Bester Mini-PC für OPNsense / pfSense (2026): Firewall-Boxen, die funktionieren

Für die meisten Haushalte ist die Antwort entweder ein 2-Port-Intel-N150-Mini-PC wie der Beelink EQ14 für $369 (mit RAM und SSD inklusive) oder eine fanless 4-Port-Appliance wie der Protectli Vault FW4C ($299 direkt / $369 auf Amazon). Beide nutzen Intel-i226-V-2.5GbE-NICs, die FreeBSDs igc-Treiber out of the box unterstützt, und beide routen Gigabit-Internet mit WireGuard-Headroom im Überfluss.

Schnellauswahl

Welche Hardware OPNsense und pfSense wirklich brauchen

OPNsense und pfSense laufen auf FreeBSD, nicht Linux. Diese eine Tatsache entscheidet deine Hardware-Einkaufsliste, bevor CPU-Takt oder RAM überhaupt ins Bild kommen:

1. Kauf Intel-NICs (igc / ixl), meide Realtek (re). Intels i225-V- und i226-V-2.5GbE-Controller nutzen FreeBSDs eingebauten igc-Treiber, und Intels X710-10GbE-SFP+-Cages (im MS-01) nutzen ixl. Realtek-RTL8125-2.5GbE-Chips haben unter FreeBSD eine lange Geschichte von Link-Drops und Watchdog-Timeouts – es sei denn, du installierst ein Out-of-Tree-realtek-re-kmod-Treiberpaket und betest, dass es das nächste Point-Release überlebt.
2. Niemals USB-Ethernet-Dongles an einer Firewall. USB-NICs (ue0) enumerieren beim Boot langsam neu, droppen Pakete unter anhaltendem NAT-Tabellen-Druck und zerbrechen Interface-Zuweisungen, wenn sie gestoßen werden.
3. Dimensioniere die CPU nach deiner Inspection- und VPN-Workload, nicht nur nach WAN-Megabit. Schlichtes Stateful-Firewalling und NAT brauchen fast keine CPU. Was Kerne frisst, ist Inline-Deep-Packet-Inspection (Suricata-IDS/IPS oder Zenarmor), PPPoE-Single-Queue-Framing bei manchen Fiber-ISPs und Multi-Gigabit-VPN-Tunnel.

Eine kurze Notiz zu AES-NI: Ältere pfSense-Forenthreads behandeln AES-NI als Pflicht. 2026 brauchen weder OPNsense noch pfSense es zum Booten, und WireGuard nutzt ChaCha20-Poly1305 statt AES – das läuft auf jeder modernen CPU schnell. AES-NI hilft weiterhin bei IPsec und OpenVPN, und jede CPU auf dieser Seite unterstützt es ohnehin.

2 Ports vs 4 Ports: VLAN-Trunking vs physische Trennung

Wie viele Ethernet-Ports du brauchst, hängt davon ab, wie du dein Heimnetz segmentierst:

• Zwei Ports (WAN + LAN) mit Switch: igc0 geht in dein ISP-Modem/ONT, und igc1 geht in einen 2.5GbE-Switch. Wenn du getrennte Gast-, IoT- und Homelab-Netze auf einer 2-Port-Box willst, legst du 802.1Q-VLANs (vlan10, vlan20, vlan30) auf igc1 an und trunkst sie zu einem VLAN-fähigen Switch und Access Point.
• Vier Ports (physische Interfaces pro Zone): igc0 ist WAN, igc1 dein Haupt-LAN-Switch, igc2 speist einen dedizierten Dumb-Switch oder AP für IoT-Gear, und igc3 speist eine DMZ oder einen Lab-Server. Keine 802.1Q-Tag-Regeln zum Falschkonfigurieren, und jeder physische Port bekommt seine eigene dedizierte 2.5Gbps-Leitung.

OPNsense vs pfSense CE in 2026

Beide installieren sauber auf jeder Box unten. Für einen neuen Build 2026: Starte mit OPNsense. Es shippt planbare zweimal jährliche Major-Releases (26.1 / 26.7) und regelmäßige Security-Hotfixes, bringt natives WireGuard (os-wireguard), Unbound-Blocklists, Caddy-/HAProxy-Plugins und eine moderne durchsuchbare UI mit. pfSense Community Edition funktioniert noch, wenn du sein Muscle Memory schon kennst – aber Netgate hat den Großteil seiner Entwicklungsenergie auf pfSense Plus gelegt, CE-Updates bleiben selten.

1. Beelink EQ14 (und Mini S13): beste schlüsselfertige 2-Port-Firewall

$369 · 4.5★ aus 105 Bewertungen · Intel N150 · 16GB DDR4 · 500GB NVMe SSD · 2x 2.5GbE

Wenn zwei Ethernet-Ports dein Layout abdecken, ist der Beelink EQ14 die wertvollste Firewall-Box, die du heute mit Prime-Versand kaufen kannst. Anders als Barebone-Appliances, bei denen RAM und SSD obendrauf kommen, kommt der EQ14 flashbereit an: mit 16GB RAM, einer 500GB-NVMe, zwei Intel-2.5GbE-NICs und einem internen Netzteil (nur ein Standard-Figure-8-AC-Kabel, kein Netzbrick auf dem Boden).

Verglichen mit dem älteren J3710-Chip des Protectli FW4C hat der N150 im EQ14 grob die drei- bis vierfache Single-Core-Geschwindigkeit – das übersetzt sich direkt in schnelleren Single-Queue-PPPoE-Durchsatz, ~1Gbps+-WireGuard-Tunnel und komfortablen Headroom für Unbound-DNS-Blocklists, CrowdSec und leichte Suricata-Rulesets.

Wenn du $20 sparen willst und ein externes Netzteil nicht stört: Der Beelink Mini S13 für $349 (4.5★ aus 659 Bewertungen) packt exakt denselben Intel N150, 16GB RAM, 500GB SSD und Dual-2.5GbE-Ports in ein etwas kleineres Gehäuse.

Beelink Mini S13 prüfen ($349)

2. Protectli Vault FW4C: die fanless 4-Port-Appliance

$369 auf Amazon (4.5★ aus 35 Bewertungen) · $299 direkt auf protectli.com

Der Protectli Vault FW4C ist die zweckgebaute Firewall-Appliance: vier Intel-i226-V-2.5GbE-Ports (WAN, LAN, OPT1, OPT2 direkt aufs Gehäuse gelabelt), ein komplett fanless geripptes Alu-Case, das als Heatsink dient, ein Hardware-RJ45-Serial-Console-Port und Open-Source-coreboot-Firmware-Optionen. Protectli testet jedes Modell gegen OPNsense und pfSense und veröffentlicht Step-by-Step-Install-Guides – mit US-basiertem Support, der FreeBSD tatsächlich versteht.

Zwei wichtige Kauf-Notizen:

• Check zuerst den Direktpreis: Das Amazon-Listing für $369 ist Barebone (du musst ein DDR3L-SODIMM und eine mSATA-SSD dazukaufen) und trägt einen $70-Aufschlag gegenüber Protectlis eigenem $299-Store-Preis.
• Kenne die CPU-Decke: Der Quad-Core-Intel-Pentium-J3710 ist ein älterer Low-Power-Chip. Er routet ein 1Gbps-WAN und fährt Standard-Firewall-Regeln ein Jahrzehnt lang lautlos – aber wenn du Multi-Gigabit-Suricata-Inspection oder 2.5Gbps-WireGuard willst, kauf den N150-EQ14 oben oder schau auf Protectlis Seite nach den neueren N100-basierten Vault-V1210/V1410.

3. MINISFORUM MS-01 (i5 & i9): das 10GbE-SFP+-Kraftpaket

$439 (i5-12600H Barebone) / $669 (i9-13900H Barebone) · 4.4★ aus 165 Bewertungen

Wenn dein ISP dir 2Gbps-, 5Gbps- oder 10Gbps-Fiber gibt – oder du willst, dass deine Firewall zwischen 10GbE-VLANs routet und Suricata + Zenarmor mit Multi-Gigabit-Geschwindigkeit fährt –, ist der MINISFORUM MS-01 eine Klasse für sich. Jeder MS-01 shippt mit zwei 10GbE-SFP+-Cages (Intel X710, ixl-Treiber) und zwei 2.5GbE-RJ45-Ports (Intel i226-LM und i226-V), plus drei M.2-NVMe-Slots und einem Half-Height-PCIe-4.0-x16-Slot, der eine extra Quad-Port-Intel-NIC aufnehmen kann, falls vier Ports nicht reichen.

Hier der Insider-Tipp, den die meisten übersehen: Für eine dedizierte Bare-Metal-OPNsense-Box kauf den $439 Core-i5-12600H-Barebone statt des $669 Core-i9-13900H-Barebone. Der i5-12600H gibt dir 12 Kerne (4 Performance + 8 Efficiency) und exakt dieselben Dual-10GbE-SFP+- und Dual-2.5GbE-Ports für $230 weniger. Selbst mit Suricata, Zenarmor und Multi-Gigabit-WireGuard gleichzeitig wird OPNsense einen 12-Kern-Alder-Lake-i5 nie sättigen. Heb dir den i9-13900H (oder die vorkonfigurierte $1.179-32GB/1TB-i9-SKU) für Builds auf, bei denen der MS-01 primär ein Proxmox-Hypervisor ist.

MS-01-i5-Barebone prüfen ($439) MS-01-i9-Barebone prüfen ($669)

4. Was ist mit $150–$300 generischen 4-Port-N100-Boxen (Topton / CWWK / Qotom)?

Such auf Amazon oder AliExpress nach „N100 firewall mini PC”, und du findest Dutzende fanless Alu-Boxen mit vier bis sechs Intel-i226-V-2.5GbE-Ports für $150 bis $280. Bei rohen Specs pro Dollar schlagen sie sowohl den Beelink (4 Ports vs 2, fanless) als auch den Protectli FW4C (moderne N100-/N305-CPU vs J3710, halber Preis).

Warum habe ich dann keinen Kauf-Button draufgesetzt? Weil die Amazon-Listings alle paar Wochen die Verkäufer rotieren, viele unter fünf Bewertungen haben und die Qualitätskontrolle eine Lotterie ist – ungleichmäßiger Heatsink-Kontakt, der ein Repasten erfordert, zickige AMI-BIOS-Defaults, die nach einem Stromausfall nicht auto-booten, oder unbeschriftete Netzbricks. Wenn du dir zutraust, die Bodenplatte abzunehmen und die Wärmeleitpaste zu checken, Restore on AC Power Loss im BIOS zu konfigurieren und einen 24-Stunden-iperf3-+-memtest86+-Burn-in zu fahren, bevor du der Box als Heim-Gateway traust, ist eine 4-Port-N100-CWWK-/Topton-Box ein tolles Homelab-Projekt. Wenn du eine Box willst, die aus dem Karton funktioniert – mit Amazon-Rückgabe –, bleib beim Beelink EQ14 oder Protectli.

Bare Metal vs OPNsense in einer Proxmox-VM

Du kannst OPNsense innerhalb von Proxmox VE virtualisieren, indem du die physischen WAN-/LAN-NICs (PCI Passthrough) oder Linux-Bridges in eine VM durchreichst. Ich empfehle trotzdem, deine primäre Internet-Firewall auf einer dedizierten Bare-Metal-Box zu fahren.

Wenn dein Router eine VM auf demselben Hypervisor ist, auf dem du neue Kernel, Storage-Pools und Container testest, kappelt jeder Proxmox-Host-Reboot oder vermurkste IOMMU-Change das Internet fürs ganze Haus – inklusive deiner eigenen Fähigkeit, den Fix nachzuschlagen. Eine dedizierte $349–$369-N150-Box an einer kleinen USV hält WLAN, DNS und WireGuard-Zugang am Leben, während du dahinter deine Lab-Server zerlegst.

Tag-eins-OPNsense-Setup & FreeBSD-Checkliste

Vier schnelle Anpassungen während und direkt nach der Installation machen einen OPNsense-Mini-PC spürbar zuverlässiger:

1. Wähl ZFS (nicht UFS) im Installer

Wenn der OPNsense-Installer nach einem Dateisystem fragt, wähl ZFS (Stripe – einzelne Platte), auch wenn dein Mini-PC nur eine SSD hat. ZFS gibt dir Boot Environments (System > Firmware > Boot Environments). Vor jedem größeren OPNsense-Upgrade klickst du einen Button, um die Boot-Umgebung zu snapshotten; wenn ein Update ein Plugin oder einen Treiber bricht, rebootest du, wählst im HDMI-Console-Menü den vorherigen Snapshot und bist in 30 Sekunden wieder online.

2. Verifiziere Intel-NIC-Treibernamen an der Console

Beim ersten Boot listet OPNsense erkannte Interfaces:

• igc0, igc1, igc2, igc3: Intel-i225-/i226-2.5GbE-Ports (was du auf EQ14, S13, FW4C, MS-01 willst).
• ixl0, ixl1: Intel-X710-10GbE-SFP+-Cages (auf dem MS-01).
• re0, re1: Realtek-NICs (wenn du die auf einer generischen Box siehst, installiere sofort das os-realtek-re-Plugin unter System > Firmware > Plugins, um Watchdog-Stalls zu verhindern).

3. Aktiviere PowerD und C-States für niedrige Idle-Hitze

Out of the box lässt FreeBSD moderne Intel-CPUs oft wärmer laufen als Linux. In der OPNsense-Web-UI:

1. Geh zu System > Settings > Miscellaneous > Power Savings und aktiviere Use PowerD, eingestellt auf Hiadaptive am Netzstrom.
2. Setze unter System > Settings > Tunables dev.cpu.0.cx_lowest (und die übrigen Kerne) auf C3, damit der N150 oder i5 zwischen Paket-Bursts in tiefe Idle-States fällt.

4. Schalte WireGuard für Road-Warrior-Zugang ein

Statt Ports zu internen Diensten zu forwarden, konfiguriere OPNsenses eingebauten VPN > WireGuard-Server. Paar ihn mit einem GL.iNet-Reiserouter in deiner Laptoptasche, und jedes Gerät, das du ins Hotel mitbringst, tunnelt automatisch zurück durch deine Heim-Firewall.

Was ich kaufen würde

• Die meisten Haushalte (≤2.5Gbps-WAN, Switch dahinter): der Beelink EQ14 für $369 (oder Mini S13 für $349) mit OPNsense bare metal auf ZFS.
• 4 physische Intel-Ports und fanless Stille gewünscht: der Protectli Vault FW4C – check den $299-Direktpreis auf Protectlis Seite, bevor du $369 auf Amazon zahlst.
• 2.5G–10G-Fiber-WAN oder schweres Zenarmor/Suricata: der MINISFORUM MS-01-i5-Barebone für $439 mit einem Paar 10G-SFP+-DAC-Kabel.
• 10GbE-Firewall + Proxmox-Cluster-Node in einem Chassis: der MS-01-i9-Barebone für $669 oder die konfigurierte 32GB/1TB-Einheit.

FAQ

Welche CPU brauche ich für OPNsense oder pfSense in 2026?

Jede moderne 4-Kern-x86-CPU routet ein 1Gbps-WAN mühelos. Ein Intel N150 (im Beelink EQ14 und Mini S13) handhabt locker 2.5GbE-Routing, ~1Gbps-WireGuard-VPN-Tunnel und moderate Suricata- oder Zenarmor-Inspection. Steig nur auf einen Core i5 (wie den MINISFORUM MS-01 i5-12600H) um, wenn du Multi-Gigabit-IDS/IPS oder 10GbE-Routing fährst.

Braucht OPNsense oder pfSense AES-NI?

Nein. Weder OPNsense noch aktuelles pfSense brauchen AES-NI zum Installieren oder Updaten. AES-NI beschleunigt IPsec und OpenVPN, während WireGuard ChaCha20-Poly1305 nutzt und auf jeder modernen CPU schnell läuft. Jeder in diesem Guide empfohlene Prozessor bringt AES-NI ohnehin mit.

Reichen 2 Ethernet-Ports für OPNsense, oder brauche ich 4?

Zwei Intel-2.5GbE-Ports (WAN + LAN) reichen für die meisten Haushalte, wenn du den LAN-Port an einen Switch hängst. Für isolierte Gast-, IoT- und Homelab-Netze auf einer 2-Port-Box nutzt du 802.1Q-VLANs mit einem Managed Switch. Eine 4-Port-Appliance wie der Protectli FW4C lässt dich getrennte Switches oder Access Points in physisch isolierte Ports stecken – ohne VLAN-Tags zu konfigurieren.

Warum warnen alle vor Realtek-NICs für OPNsense und pfSense?

OPNsense und pfSense laufen auf FreeBSD, wo Intels igc- (2.5GbE i225/i226) und ixl-Treiber (10GbE X710) ausgereift und unter Dauerlast stabil sind. Realtek-2.5GbE-Chips (RTL8125) litten historisch unter Link-Drops und Watchdog-Timeouts mit FreeBSDs Default-Treiber – es sei denn, du pflegst das Vendor-Kernelmodul (os-realtek-re) manuell nach.

Sollte ich OPNsense bare metal oder in einer Proxmox-VM fahren?

Fahr deine primäre WAN-Firewall bare metal auf einem dedizierten Mini-PC. OPNsense in Proxmox zu virtualisieren funktioniert via PCI-Passthrough – aber es heißt, dass jeder Proxmox-Host-Reboot, jedes Kernel-Update oder jedes Storage-Experiment Internet und DNS des ganzen Haushalts runternimmt.