Zenarmor installeren op OPNsense: complete stap-voor-stap handleiding

Zenarmor installeert u op OPNsense in vijf hoofdstappen: schakel hardware offloading uit, installeer via System > Firmware > Plugins eerst de repository-plugin os-sunnyvalley en daarna os-sensei, doorloop de configuratiewizard onder Zenarmor > Dashboard, activeer een proefperiode of licentie en stel uw eerste policies in. Op geschikte hardware staat een basisinstallatie binnen een uur. De echte kwaliteit zit in de keuzes daarna: rapportagedatabase, deployment mode, interfaces en policies.

Nederlandstalige documentatie over deze installatie is er nauwelijks. Daarom hebben wij, als officiële Zenarmor-partner in Nederland, elke stap gecontroleerd tegen de actuele installatiedocumentatie van Zenarmor (release 2.7, september 2026) en de OPNsense-handleiding, aangevuld met de valkuilen die wij in projecten tegenkomen. Let op: de OPNsense-pagina loopt soms achter op de Zenarmor-documentatie; bij verschillen volgen wij Zenarmor. Liever niet zelf installeren? Onderaan leest u hoe Secrotec het voor u doet.

Voordat u begint: wat heeft u nodig?

• Een actuele OPNsense-installatie. Zenarmor noemt OPNsense 24.7 en nieuwer als ondersteund platform; uit de release notes blijkt dat ook de huidige 26.7-reeks actief wordt ondersteund. Werk OPNsense eerst volledig bij.
• Beheerderstoegang tot de webinterface (bijvoorbeeld root) en bij voorkeur console- of SSH-toegang voor het geval er iets misgaat.
• Voldoende hardware: RAM, CPU en schijfruimte volgens de tabel hieronder.
• Geschikte netwerkkaarten voor netmap, het subsysteem waarmee Zenarmor pakketten leest.
• Een licentiekeuze: 15 dagen gratis proberen, een bestaande licentiesleutel of de Free Edition. Volgens Zenarmor zijn de Free- en Home-edities uitsluitend bedoeld voor niet-commercieel gebruik.
• Een terugvalpunt: een configuratieback-up en, bij een virtuele firewall, een snapshot.

Deze handleiding gaat over OPNsense, het platform dat Zenarmor zelf aanbeveelt. Zenarmor draait ook op pfSense CE 2.7 en 2.8, FreeBSD en diverse Linux-distributies. pfSense Plus wordt niet meer ondersteund.

Hardware-eisen en sizing

Zenarmor publiceert de volgende richtlijn op basis van het aantal actieve apparaten en de WAN-bandbreedte (bron: hardware requirements):

Actieve apparaten	Max. bandbreedte	Min. RAM	Min. CPU
0–50	300 Mbps	1 GB	Dual-core x86_64 (PassMark 200+)
50–100	500 Mbps	4 GB	Intel i3 dual-core 2,0 GHz
100–250	1 Gbps	8 GB	Intel i5 dual-core 2,2 GHz
250–1.000	1–2 Gbps	16 GB	Intel i5 dual-core 3,2 GHz
1.000–2.000	1–2 Gbps	32 GB	Intel i7 quad-core 3,4 GHz
2.000+	2–4,5 Gbps	64 GB	Intel i9 quad-core 3,0 GHz

Vier punten uit de documentatie die vaak worden gemist:

• Elasticsearch vraagt minimaal 8 GB RAM. Met minder geheugen ziet de wizard uw systeem als low-end en biedt hij lokale Elasticsearch niet aan. U valt dan terug op SQLite.
• Single-core prestaties wegen zwaarder dan het aantal cores. Een snelle quad-core presteert beter dan een trage processor met veel cores.
• Schijfruimte: reken op ongeveer 5 MB per uur per Mbit/s doorvoer. Zenarmor rekent voor een actieve 100 Mbps-verbinding zelf met circa 6 GB per dag en 168 GB per maand. Gebruik een SSD.
• Virtualisatie: bij meer dan 500 actieve apparaten én meer dan 500 Mbps aanhoudend WAN-verkeer raadt Zenarmor een virtuele installatie af, omdat resources gedeeld worden.

Koopt u nieuwe hardware, dan kunt u kiezen voor eigen x86-hardware, een virtuele machine op Proxmox, Hyper-V of VMware, of een appliance van Deciso, de maker van OPNsense, via de OPNsense-shop. Controleer bij een appliance altijd het RAM tegen de tabel.

Netwerkkaarten en netmap

Zenarmor leest pakketten via netmap, een FreeBSD-subsysteem voor snelle toegang tot ethernetframes. Intel-kaarten met de drivers em(4) en igb(4) staan in de documentatie als stabiel en snel. Werkt de native netmap-ondersteuning van uw kaart niet goed, dan is de modus met een geëmuleerde netmap-driver de veilige keuze; dat is op OPNsense ook de standaard. In virtuele machines begint u bij voorkeur met die standaardmodus en test u pas daarna of native netmap stabiel draait.

Stap 1: back-up maken en hardware offloading uitschakelen

1. Maak een configuratieback-up via System > Configuration > Backups en download het bestand. Bij een virtuele firewall maakt u daarnaast een snapshot.
2. Ga naar Interfaces > Settings.
3. Zorg dat hardware checksum offloading, TCP segmentation offloading (TSO) en large receive offloading (LRO) zijn uitgeschakeld, en zet VLAN hardware filtering uit.
4. Sla op en herstart de firewall, zodat de instellingen zeker op alle interfaces actief zijn.

Waarom? Hardware offloading is volgens Zenarmor niet compatibel met netmap. Op recente OPNsense-versies staan checksum, TSO en LRO standaard al uit, maar controleer het altijd, zeker na een migratie of na eerdere tuning voor prestaties.

Stap 2: de repository-plugin os-sunnyvalley installeren

1. Log in op de OPNsense-webinterface met een beheeraccount.
2. Ga naar System > Firmware > Plugins.
3. Zoek os-sunnyvalley: de vendor-repository van Sunny Valley, het bedrijf achter Zenarmor.
4. Klik op het +-icoon. OPNsense opent het updatescherm en installeert de plugin.
5. Ga terug naar het tabblad Plugins en ververs de pagina (F5) als de lijst niet direct is bijgewerkt.

Stap 3: de Zenarmor-plugin os-sensei installeren

1. Zoek op hetzelfde tabblad naar os-sensei. Sensei is de oorspronkelijke productnaam van Zenarmor.
2. Klik op +. Er verschijnt een melding over software van derden; bevestig met Install.
3. Wacht tot de installatie klaar is. Links in de navigatie verschijnt het menu Zenarmor; ververs zo nodig de pagina.

Liever via de console? Kies in het OPNsense-consolemenu optie 8 (Shell) en voer achtereenvolgens pkg install os-sunnyvalley en pkg install os-sensei uit. De wizard rondt u daarna alsnog in de webinterface af. Zie de Zenarmor-handleiding voor OPNsense.

Stap 4: de configuratiewizard doorlopen

Open Zenarmor > Dashboard; de wizard start automatisch. Zenarmor is pas operationeel als de wizard volledig is doorlopen. De stappen volgen de officiële beschrijving van de initiële configuratie.

4a. Welcome

Accepteer de servicevoorwaarden en het privacybeleid met het selectievakje en klik op I Agree.

4b. Hardware Check & Reporting Database

De wizard analyseert uw hardware en meldt compatible, low-end of incompatible. Bij incompatible hardware stopt de installatie. Daarna kiest u de rapportagedatabase:

Database	Geschikt voor	Aandachtspunten
Lokale Elasticsearch	Zakelijke netwerken met uitgebreide rapportage en langere historie	Minimaal 8 GB RAM en een SSD; niet beschikbaar op low-end systemen
SQLite	Kleine netwerken, labs, appliances met weinig RAM	Lichtgewicht; minder geschikt voor grote datavolumes
Externe Elasticsearch	Grotere omgevingen, centrale logging, koppeling met SIEM	Compatibel met Elasticsearch 8.9.x tot 8.17.1; Zenarmor vraagt volledige toegang; de keuze is na de wizard niet meer te wijzigen

MongoDB wordt sinds september 2025 niet meer ondersteund voor nieuwe installaties. Klik op Install Database (lokaal) of Next (extern). Ons advies: lokale Elasticsearch vanaf 8 GB RAM; daaronder SQLite, eventueel aangevuld met streaming naar een syslog- of SIEM-omgeving.

4c. Deployment Mode & Interface Selection

• Deployment mode. Standaard staat "Routed mode with emulated netmap driver" geselecteerd. De native netmap-driver is sneller, maar alleen met goed ondersteunde netwerkkaarten. Afhankelijk van platform en versie biedt de wizard nog andere modi; kies de standaard tenzij u een duidelijke reden hebt.
• CPU pinning. Standaard koppelt Zenarmor zijn packet engine aan vaste CPU-cores. Uitzetten kan met "Do not pin engine packet processors to dedicated CPU cores", bijvoorbeeld als u weinig cores hebt en andere diensten tekortkomen.
• Interfaces. Bescherm de LAN-zijde. Selecteer de fysieke parent-interface (bijvoorbeeld igb0) in plaats van losse VLAN-interfaces: zo inspecteert Zenarmor alle subinterfaces. Selecteer nooit parent én VLAN tegelijk.
• Security zones. Geef elke interface een zone: lan, dmz, guest, wifi, wan of een eigen zone via Custom. Een verkeerde tag, zoals WAN als LAN, leidt tot fouten in filtering en rapportage.

Klik op Next.

4d. Activate Subscription

U kiest uit drie opties: een 15-daagse gratis proefperiode van het zakelijke abonnement (met e-mailadres, zonder creditcard), "I already have my subscription key" voor een bestaande licentie, of de Free Edition. Voor een zakelijke omgeving kiest u de proefperiode of een licentie. Sinds 2.7 zit licentieactivatie ook in de registratieflow van Zenconsole.

Plan	Lijstprijs	Geschikt voor
Free	$0	Evaluatie en homelab; niet-commercieel, geen TLS-inspectie
Home	$9,99 per maand	Thuisgebruik; niet voor bedrijven
Unified Secure	$5,00 per gebruiker per maand (10–49 gebruikers), lager bij meer gebruikers	Bedrijven: IPS, applicatie- en webcontrole, gateway-HA; TLS-inspectie als add-on
Unified Secure Plus	$9,00 per gebruiker per maand (10–49 gebruikers), lager bij meer gebruikers	Bedrijven met volledige TLS-inspectie, mesh-VPN en meer agents
SSE, ZTNA, SASE	Op aanvraag	Enterprise, MSP's, langere bewaartermijnen

Lijstprijzen volgens de plannenpagina van Zenarmor: status oktober 2026, in USD, excl. btw, onder voorbehoud. Minimaal 10 gebruikers; de eerste locatie is inbegrepen.

4e. Finish

Controleer de samenvatting en klik op Complete. Zenarmor raadt aan om vóór het inrichten van policies de Best Practices for Zenarmor Deployment te lezen. Dat advies onderschrijven wij.

Stap 5: koppelen aan Zenconsole (optioneel)

Op OPNsense is registratie bij Zenconsole optioneel: u kunt alles lokaal in de webinterface beheren. Koppelen loont als u meerdere firewalls hebt, centrale rapportage wilt of endpoint-agents en ZTNA gaat gebruiken.

1. Ga naar Zenarmor > Settings > Cloud Management Portal.
2. Klik op Install & Configure. Op de achtergrond wordt de agent-plugin os-sensei-agent geïnstalleerd.
3. Maak zo nodig een account aan op dash.zenarmor.com.
4. Klik op Register to Cloud Management Portal en log in. Zet de pop-upblokkering van uw browser uit, anders mislukt de koppeling (documentatie).

Wilt u de firewall later in een Zenconsole-organisatie opnemen voor centraal beleid, maak dan eerst een back-up van uw lokale policies: die worden bij aansluiting verwijderd. Meer daarover in Zenconsole: centraal beheer voor meerdere locaties.

Stap 6: de eerste policies instellen

Na de wizard is er één Default-policy. Open Zenarmor > Policies en werk de tabbladen af:

• Security: zet de essentiële categorieën aan, zoals malware, phishing, hacking, spam, potentieel gevaarlijke en geparkeerde domeinen en voor het eerst geziene sites. Met een betaald abonnement komen geavanceerde categorieën erbij, zoals botnet-C&C, recente uitbraken, gecompromitteerde websites en nieuw geregistreerde domeinen.
• App Controls: blokkeer of beperk applicatiecategorieën en specifieke apps, bijvoorbeeld P2P, anonimiseerders of remote-access tools die u niet gebruikt. Zie ons artikel over applicatiecontrole.
• Web Controls: kies een profiel (Permissive, Moderate of High Control) of stel een eigen profiel samen, en dwing waar nodig Safe Search af. Zie de Zenarmor-webfilter.
• Exclusions: leg uitzonderingen voor bedrijfskritische domeinen of systemen vast, en documenteer waarom.

Maak voor afwijkende groepen extra policies op basis van interface, VLAN, netwerk, apparaat, gebruiker of tijdschema, bijvoorbeeld een strengere policy voor het gastnetwerk en een aparte policy voor IoT en OT. Let op: alle criteria in een policy moeten tegelijk kloppen (AND-logica). Onze vuistregel: start met Moderate en de essentiële beveiliging, bekijk een week lang de rapporten en scherp daarna aan. Zo voorkomt u dat een te strenge eerste policy bedrijfsprocessen blokkeert. Voor segmentatie per VLAN leest u verder in Netwerksegmentatie voor NIS2 en ISO 27001.

Stap 7: TLS-inspectie voorbereiden

Zonder TLS-inspectie ziet Zenarmor bij HTTPS-verkeer vooral domeinnamen en certificaatgegevens. Dat volstaat voor veel web- en applicatiecontrole. Voor diepere inspectie biedt Zenarmor een lichte, certificaatgebaseerde variant en volledige TLS-inspectie (ontsleutelen en opnieuw versleutelen).

1. Licentie controleren. In de nieuwe plannen is TLS-inspectie een add-on bij Unified Secure en inbegrepen bij Unified Secure Plus.
2. CA-certificaat aanmaken of importeren in de Zenarmor-instellingen (CA Management). Zenarmor adviseert een intermediate CA, zodat uw root-CA niet op de firewall staat.
3. Certificaat uitrollen naar clients als vertrouwd certificaat, bijvoorbeeld via groepsbeleid, Intune of uw MDM-oplossing.
4. Gefaseerd inschakelen per policy: begin met een pilotgroep en gebruik de bypasslijst voor onder meer bankieren, zorgportalen en apps met certificate pinning.
5. Vastleggen wat u inspecteert en waarom (AVG; bij een ondernemingsraad geldt instemmingsrecht op grond van WOR artikel 27).

Alle juridische en technische details staan in ons artikel TLS-inspectie met Zenarmor.

Stap 8: testen en controleren

• Live Sessions: ziet u verkeer van alle beschermde interfaces en VLAN's?
• Dashboard en Reports: verschijnen applicaties, webcategorieën en dreigingen?
• Blokkade testen: bezoek een site uit een geblokkeerde categorie. Voor HTTPS-sites ziet u de blokkadepagina alleen correct als het Zenarmor-CA-certificaat op de client vertrouwd is; anders krijgt u een verbindingsfout.
• Categorie opzoeken: twijfelt u over een domein, controleer het dan in de site-classificatie van Zenarmor.
• Belasting: houd CPU, RAM en schijfgebruik in het OPNsense-dashboard in de gaten, zeker in de eerste dagen.
• Bedrijfskritische diensten: test VPN, VoIP, videobellen, back-ups en updates.
• Documenteren: leg de configuratie vast en maak een back-up via Zenarmor > Settings > Backup and Restore.

Updates en onderhoud

Houd zowel OPNsense als Zenarmor actueel en lees bij elke update de release notes. Zenarmor adviseert zelf:

• maak in virtuele omgevingen een snapshot vóór elke upgrade;
• test upgrades eerst in een testomgeving;
• zorg voor een stabiele verbinding en plan updates buiten kantoortijd;
• vraag akkoord van het management en documenteer het hele proces;
• gebruik de Zenarmor-interface voor gecontroleerde updates.

Bij een grote OPNsense-upgrade, bijvoorbeeld van 26.1 naar 26.7, controleert u vooraf de Zenarmor-release notes op bekende problemen. Zo loste Zenarmor 2.6.2 een crashmelding op OPNsense 26.7 op. Een vast updateproces is bovendien bewijs voor ISO 27001 A.8.8 (beheer van technische kwetsbaarheden) en A.8.32 (wijzigingsbeheer).

Hoge beschikbaarheid (HA)

Draait u OPNsense in een HA-cluster met CARP, dan installeert u Zenarmor op elke node. Onder Zenarmor > Settings > High Availability ziet u de status van de backupnode: Zenarmor-versie, enginestatus, database en synchronisatie. Instellingen en policies worden vanaf de primaire firewall gesynchroniseerd; na een wijziging verschijnt een melding met een Sync-knop. HA vraagt een zakelijk abonnement: de HA-documentatie noemt de Business Edition, de nieuwe plannen noemen "gateway HA with configuration synchronization" vanaf Unified Secure. Sinds 2.7 profiteren Business- en hogere abonnementen op OPNsense bovendien van multi-core-ondersteuning voor 10G-verbindingen.

Veelvoorkomende valkuilen en de oplossing

Probleem	Oorzaak	Oplossing
Wizard biedt geen lokale Elasticsearch	Te weinig RAM, systeem gezien als low-end	RAM uitbreiden naar 8 GB of meer, of SQLite of externe Elasticsearch kiezen
Instabiliteit, pakketverlies, wegvallende interfaces	Hardware offloading actief of netwerkkaart met zwakke netmap-ondersteuning	Offloading uitschakelen, emulated-modus gebruiken, Intel em/igb-kaarten kiezen
Conflict met Suricata (IDS/IPS)	Beide gebruiken netmap op dezelfde interface	Op verschillende interfaces draaien, bijvoorbeeld Suricata op WAN en Zenarmor op LAN
Dubbele of ontbrekende rapportage bij VLAN's	Parent- en VLAN-interface allebei geselecteerd, of alleen een VLAN	Alleen de parent-interface selecteren, bijvoorbeeld igb0
VPN-verkeer niet zichtbaar	De OpenVPN-tun-interface ondersteunt geen netmap	WireGuard gebruiken (wel netmap-compatibel) of endpoint-agents inzetten
Vreemde filtering of rapportage	Verkeerde security zone, bijvoorbeeld WAN als LAN	Zones corrigeren in de Zenarmor-configuratie
Registratie bij Zenconsole mislukt	Pop-upblokkering in de browser	Pop-ups tijdelijk toestaan
Schijf loopt vol	Rapportagedata groeit sneller dan verwacht	Bewaartermijn instellen, grotere SSD of data extern streamen

Gebruikt u OPNsense als transparante bridge, test die opstelling dan eerst in een lab: bridge-scenario's vragen extra aandacht bij de keuze van interfaces en deployment mode.

Terugdraaien of verwijderen

• Snel terug: zet de engine in bypass-modus of stop de packet engine. OPNsense blijft dan als gewone firewall verkeer verwerken, zonder Zenarmor-inspectie.
• Configuratie terugzetten: via Zenarmor > Settings > Backup and Restore.
• Volledig verwijderen: volg de uninstall-procedure uit de Zenarmor-documentatie (via de shell met zenarmorctl uninstall). Daarbij kiest u of u de rapportagedata wilt bewaren. Verwijder daarna os-sensei en desgewenst os-sunnyvalley onder System > Firmware > Plugins.
• Laatste redmiddel: zet de OPNsense-configuratieback-up of de VM-snapshot uit stap 1 terug.

Liever laten installeren? Secrotec doet het voor u

Zelf installeren kan prima in een lab of een klein kantoor. In productieomgevingen met meerdere VLAN's, HA, TLS-inspectie of compliance-eisen loont het om het in één keer goed te doen. Secrotec levert als officiële Zenarmor-partner in Nederland, en voor projecten in heel Europa:

• sizing- en hardwareadvies: bestaande hardware hergebruiken, een VM of een Deciso-appliance;
• installatie en configuratie volgens de best practices van Zenarmor, inclusief HA en VLAN-ontwerp;
• policies die aansluiten op ISO 27001 Annex A, NIS2 en de Cyberbeveiligingswet en, in de zorg, NEN 7510;
• TLS-inspectie met CA-uitrol en privacydocumentatie;
• rapportage en logging die als auditbewijs bruikbaar is;
• licenties met partnerkorting, waarbij de prijs in Zenarmor-projecten altijd bespreekbaar is.

Ons voordeel: wij zijn ook ISO 27001 Lead Auditor. Wij weten welk bewijs een auditor wil zien en richten Zenarmor daarop in. Zenarmor ondersteunt compliance, maar maakt u niet automatisch compliant. Bekijk Zenarmor-licenties en implementatie via Secrotec, vergelijk de kosten met uw huidige firewall in de Zenarmor-prijsvergelijking, lees hoe u rapportage inzet voor NIS2 en ISO 27001, of bekijk ons overzicht Firewall & Networks en de introductie Zenarmor next-generation firewall.