OPN-Admin: Firewall-Administration für unterwegs
Die Firewall im Blick, auch unterwegs: Eine App spricht direkt mit der OPNsense-API, ohne Umweg über Cloud-Dienste.
Wer seine OPNsense-Firewall bisher nur über die Weboberfläche bedient, kennt das Problem: Schnell etwas am Regelwerk prüfen oder einen Tunnel neu starten bedeutet, den Laptop aufzuklappen und sich einzuloggen. Eine App für iPhone, iPad und Android verspricht, diesen Umweg zu sparen. Der folgende Walkthrough zeigt, wie die App OPN Admin eingerichtet wird, was man dafür auf der Firewall vorbereiten muss und worauf man achten sollte.
Was die App eigentlich tut
OPN Admin spricht nicht mit einem Dienst des Herstellers, sondern direkt mit der REST-API der eigenen Firewall. Der Entwickler FrsDev betont, dass es weder ein Konto noch einen Relay-Server gibt, der dazwischenfunkt. Das Telefon baut die Verbindung also selbst auf. Auf dem Papier deckt die App Regeln, NAT, VPN, DNS, DHCP und Diagnose ab, ohne dass man die Web-GUI öffnen muss. Mehrere Firewalls lassen sich hinterlegen und umschalten.
Vorbereitung auf der OPNsense
Bevor die App ins Spiel kommt, braucht die Firewall einen API-Zugang. Den legt man unter System → Access → Users an, bzw. bearbeitet einen bestehenden Benutzer und erzeugt dort einen API-Key. OPNsense liefert dabei ein Schlüsselpaar aus Key und Secret als Datei aus. Diese Datei sollte man sofort sichern, denn das Secret wird danach nicht noch einmal angezeigt.
Ein Punkt, der leicht übersehen wird: Der API-Benutzer sollte nur die Rechte haben, die man tatsächlich braucht. Für ein reines Monitoring ist ein voller Admin-Zugang nicht nötig. Die App bietet zusätzlich die Möglichkeit, für Home-Screen-Widgets und Kurzbefehle eine eigene, eingeschränkte Zugangsdaten zu hinterlegen. Diese Trennung lohnt sich.
Ganz wichtig ist außerdem, wo die API erreichbar ist. Es versteht sich wohl von selbst, dass man diesen Zugang nicht aus dem Internet verfügbar macht.
App installieren
Die App gibt es im App Store und bei Google Play. Für iPhone und iPad wird mindestens iOS 17.4 vorausgesetzt, für Android mindestens Version 7.0. Die Basisversion ist kostenlos, in den Einstellungen gibt es lediglich einen optionalen Trinkgeld-Hinweis.
Die Firewall in der App hinterlegen
Beim ersten Anlegen trägt man Adresse, Key und Secret der Firewall ein. Die Verbindung läuft ausschließlich über HTTPS. Bei einem selbstsignierten Zertifikat, wie es auf vielen Heimfirewalls üblich ist, merkt sich die App den Fingerabdruck beim ersten Verbindungsaufbau (Certificate Pinning). Ändert sich das Zertifikat später, sollte man das bewusst prüfen, statt es einfach zu akzeptieren. Hat die Firewall ein Zertifikat einer öffentlichen CA, lässt sich die Prüfung normal durchführen.
Die Zugangsdaten verlassen das Gerät nicht. Sie liegen im iOS-Schlüsselbund beziehungsweise im Android Keystore, und die App verweigert Weiterleitungen, die die Daten an einen anderen Host schicken würden. Selbst Screenshots sind nicht möglich.
Die wichtigsten Ansichten
Nach dem Verbinden öffnet sich ein Monitor-Tab mit RRD-Diagrammen für CPU, Speicher und den Durchsatz pro Interface. Dazu kommen die Gateway-Werte RTT, Paketverlust und Jitter. Gerade die Gateway-Werte sind im Alltag nützlich, wenn eine Leitung spürbar langsamer wird und man schnell wissen möchte, ob der Provider oder das eigene Netz schuld ist.
Der Firewall-Tab listet die Automatisierungs- und Legacy-Regeln mit Trefferzählern. Hier lassen sich Regeln sortieren, aktivieren und deaktivieren. Die Änderungen werden über einen Savepoint angewendet. Bleibt die Firewall nach dem Übernehmen erreichbar nicht mehr ansprechbar, rollt OPNsense die Änderung zurück. Das ist eine Sicherung, die man sonst nur aus der Web-GUI kennt, und sie verhindert, dass man sich mit einem falschen Klick selbst aussperrt.
Unter System findet man CPU-Last, RAM und Temperaturen pro Kern. Außerdem lassen sich Firmware-Updates mit Release-Notes anzeigen und Konfigurations-Backups vergleichen. Die Diff-Funktion ist praktisch, wenn man nach einer Änderung wissen will, was sich genau verändert hat.
Die Liste der weiteren Bereiche ist lang. Aliase lassen sich bulk-weise importieren, und es gibt eine Suche nach Referenzen. Für VPN stehen WireGuard-Peers inklusive QR-Export bereit, für DNS Unbound-Overrides und eine Prüfung, ob eine Domain auf der DNSBL steht. Suricata- und CrowdSec-Meldungen werden ebenfalls angezeigt. Die Diagnose umfasst Ping, Traceroute, Portprüfung und Paketmitschnitt.
Plugins und Erweiterungen
Ist ein Plugin installiert, erscheint der passende Bereich in der App, etwa für Tailscale, ZeroTier, CrowdSec, HAProxy, ACME, Dynamic DNS, FRR oder USV-Anbindungen über NUT oder apcupsd. Wer auf der Firewall nur Kernfunktionen nutzt, sieht entsprechend weniger Menüpunkte.
Seit Version 1.4.0 vom 13. Oktober 2026 gibt es zudem eine Apple-Watch- und eine Wear-OS-App. Der Entwickler schreibt selbst, dass die Watch-App nur im Simulator gebaut und getestet wurde, weil er keine Apple Watch besitzt. Man sollte sie also eher als Versuch betrachten und nicht als ausgereiftes Produkt.
Fazit
Diese App hat mich absolut beeindruckt. Ich konnte alles erledigen, was über die Weboberfläche machbar ist. Um schnell Änderungen vorzunehmen ohne den Laptop anwerfen zu müssen oder eben schnell ein Update zu machen (php2shell lässt grüßen), ist die App unschlagbar. Und sollte mal etwas schief gehen (was noch nie passiert ist), kann man ja auch schnell wieder einen Snapshot zurückgehen:
