Zenarmor auf OPNsense installieren: die vollständige Schritt-für-Schritt-Anleitung

Zenarmor installieren Sie auf OPNsense in fünf Hauptschritten: Hardware-Offloading deaktivieren, unter System > Firmware > Plugins zuerst das Repository-Plugin os-sunnyvalley und danach os-sensei installieren, den Einrichtungsassistenten unter Zenarmor > Dashboard durchlaufen, eine Testversion oder Lizenz aktivieren und die ersten Richtlinien anlegen. Auf geeigneter Hardware steht eine Basisinstallation in weniger als einer Stunde. Die eigentliche Qualität entsteht durch die Entscheidungen danach: Reporting-Datenbank, Deployment-Modus, Interfaces und Richtlinien.

Als offizieller Zenarmor-Partner in den Niederlanden haben wir jeden Schritt mit der aktuellen Installationsdokumentation von Zenarmor (Release 2.7, September 2026) und dem OPNsense-Handbuch abgeglichen und um die Stolperfallen aus unseren Projekten ergänzt. Hinweis: Die OPNsense-Seite hinkt der Zenarmor-Dokumentation mitunter hinterher; bei Abweichungen folgen wir Zenarmor. Sie möchten nicht selbst installieren? Am Ende lesen Sie, wie Secrotec das für Sie übernimmt.

Bevor Sie beginnen: Was Sie brauchen

• Eine aktuelle OPNsense-Installation. Zenarmor nennt OPNsense 24.7 und neuer als unterstützte Plattform; laut Release Notes wird auch die aktuelle Reihe 26.7 aktiv unterstützt. Aktualisieren Sie OPNsense vorher vollständig.
• Administratorzugang zur Weboberfläche (zum Beispiel root) und idealerweise Konsolen- oder SSH-Zugriff für den Notfall.
• Ausreichende Hardware: RAM, CPU und Speicherplatz gemäß der folgenden Tabelle.
• Geeignete Netzwerkkarten für netmap, das Subsystem, über das Zenarmor Pakete liest.
• Eine Lizenzentscheidung: 15 Tage kostenlos testen, einen vorhandenen Lizenzschlüssel nutzen oder die Free Edition wählen. Laut Zenarmor sind Free und Home ausschließlich für die nicht-kommerzielle Nutzung bestimmt.
• Einen Rückfallpunkt: ein Konfigurations-Backup und bei einer virtuellen Firewall einen Snapshot.

Diese Anleitung behandelt OPNsense, die Plattform, die Zenarmor selbst empfiehlt. Zenarmor läuft außerdem auf pfSense CE 2.7 und 2.8, FreeBSD und verschiedenen Linux-Distributionen. pfSense Plus wird nicht mehr unterstützt.

Hardwareanforderungen und Sizing

Zenarmor veröffentlicht folgende Richtwerte nach Anzahl aktiver Geräte und WAN-Bandbreite (Quelle: Hardware Requirements):

Aktive Geräte	Max. Bandbreite	Min. RAM	Min. CPU
0–50	300 Mbit/s	1 GB	Dual-Core x86_64 (PassMark 200+)
50–100	500 Mbit/s	4 GB	Intel i3 Dual-Core 2,0 GHz
100–250	1 Gbit/s	8 GB	Intel i5 Dual-Core 2,2 GHz
250–1.000	1–2 Gbit/s	16 GB	Intel i5 Dual-Core 3,2 GHz
1.000–2.000	1–2 Gbit/s	32 GB	Intel i7 Quad-Core 3,4 GHz
2.000+	2–4,5 Gbit/s	64 GB	Intel i9 Quad-Core 3,0 GHz

Vier Punkte aus der Dokumentation, die häufig übersehen werden:

• Elasticsearch braucht mindestens 8 GB RAM. Mit weniger Arbeitsspeicher stuft der Assistent Ihr System als Low-End ein und bietet lokales Elasticsearch nicht an; Sie landen dann bei SQLite.
• Single-Core-Leistung zählt mehr als die Anzahl der Kerne. Ein schneller Quad-Core schlägt einen langsamen Prozessor mit vielen Kernen.
• Speicherplatz: Rechnen Sie mit etwa 5 MB pro Stunde je Mbit/s Durchsatz. Zenarmor selbst setzt für eine aktive 100-Mbit/s-Leitung rund 6 GB pro Tag und 168 GB pro Monat an. Verwenden Sie eine SSD.
• Virtualisierung: Bei mehr als 500 aktiven Geräten und gleichzeitig mehr als 500 Mbit/s dauerhaftem WAN-Verkehr rät Zenarmor von einem Betrieb als virtueller Gast ab, weil sich die VMs Ressourcen teilen.

Wenn Sie neue Hardware anschaffen, kommen eigene x86-Hardware, eine virtuelle Maschine unter Proxmox, Hyper-V oder VMware oder eine Appliance von Deciso, dem Hersteller hinter OPNsense, über den OPNsense-Shop infrage. Prüfen Sie bei einer Appliance den Arbeitsspeicher immer anhand der Tabelle.

Netzwerkkarten und netmap

Zenarmor liest Pakete über netmap, ein FreeBSD-Subsystem für den schnellen Zugriff auf Ethernet-Frames. Die Dokumentation nennt Intel-Karten mit den Treibern em(4) und igb(4) als stabil und leistungsfähig. Ist die native netmap-Unterstützung Ihrer Karte unzuverlässig, ist der Modus mit emuliertem netmap-Treiber die sichere Wahl – auf OPNsense zugleich die Voreinstellung. In virtuellen Maschinen beginnen Sie am besten mit diesem Standardmodus und testen erst danach, ob natives netmap stabil läuft.

Schritt 1: Backup erstellen und Hardware-Offloading deaktivieren

1. Erstellen Sie unter System > Configuration > Backups ein Konfigurations-Backup und laden Sie die Datei herunter. Bei einer virtuellen Firewall erstellen Sie zusätzlich einen Snapshot.
2. Öffnen Sie Interfaces > Settings.
3. Stellen Sie sicher, dass Hardware-Checksum-Offloading, TCP Segmentation Offloading (TSO) und Large Receive Offloading (LRO) deaktiviert sind, und schalten Sie das VLAN-Hardware-Filtering ab.
4. Speichern Sie und starten Sie die Firewall neu, damit die Einstellungen sicher auf allen Interfaces greifen.

Warum? Laut Zenarmor ist Hardware-Offloading nicht mit netmap kompatibel. Aktuelle OPNsense-Versionen haben Checksum-, TSO- und LRO-Offloading standardmäßig bereits deaktiviert – prüfen Sie es dennoch, besonders nach einer Migration oder früherem Performance-Tuning.

Schritt 2: Repository-Plugin os-sunnyvalley installieren

1. Melden Sie sich mit einem Administratorkonto an der OPNsense-Weboberfläche an.
2. Öffnen Sie System > Firmware > Plugins.
3. Suchen Sie os-sunnyvalley, das Hersteller-Repository von Sunny Valley, dem Unternehmen hinter Zenarmor.
4. Klicken Sie auf das +-Symbol. OPNsense wechselt in die Update-Ansicht und installiert das Plugin.
5. Kehren Sie zum Reiter Plugins zurück und laden Sie die Seite neu (F5), falls die Liste noch nicht aktualisiert ist.

Schritt 3: Zenarmor-Plugin os-sensei installieren

1. Suchen Sie im selben Reiter nach os-sensei. Sensei war der ursprüngliche Produktname von Zenarmor.
2. Klicken Sie auf +. Es erscheint ein Hinweis auf Drittanbieter-Software; bestätigen Sie mit Install.
3. Warten Sie, bis die Installation abgeschlossen ist. Links in der Navigation erscheint das Menü Zenarmor; laden Sie die Seite bei Bedarf neu.

Lieber über die Konsole? Wählen Sie im OPNsense-Konsolenmenü Option 8 (Shell) und führen Sie nacheinander pkg install os-sunnyvalley und pkg install os-sensei aus. Den Assistenten schließen Sie anschließend trotzdem in der Weboberfläche ab.

Schritt 4: den Einrichtungsassistenten durchlaufen

Öffnen Sie Zenarmor > Dashboard; der Assistent startet automatisch. Erst nach vollständigem Durchlauf ist Zenarmor betriebsbereit. Die Schritte folgen der offiziellen Beschreibung der Erstkonfiguration.

4a. Welcome

Akzeptieren Sie Nutzungsbedingungen und Datenschutzerklärung über das Kontrollkästchen und klicken Sie auf I Agree.

4b. Hardware Check & Reporting Database

Der Assistent analysiert Ihre Hardware und meldet compatible, low-end oder incompatible. Bei inkompatibler Hardware bricht die Einrichtung ab. Anschließend wählen Sie die Reporting-Datenbank:

Datenbank	Geeignet für	Zu beachten
Lokales Elasticsearch	Unternehmensnetze mit umfangreichem Reporting und längerer Historie	Mindestens 8 GB RAM und SSD; auf Low-End-Systemen nicht verfügbar
SQLite	Kleine Netze, Labore, Appliances mit wenig RAM	Leichtgewichtig; weniger geeignet für große Datenmengen
Externes Elasticsearch	Größere Umgebungen, zentrale Protokollierung, SIEM-Anbindung	Kompatibel mit Elasticsearch 8.9.x bis 8.17.1; Zenarmor benötigt Vollzugriff; nach dem Assistenten nicht mehr änderbar

MongoDB wird seit September 2025 für Neuinstallationen nicht mehr unterstützt. Klicken Sie auf Install Database (lokal) oder Next (extern). Unsere Empfehlung: lokales Elasticsearch ab 8 GB RAM, darunter SQLite, bei Bedarf ergänzt um das Streaming an einen Syslog-Server oder ein SIEM.

4c. Deployment Mode & Interface Selection

• Deployment-Modus. Voreingestellt ist „Routed mode with emulated netmap driver“. Der native netmap-Treiber ist schneller, aber nur mit gut unterstützten Netzwerkkarten. Je nach Plattform und Version bietet der Assistent weitere Modi an; bleiben Sie beim Standard, sofern Sie keinen klaren Grund für eine Abweichung haben.
• CPU-Pinning. Standardmäßig bindet Zenarmor seine Packet Engine an feste CPU-Kerne. Abschalten lässt sich das über „Do not pin engine packet processors to dedicated CPU cores“, etwa wenn Sie wenige Kerne haben und andere Dienste zu kurz kommen.
• Interfaces. Schützen Sie die LAN-Seite. Wählen Sie das physische Parent-Interface (zum Beispiel igb0) statt einzelner VLAN-Interfaces, damit Zenarmor alle Subinterfaces prüft. Wählen Sie niemals Parent und VLANs gleichzeitig.
• Sicherheitszonen. Ordnen Sie jedem Interface eine Zone zu: lan, dmz, guest, wifi, wan oder eine eigene Zone über Custom. Ein falsches Tag, etwa WAN als LAN, führt zu Fehlern bei Filterung und Reporting.

Klicken Sie auf Next.

4d. Activate Subscription

Sie haben drei Optionen: eine 15-tägige kostenlose Testversion des Business-Abonnements (nur E-Mail-Adresse, keine Kreditkarte), „I already have my subscription key“ für eine vorhandene Lizenz oder die Free Edition. Für eine Unternehmensumgebung wählen Sie die Testversion oder eine Lizenz. Seit 2.7 ist die Lizenzaktivierung auch in den Registrierungsablauf von Zenconsole integriert.

Plan	Listenpreis	Geeignet für
Free	0 USD	Evaluierung und Homelab; nicht-kommerziell, keine TLS-Inspektion
Home	9,99 USD pro Monat	Private Nutzung; nicht für Unternehmen
Unified Secure	5,00 USD pro Benutzer und Monat (10–49 Benutzer), günstiger bei mehr Benutzern	Unternehmen: IPS, Anwendungs- und Webkontrolle, Gateway-HA; TLS-Inspektion als Add-on
Unified Secure Plus	9,00 USD pro Benutzer und Monat (10–49 Benutzer), günstiger bei mehr Benutzern	Unternehmen mit vollständiger TLS-Inspektion, Mesh-VPN und mehr Agenten
SSE, ZTNA, SASE	Auf Anfrage	Enterprise, MSPs, längere Aufbewahrung

Listenpreise laut Preisseite von Zenarmor: Stand Oktober 2026, in USD, zzgl. MwSt., ohne Gewähr. Mindestens 10 Benutzer; der erste Standort ist enthalten.

4e. Finish

Prüfen Sie die Zusammenfassung und klicken Sie auf Complete. Zenarmor empfiehlt, vor dem Anlegen von Richtlinien die Best Practices for Zenarmor Deployment zu lesen – ein Rat, den wir nur unterstreichen können.

Schritt 5: mit Zenconsole verbinden (optional)

Auf OPNsense ist die Registrierung bei Zenconsole optional: Sie können alles lokal in der Weboberfläche verwalten. Die Anbindung lohnt sich bei mehreren Firewalls, für zentrales Reporting oder wenn Sie Endpoint-Agenten und ZTNA einsetzen wollen.

1. Öffnen Sie Zenarmor > Settings > Cloud Management Portal.
2. Klicken Sie auf Install & Configure. Im Hintergrund wird das Agent-Plugin os-sensei-agent installiert.
3. Legen Sie bei Bedarf ein Konto unter dash.zenarmor.com an.
4. Klicken Sie auf Register to Cloud Management Portal und melden Sie sich an. Deaktivieren Sie den Pop-up-Blocker Ihres Browsers, sonst schlägt die Registrierung fehl (Dokumentation).

Wollen Sie die Firewall später für zentrale Richtlinien in eine Zenconsole-Organisation aufnehmen, sichern Sie vorher Ihre lokalen Richtlinien – sie werden beim Beitritt entfernt. Mehr dazu unter Zenconsole: zentrales Firewall-Management für mehrere Standorte.

Schritt 6: die ersten Richtlinien anlegen

Nach dem Assistenten gibt es eine einzige Default-Richtlinie. Öffnen Sie Zenarmor > Policies und arbeiten Sie die Reiter ab:

• Security: Aktivieren Sie die essenziellen Kategorien wie Malware, Phishing, Hacking, Spam, potenziell gefährliche und geparkte Domains sowie erstmals gesehene Seiten. Ein kostenpflichtiges Abonnement ergänzt erweiterte Kategorien wie Botnet-C&C, aktuelle Ausbrüche, kompromittierte Websites und neu registrierte Domains.
• App Controls: Blockieren oder begrenzen Sie Anwendungskategorien und einzelne Apps, etwa P2P, Anonymisierer oder nicht genutzte Fernwartungstools. Siehe unseren Beitrag zur Anwendungskontrolle.
• Web Controls: Wählen Sie ein Profil (Permissive, Moderate oder High Control) oder stellen Sie ein eigenes zusammen und erzwingen Sie bei Bedarf Safe Search. Siehe den Zenarmor-Webfilter.
• Exclusions: Legen Sie Ausnahmen für geschäftskritische Domains oder Systeme fest und dokumentieren Sie den Grund.

Legen Sie für abweichende Gruppen zusätzliche Richtlinien nach Interface, VLAN, Netzwerk, Gerät, Benutzer oder Zeitplan an – etwa eine strengere Richtlinie für das Gastnetz und eine eigene für IoT und OT. Beachten Sie: Alle Kriterien einer Richtlinie müssen gleichzeitig zutreffen (UND-Verknüpfung). Unsere Faustregel: mit Moderate und den essenziellen Sicherheitskategorien beginnen, eine Woche lang die Berichte auswerten, dann nachschärfen. So verhindern Sie, dass eine zu strenge erste Richtlinie Geschäftsprozesse blockiert. Zur Segmentierung nach VLANs lesen Sie Netzwerksegmentierung für NIS2 und ISO 27001.

Schritt 7: TLS-Inspektion vorbereiten

Ohne TLS-Inspektion sieht Zenarmor bei HTTPS-Verkehr vor allem Domainnamen und Zertifikatsdaten. Das reicht für einen Großteil der Web- und Anwendungskontrolle. Für tiefere Prüfungen bietet Zenarmor eine leichtgewichtige, zertifikatsbasierte Variante und die vollständige TLS-Inspektion (Entschlüsseln und erneutes Verschlüsseln).

1. Lizenz prüfen. In den neuen Plänen ist TLS-Inspektion bei Unified Secure ein Add-on und bei Unified Secure Plus enthalten.
2. CA-Zertifikat erzeugen oder importieren in den Zenarmor-Einstellungen (CA Management). Zenarmor empfiehlt eine Intermediate-CA, damit Ihre Root-CA nie auf der Firewall liegt.
3. Zertifikat verteilen – als vertrauenswürdiges Zertifikat auf die Clients, etwa per Gruppenrichtlinie, Intune oder Ihrer MDM-Lösung.
4. Schrittweise aktivieren je Richtlinie: mit einer Pilotgruppe beginnen und die Bypass-Liste unter anderem für Banking, Gesundheitsportale und Apps mit Certificate Pinning nutzen.
5. Dokumentieren, was Sie prüfen und warum (DSGVO; mit Betriebsrat gilt das Mitbestimmungsrecht nach § 87 Abs. 1 Nr. 6 BetrVG).

Alle rechtlichen und technischen Details finden Sie in unserem Beitrag TLS-Inspektion mit Zenarmor.

Schritt 8: testen und prüfen

• Live Sessions: Sehen Sie Verkehr von allen geschützten Interfaces und VLANs?
• Dashboard und Reports: Erscheinen Anwendungen, Webkategorien und Bedrohungen?
• Sperre testen: Rufen Sie eine Seite aus einer gesperrten Kategorie auf. Bei HTTPS-Seiten wird die Sperrseite nur korrekt angezeigt, wenn das Zenarmor-CA-Zertifikat auf dem Client vertrauenswürdig ist; sonst erscheint ein Verbindungsfehler.
• Kategorie nachschlagen: Bei Zweifeln zu einer Domain hilft die Site-Klassifizierung von Zenarmor.
• Auslastung: Behalten Sie CPU, RAM und Speicherplatz im OPNsense-Dashboard im Blick, besonders in den ersten Tagen.
• Geschäftskritische Dienste: Testen Sie VPN, VoIP, Videokonferenzen, Backups und Updates.
• Dokumentieren: Halten Sie die Konfiguration fest und erstellen Sie ein Backup unter Zenarmor > Settings > Backup and Restore.

Updates und Wartung

Halten Sie OPNsense und Zenarmor aktuell und lesen Sie bei jedem Update die Release Notes. Zenarmor empfiehlt selbst:

• vor jedem Upgrade in virtuellen Umgebungen einen Snapshot zu erstellen;
• Upgrades zuerst in einer Testumgebung zu prüfen;
• für eine stabile Verbindung zu sorgen und Updates außerhalb der Geschäftszeiten einzuplanen;
• die Freigabe der Geschäftsleitung einzuholen und den gesamten Ablauf zu dokumentieren;
• kontrollierte Updates über die Zenarmor-Oberfläche durchzuführen.

Prüfen Sie vor einem großen OPNsense-Upgrade, etwa von 26.1 auf 26.7, die Zenarmor-Release-Notes auf bekannte Probleme; so behob Zenarmor 2.6.2 einen Absturzbericht unter OPNsense 26.7. Ein fester Update-Prozess ist zugleich Nachweis für ISO 27001 A.8.8 (Management technischer Schwachstellen) und A.8.32 (Änderungssteuerung).

Hochverfügbarkeit (HA)

Betreiben Sie OPNsense als HA-Cluster mit CARP, installieren Sie Zenarmor auf jedem Knoten. Unter Zenarmor > Settings > High Availability sehen Sie den Status des Backup-Knotens: Zenarmor-Version, Engine-Status, Datenbank und Synchronisation. Einstellungen und Richtlinien werden von der primären Firewall synchronisiert; nach einer Änderung erscheint ein Hinweis mit einer Sync-Schaltfläche. HA setzt ein Business-Abonnement voraus: Die HA-Dokumentation nennt die Business Edition, die neuen Pläne führen „gateway HA with configuration synchronization“ ab Unified Secure. Seit 2.7 profitieren Business- und höhere Abonnements auf OPNsense außerdem von Multi-Core-Unterstützung für 10G-Anbindungen.

Typische Stolperfallen und Lösungen

Problem	Ursache	Lösung
Assistent bietet kein lokales Elasticsearch an	Zu wenig RAM, System als Low-End eingestuft	RAM auf 8 GB oder mehr erweitern oder SQLite bzw. externes Elasticsearch wählen
Instabilität, Paketverluste, wegbrechende Interfaces	Hardware-Offloading aktiv oder Netzwerkkarte mit schwacher netmap-Unterstützung	Offloading deaktivieren, emulierten Modus nutzen, Intel-Karten mit em/igb wählen
Konflikt mit Suricata (IDS/IPS)	Beide nutzen netmap auf demselben Interface	Auf unterschiedlichen Interfaces betreiben, z. B. Suricata auf WAN, Zenarmor auf LAN
Doppeltes oder fehlendes Reporting bei VLANs	Parent- und VLAN-Interface beide gewählt oder nur ein VLAN	Nur das Parent-Interface wählen, z. B. igb0
VPN-Verkehr nicht sichtbar	Das OpenVPN-tun-Interface unterstützt kein netmap	WireGuard nutzen (netmap-kompatibel) oder Endpoint-Agenten einsetzen
Merkwürdige Filterung oder Berichte	Falsche Sicherheitszone, z. B. WAN als LAN	Zonen in der Zenarmor-Konfiguration korrigieren
Registrierung bei Zenconsole schlägt fehl	Pop-up-Blocker im Browser	Pop-ups vorübergehend zulassen
Datenträger läuft voll	Reporting-Daten wachsen schneller als erwartet	Aufbewahrungsdauer festlegen, größere SSD oder Daten extern streamen

Setzen Sie OPNsense als transparente Bridge ein, testen Sie den Aufbau zunächst im Labor: Bridge-Szenarien erfordern besondere Sorgfalt bei Interfaces und Deployment-Modus. Zenarmor bietet dafür ein deutschsprachiges Tutorial: Transparente Filterbrücke auf OPNsense konfigurieren.

Zurückrollen oder deinstallieren

• Schneller Rückweg: Versetzen Sie die Engine in den Bypass-Modus oder stoppen Sie die Packet Engine. OPNsense verarbeitet den Verkehr dann weiter als normale Firewall, ohne Zenarmor-Inspektion.
• Konfiguration wiederherstellen: über Zenarmor > Settings > Backup and Restore.
• Vollständig entfernen: Folgen Sie der Deinstallationsanleitung in der Zenarmor-Dokumentation (in der Shell mit zenarmorctl uninstall); dabei entscheiden Sie, ob die Reporting-Daten erhalten bleiben. Entfernen Sie anschließend os-sensei und bei Bedarf os-sunnyvalley unter System > Firmware > Plugins.
• Letzter Ausweg: Spielen Sie das OPNsense-Konfigurations-Backup oder den VM-Snapshot aus Schritt 1 zurück.

Lieber installieren lassen? Secrotec übernimmt das für Sie

Selbst installieren funktioniert gut im Labor oder in einem kleinen Büro. In Produktivumgebungen mit mehreren VLANs, HA, TLS-Inspektion oder Compliance-Anforderungen lohnt es sich, es gleich richtig zu machen. Als offizieller Zenarmor-Partner in den Niederlanden mit Projekten in ganz Europa bietet Secrotec:

• Sizing- und Hardwareberatung: vorhandene Hardware weiterverwenden, VM oder Deciso-Appliance;
• Installation und Konfiguration nach den Best Practices von Zenarmor, inklusive HA- und VLAN-Design;
• Richtlinien, die auf ISO 27001 Anhang A, NIS2 und bei Bedarf auf die TISAX®-Anforderungen des VDA ISA abgestimmt sind;
• TLS-Inspektion mit CA-Verteilung und Datenschutzdokumentation;
• Reporting und Protokollierung, die als Audit-Nachweis taugen;
• Lizenzen mit Partnerrabatt – der Preis ist in Zenarmor-Projekten immer verhandelbar.

Unser Vorteil: Wir sind auch ISO 27001 Lead Auditoren. Wir wissen, welche Nachweise ein Auditor sehen will, und richten Zenarmor entsprechend ein. Zenarmor unterstützt die Compliance, macht Sie aber nicht automatisch konform. Mehr unter Zenarmor-Lizenz kaufen und implementieren mit Secrotec, im Zenarmor-Preisvergleich mit Ihrer aktuellen Firewall, zum Reporting für NIS2 und ISO 27001 oder in unserer Übersicht Firewall & Netzwerke.