhr mit IT-Sicherheit beschäftige und versuche, den Menschen die einfachste, schlankeste und möglichst sicherste Lösung anzubieten, kommt es nicht nur auf die reine Verschlüsselungsstärke oder die Anzahl der Features an. Sicherheit ist mehr als nur "irgendwas mit Kryptografie". Unter Sicherheit zählt für mich auch die Usability. Denn was nützt ein hammerhartes VPN, wenn es am Ende niemand vernünftig nutzen kann? 

Genau hier liegt das Problem vieler klassischer VPN-Lösungen. IPsec ist sicher, keine Frage – wenn man es richtig konfiguriert. Aber genau da scheitert es oft. Ein VPN, das erst nach stundenlanger Fummelei läuft, bei dem Schlüssel austauschen eine Doktorarbeit ist und das im schlimmsten Fall alle paar Tage Verbindungsabbrüche hat, ist kein Gewinn. Viele Admins kennen das: Eine IPsec-Verbindung ist eingerichtet, läuft ein paar Wochen stabil, dann wechselt ein Mitarbeiter sein Gerät oder das Firmen-WLAN bekommt eine neue Firewall-Regel, und plötzlich geht nichts mehr. Der Support-Aufwand steigt, Verbindungen brechen ohne erkennbaren Grund ab, und irgendwann bleibt nur noch ein frustrierendes Fazit: "IPsec läuft gut, bis es das nicht mehr tut." 

Dazu kommt die Frage, ob ein VPN überhaupt regelmäßig genutzt wird. Wenn sich ein Admin durch eine kryptische Konfigurationsdatei kämpfen muss oder ein Nutzer vor einer komplizierten Einrichtung sitzt, sinkt die Wahrscheinlichkeit, dass das VPN auch wirklich konsequent verwendet wird. Ein VPN, das auf dem Papier sicher ist, aber in der Praxis nicht genutzt wird, ist am Ende wertlos. Das ist wie ein Hochsicherheitstresor, dessen Schlüssel so gut versteckt ist, dass niemand ihn findet. 

WireGuard geht einen völlig anderen Weg. Keine überladenen Menüs mit 50 Optionen, keine Protokoll-Dinosaurier aus den 90ern, keine unerklärlichen "VPN funktioniert nicht"-Fehlermeldungen. Stattdessen ein simples Konzept: ein paar Zeilen Konfiguration, ein schneller Verbindungsaufbau und ein VPN, das sich anfühlt, als wäre es gar nicht da. Genau das ist der Punkt – gute Sicherheit ist unsichtbar. Ein sicheres VPN sollte einfach funktionieren, ohne dass sich jemand Gedanken darüber machen muss, warum es gerade mal wieder nicht geht. 

Deshalb setze ich auf Lösungen, die nicht nur theoretisch sicher sind, sondern sich auch in der Praxis bewähren. WireGuard ist so ein Beispiel: minimale Angriffsfläche, hohe Performance und – was genauso wichtig ist – eine Usability, die es Admins und Nutzern leicht macht. Denn was nützt ein 256-Bit-verschlüsseltes, doppelt abgesichertes, ultra-gehärtetes VPN, wenn am Ende keiner es nutzt, weil es zu umständlich ist? 

Da OPNsense drei Protokolle von Hause aus anbietet, möchte ich OpenVPN natürlich nicht unterschlagen. Schließlich ist OpenVPN seit Jahren der Standard, wenn es um sichere und flexible VPN-Verbindungen geht. Wer sich mit VPNs beschäftigt, kommt an OpenVPN nicht vorbei. Aber wie gut ist es im Vergleich zu WireGuard? Und wo liegen die Schwächen? 

OpenVPN: Der alte Platzhirsch 

OpenVPN wurde im Jahr 2001 von James Yonan entwickelt und ist bis heute eine der am weitesten verbreiteten VPN-Lösungen. Es ist Open Source, flexibel einsetzbar und läuft auf nahezu jeder Plattform. Egal ob Windows, macOS, Linux, iOS oder Android – überall gibt es OpenVPN-Clients. Das ist auch einer der großen Vorteile: OpenVPN ist etabliert und wird von fast jedem VPN-Dienstanbieter unterstützt. 

Anders als IPsec setzt OpenVPN nicht auf ein einziges Standardprotokoll, sondern nutzt TLS (Transport Layer Security), um verschlüsselte Tunnel aufzubauen. Das macht es flexibler, weil es über verschiedene Transportprotokolle laufen kann, insbesondere über TCP und UDP. Die meisten nutzen OpenVPN mit UDP, weil es schneller und weniger anfällig für Verbindungsprobleme ist. TCP ist dagegen zuverlässiger, aber langsamer – es kann nützlich sein, wenn VPNs über Firewalls oder restriktive Netzwerke funktionieren müssen. 

Ein weiteres großes Plus von OpenVPN ist, dass es durch Port 443 getunnelt werden kann, also denselben Port nutzt wie HTTPS-Webseiten. Das bedeutet, dass OpenVPN-Verkehr in vielen Netzwerken nicht einfach blockiert werden kann, weil es wie normaler Internetverkehr aussieht. 

Warum OpenVPN nicht perfekt ist 

So weit, so gut. Aber OpenVPN hat auch seine Schwächen. Die erste Hürde ist die Komplexität der Einrichtung. Während IPsec schon nicht gerade ein Musterbeispiel für Einfachheit ist, bringt OpenVPN eine Menge Konfigurationsmöglichkeiten mit sich, die es für Einsteiger schwierig machen. Zertifikate müssen erstellt und verteilt werden, Schlüssel müssen verwaltet werden, und ohne eine saubere Konfiguration kann es passieren, dass die Verbindung nicht so sicher ist, wie sie sein sollte. 

Dazu kommt die Performance. OpenVPN ist im Vergleich zu WireGuard deutlich langsamer. Das liegt daran, dass es auf ältere Kryptografie setzt und durch die Art, wie die Pakete verarbeitet werden, mehr CPU-Leistung benötigt. Während WireGuard effizient mit modernen Algorithmen arbeitet, kann OpenVPN je nach Hardware ins Schwitzen kommen, vor allem wenn viele gleichzeitige Verbindungen aufgebaut werden. 

Ein weiteres Problem ist die Reaktionszeit bei Verbindungsabbrüchen. Wenn eine OpenVPN-Verbindung unterbrochen wird, dauert es oft mehrere Sekunden, bis sie sich wieder aufbaut. Bei mobilen Verbindungen, wenn zum Beispiel zwischen WLAN und Mobilfunk gewechselt wird, kann das nervig sein. WireGuard ist hier wesentlich schneller, weil es den Verbindungsaufbau cleverer handhabt und automatisch ohne Verzögerung weitermacht. 

OpenVPN vs. WireGuard: Wo liegen die Unterschiede? 

Letztendlich ist OpenVPN immer noch eine solide Wahl, besonders wenn man Wert auf eine breite Unterstützung und ausgereifte Features legt. Es funktioniert zuverlässig und hat sich über Jahrzehnte bewährt. Aber es ist nicht mehr die beste Lösung, wenn es um Effizienz und Benutzerfreundlichkeit geht. WireGuard ist nicht nur schlanker und schneller, sondern auch wesentlich einfacher zu konfigurieren. 

Während OpenVPN immer noch auf lange Konfigurationsdateien, verschiedene Verschlüsselungsmethoden und eine etwas träge Architektur setzt, kommt WireGuard mit einem minimalen Codeumfang aus und nutzt nur die modernsten und sichersten Kryptografie-Algorithmen. Das macht nicht nur die Sicherheit einfacher überprüfbar, sondern auch die Performance um ein Vielfaches besser. 

Kurz gesagt: OpenVPN ist gut, aber WireGuard ist besser – schneller, sicherer und einfacher zu bedienen. Wer heute ein VPN auf OPNsense einrichtet, sollte sich gut überlegen, ob OpenVPN wirklich noch die beste Wahl ist oder ob es an der Zeit ist, auf WireGuard umzusteigen. 

WireGuard auf OPNsense einrichten 

WireGuard auf OPNsense einzurichten, ist einfacher als man denkt. Die Firewall bringt zwar von Hause aus IPsec und OpenVPN mit, aber WireGuard muss zuerst als Plugin installiert werden (in der neuesten Version ist WireGuard aber fest enthalten). Danach erfolgt die Konfiguration der Schnittstellen, der Peers und der Firewall-Regeln. Am Ende steht eine funktionierende VPN-Verbindung, die sich stabil und performant nutzen lässt. 

Als erstes muss das Plugin installiert werden (bei älteren Versionen). Dazu in OPNsense einloggen und unter System auf den Menüpunkt Plugins gehen. Dort nach WireGuard suchen und das Paket os-wireguard installieren. Nach der Installation taucht in der linken Navigation der Punkt WireGuard auf. 

Nun zur eigentlichen Konfiguration. Zuerst eine Schnittstelle für WireGuard anlegen. Unter VPN den Punkt WireGuard öffnen und auf den Tab Einstellungen wechseln. Dort auf Instanz hinzufügen klicken. Als Name kann zum Beispiel WireGuardVPN eingetragen werden. Der Modus bleibt auf Standard, weil OPNsense als VPN-Server laufen soll. Dann eine private Schlüsseldatei generieren, falls noch keine vorhanden ist. Dazu einfach auf Schlüssel generieren klicken. Der öffentliche Schlüssel wird automatisch aus dem privaten Schlüssel berechnet. 

Danach eine WireGuard-Schnittstelle anlegen. Dazu in die OPNsense-Schnittstellenverwaltung wechseln und eine neue Schnittstelle hinzufügen. Diese mit der vorher erstellten WireGuard-Instanz verbinden. Eine statische IP-Adresse für das interne VPN-Netzwerk vergeben, zum Beispiel 10.10.10.1 mit der Subnetzmaske 255.255.255.0. 

Nun müssen die Peers angelegt werden, also die Geräte, die sich mit dem WireGuard-Server verbinden sollen. Dafür in den WireGuard-Einstellungen auf den Tab Peers wechseln und einen neuen Peer hinzufügen. Dem Peer einen Namen geben, zum Beispiel Laptop oder Smartphone. Danach den öffentlichen Schlüssel des Peers eintragen, den man vorher auf dem jeweiligen Gerät generiert hat. Als erlaubte IP-Adressen das Subnetz der VPN-Verbindung eintragen, also 10.10.10.2/32 für ein einzelnes Gerät oder eine größere Range für mehrere Geräte. Falls der Peer auch mit dem Internet über das VPN surfen soll, zusätzlich 0.0.0.0/0 als erlaubte IP hinzufügen. 

Jetzt fehlen noch die Firewall-Regeln, damit der Traffic durchgelassen wird. Unter Firewall auf Regeln gehen und für die WireGuard-Schnittstelle eine neue Regel erstellen. Die Regel muss eingehenden VPN-Traffic erlauben. Als Protokoll UDP wählen und als Zielport den Port, der in der WireGuard-Instanz konfiguriert wurde, standardmäßig 51820. Dann eine zweite Regel hinzufügen, die den gesamten Verkehr innerhalb des VPNs erlaubt, damit sich die Peers untereinander erreichen können. 

Zum Schluss noch eine NAT-Regel erstellen, falls der VPN-Traffic ins Internet geroutet werden soll. Dazu unter Firewall auf NAT gehen und eine neue ausgehende Regel hinzufügen. Den Modus auf Hybrid stellen und eine Regel anlegen, die den Verkehr von der WireGuard-Schnittstelle über das WAN-Interface ausleitet. 

Nach diesen Schritten sollte die WireGuard-Verbindung stehen. Jetzt noch das entsprechende Client-Gerät einrichten. Dazu die WireGuard-App auf dem jeweiligen Gerät installieren und ein neues Profil erstellen. Den öffentlichen Schlüssel von OPNsense als Peer hinzufügen, die Endpoint-IP der Firewall eintragen und den richtigen Port angeben. Als erlaubte IPs entweder nur das interne VPN-Netzwerk eintragen oder 0.0.0.0/0, falls der gesamte Internetverkehr durch das VPN geleitet werden soll. 

Sobald alles eingerichtet ist, kann die Verbindung getestet werden. Auf dem Client die Verbindung aktivieren und prüfen, ob eine IP-Adresse aus dem WireGuard-Netzwerk zugewiesen wird. Falls alles korrekt konfiguriert wurde, sollte jetzt eine stabile, schnelle und sichere VPN-Verbindung über WireGuard laufen. 

Damit wäre die grundlegende Einrichtung von WireGuard auf OPNsense abgeschlossen. Falls noch spezielle Anwendungsfälle berücksichtigt werden müssen, wie mehrere Standorte oder Routing in ein anderes Netz, kann das entsprechend über zusätzliche Peers und Firewall-Regeln erweitert werden.