--- title: "Bester Mini-PC für OPNsense / pfSense (2026): Firewall-Boxen, die funktionieren" description: "Der beste Mini-PC für OPNsense oder pfSense 2026: Beelink EQ14 ($369) für 2.5GbE WAN+LAN, Protectli Vault FW4C für 4 fanless Intel-NICs und MS-01 für 10GbE." date: 2026-10-30 categories: ["self-hosting"] tags: ["opnsense","mini-pc","networking"] --- **Affiliate-Hinweis** Einige Links unten sind Amazon-Affiliate-Links, darunter `/go/`-Redirects, die auf Amazon landen. Wenn du darüber kaufst, bekomme ich eine kleine Provision – ohne zusätzliche Kosten für dich. Preise wurden am 30. Oktober 2026 geprüft und bewegen sich ständig, also immer auf der Produktseite bestätigen. Für die meisten Haushalte ist die Antwort entweder ein 2-Port-Intel-N150-Mini-PC wie der [Beelink EQ14](/go/beelink-eq14/) für $369 (mit RAM und SSD inklusive) oder eine fanless 4-Port-Appliance wie der [Protectli Vault FW4C](/go/protectli-vault-fw4c/) ($299 direkt / $369 auf Amazon). Beide nutzen Intel-i226-V-2.5GbE-NICs, die FreeBSDs `igc`-Treiber out of the box unterstützt, und beide routen Gigabit-Internet mit WireGuard-Headroom im Überfluss. ## Schnellauswahl | Box | Preis (30. Okt. 2026) | NICs | CPU | RAM / SSD inklusive | Fanless | Kaufen, wenn | | --- | --- | --- | --- | --- | --- | --- | | [Beelink EQ14](/go/beelink-eq14/) | $369 | 2x 2.5GbE Intel | Intel N150 (4C) | 16GB / 500GB | Nein (leiser Lüfter) | Du willst die schnellste schlüsselfertige WAN+LAN-Firewall fürs Geld. | | [Beelink Mini S13](/go/beelink-mini-s13/) | $349 | 2x 2.5GbE Intel | Intel N150 (4C) | 16GB / 500GB | Nein (leiser Lüfter) | Derselbe N150 + Dual-2.5GbE wie EQ14, $20 weniger mit externem Netzteil. | | [Protectli Vault FW4C](/go/protectli-vault-fw4c/) | $369 (Amazon) / $299 direkt | 4x 2.5GbE Intel i226-V | Intel J3710 (4C) | Barebone (BYO) | Ja | Du willst 4 physische Ports, null Lüfter und coreboot-Support. | | [MINISFORUM MS-01 i5](/go/minisforum-ms-01-i5-barebone/) | $439 (Barebone) | 2x 10G SFP+ + 2x 2.5GbE | Core i5-12600H (12C) | Barebone (BYO) | Nein | Du hast 2.5G–10G-Fiber-WAN oder fährst schweres Zenarmor/Suricata. | | [MINISFORUM MS-01 i9](/go/minisforum-ms-01-i9-barebone/) | $669 (Barebone) | 2x 10G SFP+ + 2x 2.5GbE | Core i9-13900H (14C) | Barebone (BYO) | Nein | 10GbE-Routing plus ein voller Proxmox-Hypervisor auf einer Box. | | Generische 4-Port-N100/N305 (Topton/CWWK) | ~$150–$300 | 4–6x 2.5GbE i226-V | Intel N100 / N305 | Variiert | Ja | Engstes Budget für 4 Ports – lies zuerst die QA-Caveats unten. | ## Welche Hardware OPNsense und pfSense wirklich brauchen OPNsense und pfSense laufen auf **FreeBSD**, nicht Linux. Diese eine Tatsache entscheidet deine Hardware-Einkaufsliste, bevor CPU-Takt oder RAM überhaupt ins Bild kommen: 1. **Kauf Intel-NICs (`igc` / `ixl`), meide Realtek (`re`).** Intels i225-V- und i226-V-2.5GbE-Controller nutzen FreeBSDs eingebauten `igc`-Treiber, und Intels X710-10GbE-SFP+-Cages (im MS-01) nutzen `ixl`. Realtek-RTL8125-2.5GbE-Chips haben unter FreeBSD eine lange Geschichte von Link-Drops und Watchdog-Timeouts – es sei denn, du installierst ein Out-of-Tree-`realtek-re-kmod`-Treiberpaket und betest, dass es das nächste Point-Release überlebt. 2. **Niemals USB-Ethernet-Dongles an einer Firewall.** USB-NICs (`ue0`) enumerieren beim Boot langsam neu, droppen Pakete unter anhaltendem NAT-Tabellen-Druck und zerbrechen Interface-Zuweisungen, wenn sie gestoßen werden. 3. **Dimensioniere die CPU nach deiner Inspection- und VPN-Workload, nicht nur nach WAN-Megabit.** Schlichtes Stateful-Firewalling und NAT brauchen fast keine CPU. Was Kerne frisst, ist Inline-Deep-Packet-Inspection (**Suricata-IDS/IPS** oder **Zenarmor**), PPPoE-Single-Queue-Framing bei manchen Fiber-ISPs und Multi-Gigabit-VPN-Tunnel. | Internet- / Homelab-Tier | Workload | Empfohlene CPU & RAM | Pick aus diesem Guide | | --- | --- | --- | --- | | **≤1 Gbps WAN** | Firewall, NAT, Unbound-DNS, leichtes WireGuard (~300–500 Mbps) | Jede 4-Kern-x86 + 4–8GB RAM | [Protectli FW4C](/go/protectli-vault-fw4c/) oder [Beelink Mini S13](/go/beelink-mini-s13/) | | **1–2.5 Gbps WAN** | Line-Rate-Routing, WireGuard (800+ Mbps), AdGuard Home, leichtes IDS | Intel N150 + 8–16GB RAM | [Beelink EQ14](/go/beelink-eq14/) | | **2.5 Gbps WAN + schweres IDS/IPS** | Inline-Suricata + Zenarmor mit lokaler Reporting-Datenbank | Core i5-12600H + 16–32GB RAM | [MINISFORUM MS-01 i5](/go/minisforum-ms-01-i5-barebone/) | | **10 Gbps Fiber / Inter-VLAN-Routing** | 10G-SFP+-WAN/LAN-Routing, High-Speed-Inter-VLAN-Firewall-Regeln | Core i5-12600H / i9-13900H + 16–32GB RAM | [MS-01 i5](/go/minisforum-ms-01-i5-barebone/) oder [MS-01 i9](/go/minisforum-ms-01-i9-barebone/) | Eine kurze Notiz zu **AES-NI**: Ältere pfSense-Forenthreads behandeln AES-NI als Pflicht. 2026 brauchen weder OPNsense noch pfSense es zum Booten, und **WireGuard nutzt ChaCha20-Poly1305** statt AES – das läuft auf jeder modernen CPU schnell. AES-NI hilft weiterhin bei IPsec und OpenVPN, und jede CPU auf dieser Seite unterstützt es ohnehin. ## 2 Ports vs 4 Ports: VLAN-Trunking vs physische Trennung Wie viele Ethernet-Ports du brauchst, hängt davon ab, wie du dein Heimnetz segmentierst: - **Zwei Ports (WAN + LAN) mit Switch:** `igc0` geht in dein ISP-Modem/ONT, und `igc1` geht in einen [2.5GbE-Switch](/best-2-5-10gbe-switch-homelab/). Wenn du getrennte Gast-, IoT- und Homelab-Netze auf einer 2-Port-Box willst, legst du 802.1Q-VLANs (`vlan10`, `vlan20`, `vlan30`) auf `igc1` an und trunkst sie zu einem VLAN-fähigen Switch und Access Point. - **Vier Ports (physische Interfaces pro Zone):** `igc0` ist WAN, `igc1` dein Haupt-LAN-Switch, `igc2` speist einen dedizierten Dumb-Switch oder AP für IoT-Gear, und `igc3` speist eine DMZ oder einen Lab-Server. Keine 802.1Q-Tag-Regeln zum Falschkonfigurieren, und jeder physische Port bekommt seine eigene dedizierte 2.5Gbps-Leitung. ## OPNsense vs pfSense CE in 2026 Beide installieren sauber auf jeder Box unten. Für einen neuen Build 2026: **Starte mit OPNsense.** Es shippt planbare zweimal jährliche Major-Releases (26.1 / 26.7) und regelmäßige Security-Hotfixes, bringt natives WireGuard (`os-wireguard`), Unbound-Blocklists, Caddy-/HAProxy-Plugins und eine moderne durchsuchbare UI mit. pfSense Community Edition funktioniert noch, wenn du sein Muscle Memory schon kennst – aber Netgate hat den Großteil seiner Entwicklungsenergie auf pfSense Plus gelegt, CE-Updates bleiben selten. ## 1. Beelink EQ14 (und Mini S13): beste schlüsselfertige 2-Port-Firewall **$369** · 4.5★ aus 105 Bewertungen · Intel N150 · 16GB DDR4 · 500GB NVMe SSD · 2x 2.5GbE Wenn zwei Ethernet-Ports dein Layout abdecken, ist der [Beelink EQ14](/go/beelink-eq14/) die wertvollste Firewall-Box, die du heute mit Prime-Versand kaufen kannst. Anders als Barebone-Appliances, bei denen RAM und SSD obendrauf kommen, kommt der EQ14 flashbereit an: mit 16GB RAM, einer 500GB-NVMe, zwei Intel-2.5GbE-NICs und einem internen Netzteil (nur ein Standard-Figure-8-AC-Kabel, kein Netzbrick auf dem Boden). Verglichen mit dem älteren J3710-Chip des Protectli FW4C hat der N150 im EQ14 grob die **drei- bis vierfache Single-Core-Geschwindigkeit** – das übersetzt sich direkt in schnelleren Single-Queue-PPPoE-Durchsatz, ~1Gbps+-WireGuard-Tunnel und komfortablen Headroom für Unbound-DNS-Blocklists, CrowdSec und leichte Suricata-Rulesets. Wenn du $20 sparen willst und ein externes Netzteil nicht stört: Der [Beelink Mini S13](/go/beelink-mini-s13/) für $349 (4.5★ aus 659 Bewertungen) packt exakt denselben Intel N150, 16GB RAM, 500GB SSD und Dual-2.5GbE-Ports in ein etwas kleineres Gehäuse. Product: [Beelink EQ14 (Intel N150, 16GB/500GB, Dual 2.5GbE)](/go/beelink-eq14/) [Beelink Mini S13 prüfen ($349)](/go/beelink-mini-s13/) ## 2. Protectli Vault FW4C: die fanless 4-Port-Appliance **$369 auf Amazon** (4.5★ aus 35 Bewertungen) · **$299 direkt auf [protectli.com](https://protectli.com/product/fw4c/)** Der [Protectli Vault FW4C](/go/protectli-vault-fw4c/) ist die zweckgebaute Firewall-Appliance: vier Intel-i226-V-2.5GbE-Ports (`WAN`, `LAN`, `OPT1`, `OPT2` direkt aufs Gehäuse gelabelt), ein komplett fanless geripptes Alu-Case, das als Heatsink dient, ein Hardware-RJ45-Serial-Console-Port und Open-Source-**coreboot**-Firmware-Optionen. Protectli testet jedes Modell gegen OPNsense und pfSense und veröffentlicht Step-by-Step-Install-Guides – mit US-basiertem Support, der FreeBSD tatsächlich versteht. Zwei wichtige Kauf-Notizen: - **Check zuerst den Direktpreis:** Das Amazon-Listing für $369 ist Barebone (du musst ein DDR3L-SODIMM und eine mSATA-SSD dazukaufen) und trägt einen $70-Aufschlag gegenüber Protectlis eigenem $299-Store-Preis. - **Kenne die CPU-Decke:** Der Quad-Core-Intel-Pentium-J3710 ist ein älterer Low-Power-Chip. Er routet ein 1Gbps-WAN und fährt Standard-Firewall-Regeln ein Jahrzehnt lang lautlos – aber wenn du Multi-Gigabit-Suricata-Inspection oder 2.5Gbps-WireGuard willst, kauf den N150-EQ14 oben oder schau auf Protectlis Seite nach den neueren N100-basierten Vault-V1210/V1410. Product: [Protectli Vault FW4C](/go/protectli-vault-fw4c/) ## 3. MINISFORUM MS-01 (i5 & i9): das 10GbE-SFP+-Kraftpaket **$439 (i5-12600H Barebone)** / **$669 (i9-13900H Barebone)** · 4.4★ aus 165 Bewertungen Wenn dein ISP dir 2Gbps-, 5Gbps- oder 10Gbps-Fiber gibt – oder du willst, dass deine Firewall zwischen 10GbE-VLANs routet und Suricata + Zenarmor mit Multi-Gigabit-Geschwindigkeit fährt –, ist der **MINISFORUM MS-01** eine Klasse für sich. Jeder MS-01 shippt mit **zwei 10GbE-SFP+-Cages** (Intel X710, `ixl`-Treiber) und **zwei 2.5GbE-RJ45-Ports** (Intel i226-LM und i226-V), plus drei M.2-NVMe-Slots und einem Half-Height-PCIe-4.0-x16-Slot, der eine extra Quad-Port-Intel-NIC aufnehmen kann, falls vier Ports nicht reichen. Hier der Insider-Tipp, den die meisten übersehen: **Für eine dedizierte Bare-Metal-OPNsense-Box kauf den [$439 Core-i5-12600H-Barebone](/go/minisforum-ms-01-i5-barebone/) statt des [$669 Core-i9-13900H-Barebone](/go/minisforum-ms-01-i9-barebone/).** Der i5-12600H gibt dir 12 Kerne (4 Performance + 8 Efficiency) und exakt dieselben Dual-10GbE-SFP+- und Dual-2.5GbE-Ports für $230 weniger. Selbst mit Suricata, Zenarmor und Multi-Gigabit-WireGuard gleichzeitig wird OPNsense einen 12-Kern-Alder-Lake-i5 nie sättigen. Heb dir den i9-13900H (oder die [vorkonfigurierte $1.179-32GB/1TB-i9-SKU](/go/minisforum-ms-01-i9-32gb/)) für Builds auf, bei denen der MS-01 primär ein [Proxmox-Hypervisor](/best-mini-pc-proxmox/) ist. [MS-01-i5-Barebone prüfen ($439)](/go/minisforum-ms-01-i5-barebone/) [MS-01-i9-Barebone prüfen ($669)](/go/minisforum-ms-01-i9-barebone/) ## 4. Was ist mit $150–$300 generischen 4-Port-N100-Boxen (Topton / CWWK / Qotom)? Such auf Amazon oder AliExpress nach „N100 firewall mini PC", und du findest Dutzende fanless Alu-Boxen mit vier bis sechs Intel-i226-V-2.5GbE-Ports für $150 bis $280. Bei rohen Specs pro Dollar schlagen sie sowohl den Beelink (4 Ports vs 2, fanless) als auch den Protectli FW4C (moderne N100-/N305-CPU vs J3710, halber Preis). Warum habe ich dann keinen Kauf-Button draufgesetzt? Weil die Amazon-Listings alle paar Wochen die Verkäufer rotieren, viele unter fünf Bewertungen haben und die Qualitätskontrolle eine Lotterie ist – ungleichmäßiger Heatsink-Kontakt, der ein Repasten erfordert, zickige AMI-BIOS-Defaults, die nach einem Stromausfall nicht auto-booten, oder unbeschriftete Netzbricks. Wenn du dir zutraust, die Bodenplatte abzunehmen und die Wärmeleitpaste zu checken, `Restore on AC Power Loss` im BIOS zu konfigurieren und einen 24-Stunden-`iperf3`-+-`memtest86+`-Burn-in zu fahren, bevor du der Box als Heim-Gateway traust, ist eine 4-Port-N100-CWWK-/Topton-Box ein tolles Homelab-Projekt. Wenn du eine Box willst, die aus dem Karton funktioniert – mit Amazon-Rückgabe –, bleib beim Beelink EQ14 oder Protectli. ## Bare Metal vs OPNsense in einer Proxmox-VM Du *kannst* OPNsense innerhalb von Proxmox VE virtualisieren, indem du die physischen WAN-/LAN-NICs (`PCI Passthrough`) oder Linux-Bridges in eine VM durchreichst. Ich empfehle trotzdem, **deine primäre Internet-Firewall auf einer dedizierten Bare-Metal-Box** zu fahren. Wenn dein Router eine VM auf demselben Hypervisor ist, auf dem du neue Kernel, Storage-Pools und Container testest, kappelt jeder Proxmox-Host-Reboot oder vermurkste IOMMU-Change das Internet fürs ganze Haus – inklusive deiner eigenen Fähigkeit, den Fix nachzuschlagen. Eine dedizierte $349–$369-N150-Box an einer [kleinen USV](/best-ups-for-home-server/) hält WLAN, DNS und WireGuard-Zugang am Leben, während du dahinter deine Lab-Server zerlegst. ## Tag-eins-OPNsense-Setup & FreeBSD-Checkliste Vier schnelle Anpassungen während und direkt nach der Installation machen einen OPNsense-Mini-PC spürbar zuverlässiger: ### 1. Wähl ZFS (nicht UFS) im Installer Wenn der OPNsense-Installer nach einem Dateisystem fragt, wähl **ZFS (Stripe – einzelne Platte)**, auch wenn dein Mini-PC nur eine SSD hat. ZFS gibt dir **Boot Environments** (`System > Firmware > Boot Environments`). Vor jedem größeren OPNsense-Upgrade klickst du einen Button, um die Boot-Umgebung zu snapshotten; wenn ein Update ein Plugin oder einen Treiber bricht, rebootest du, wählst im HDMI-Console-Menü den vorherigen Snapshot und bist in 30 Sekunden wieder online. ### 2. Verifiziere Intel-NIC-Treibernamen an der Console Beim ersten Boot listet OPNsense erkannte Interfaces: - **`igc0`, `igc1`, `igc2`, `igc3`**: Intel-i225-/i226-2.5GbE-Ports (was du auf EQ14, S13, FW4C, MS-01 willst). - **`ixl0`, `ixl1`**: Intel-X710-10GbE-SFP+-Cages (auf dem MS-01). - **`re0`, `re1`**: Realtek-NICs (wenn du die auf einer generischen Box siehst, installiere sofort das `os-realtek-re`-Plugin unter `System > Firmware > Plugins`, um Watchdog-Stalls zu verhindern). ### 3. Aktiviere PowerD und C-States für niedrige Idle-Hitze Out of the box lässt FreeBSD moderne Intel-CPUs oft wärmer laufen als Linux. In der OPNsense-Web-UI: 1. Geh zu **System > Settings > Miscellaneous > Power Savings** und aktiviere **Use PowerD**, eingestellt auf `Hiadaptive` am Netzstrom. 2. Setze unter **System > Settings > Tunables** `dev.cpu.0.cx_lowest` (und die übrigen Kerne) auf `C3`, damit der N150 oder i5 zwischen Paket-Bursts in tiefe Idle-States fällt. ### 4. Schalte WireGuard für Road-Warrior-Zugang ein Statt Ports zu internen Diensten zu forwarden, konfiguriere OPNsenses eingebauten **VPN > WireGuard**-Server. Paar ihn mit einem [GL.iNet-Reiserouter](/best-travel-router-wireguard-tailscale/) in deiner Laptoptasche, und jedes Gerät, das du ins Hotel mitbringst, tunnelt automatisch zurück durch deine Heim-Firewall. ## Was ich kaufen würde - **Die meisten Haushalte (≤2.5Gbps-WAN, Switch dahinter):** der [Beelink EQ14 für $369](/go/beelink-eq14/) (oder [Mini S13 für $349](/go/beelink-mini-s13/)) mit OPNsense bare metal auf ZFS. - **4 physische Intel-Ports und fanless Stille gewünscht:** der [Protectli Vault FW4C](/go/protectli-vault-fw4c/) – check den $299-Direktpreis auf Protectlis Seite, bevor du $369 auf Amazon zahlst. - **2.5G–10G-Fiber-WAN oder schweres Zenarmor/Suricata:** der [MINISFORUM MS-01-i5-Barebone für $439](/go/minisforum-ms-01-i5-barebone/) mit einem Paar 10G-SFP+-DAC-Kabel. - **10GbE-Firewall + Proxmox-Cluster-Node in einem Chassis:** der [MS-01-i9-Barebone für $669](/go/minisforum-ms-01-i9-barebone/) oder die [konfigurierte 32GB/1TB-Einheit](/go/minisforum-ms-01-i9-32gb/). ## FAQ **Welche CPU brauche ich für OPNsense oder pfSense in 2026?** Jede moderne 4-Kern-x86-CPU routet ein 1Gbps-WAN mühelos. Ein Intel N150 (im Beelink EQ14 und Mini S13) handhabt locker 2.5GbE-Routing, ~1Gbps-WireGuard-VPN-Tunnel und moderate Suricata- oder Zenarmor-Inspection. Steig nur auf einen Core i5 (wie den MINISFORUM MS-01 i5-12600H) um, wenn du Multi-Gigabit-IDS/IPS oder 10GbE-Routing fährst. **Braucht OPNsense oder pfSense AES-NI?** Nein. Weder OPNsense noch aktuelles pfSense brauchen AES-NI zum Installieren oder Updaten. AES-NI beschleunigt IPsec und OpenVPN, während WireGuard ChaCha20-Poly1305 nutzt und auf jeder modernen CPU schnell läuft. Jeder in diesem Guide empfohlene Prozessor bringt AES-NI ohnehin mit. **Reichen 2 Ethernet-Ports für OPNsense, oder brauche ich 4?** Zwei Intel-2.5GbE-Ports (WAN + LAN) reichen für die meisten Haushalte, wenn du den LAN-Port an einen Switch hängst. Für isolierte Gast-, IoT- und Homelab-Netze auf einer 2-Port-Box nutzt du 802.1Q-VLANs mit einem Managed Switch. Eine 4-Port-Appliance wie der Protectli FW4C lässt dich getrennte Switches oder Access Points in physisch isolierte Ports stecken – ohne VLAN-Tags zu konfigurieren. **Warum warnen alle vor Realtek-NICs für OPNsense und pfSense?** OPNsense und pfSense laufen auf FreeBSD, wo Intels `igc`- (2.5GbE i225/i226) und `ixl`-Treiber (10GbE X710) ausgereift und unter Dauerlast stabil sind. Realtek-2.5GbE-Chips (`RTL8125`) litten historisch unter Link-Drops und Watchdog-Timeouts mit FreeBSDs Default-Treiber – es sei denn, du pflegst das Vendor-Kernelmodul (`os-realtek-re`) manuell nach. **Sollte ich OPNsense bare metal oder in einer Proxmox-VM fahren?** Fahr deine primäre WAN-Firewall bare metal auf einem dedizierten Mini-PC. OPNsense in Proxmox zu virtualisieren funktioniert via PCI-Passthrough – aber es heißt, dass jeder Proxmox-Host-Reboot, jedes Kernel-Update oder jedes Storage-Experiment Internet und DNS des ganzen Haushalts runternimmt.