OPNexus pflegt Regeln, NAT, VPN, Zertifikate und Updates mehrerer OPNsense-Firewalls zentral – und rollt sie per API aus, mit Vorschau, Bestätigung und automatischem Rollback. Auf dem Desktop, Tablet und Smartphone.
OPNexus ist von Grund auf für kleine Bildschirme gebaut: Eine Störung am Wochenende lässt sich vom Sofa prüfen, ein Update im Zug vorbereiten. Alle Ansichten funktionieren ab 375 Pixel Breite.
Dashboard
Regeln
Cluster
Update Center
Große Tippflächen
Schaltflächen und Menüs sind für den Daumen gemacht – keine Mini-Links in dichten Tabellen.
Kompakte Navigation
Hauptbereiche als Symbolleiste, Unterseiten darunter. Mit der Schnellsuche (Strg/⌘+K) springst du überall hin.
Hell und Dunkel
Das Farbschema folgt dem System oder deiner Wahl – auch nachts im Serverraum gut lesbar.
Barrierearm
Automatisch mit axe-core auf allen 18 Seiten geprüft (WCAG 2.2 AA), vollständig per Tastatur bedienbar.
Hell oder dunkel
Beide Farbschemata, gleiche Klarheit
Ziehe den Regler: links das dunkle, rechts das helle Design. Die Seite hier folgt ebenfalls deinem System.
DunkelHell
Alles im Überblick
Der vollständige Funktionsumfang
Mehr als eine Regelverwaltung: OPNexus deckt den laufenden Betrieb einer Firewall-Flotte ab.
Flotte & Hochverfügbarkeit
Zentrale Host-Liste
Live-Status, CARP-Rolle, Cluster- und Policy-Zugehörigkeit; „In OPNsense öffnen“ mit einem Klick.
Cluster-Ansicht
HA-Paare werden über den Cluster-Namen automatisch gruppiert; MASTER und BACKUP stehen nebeneinander.
CARP-Ereignis-Historie
Jeder Rollenwechsel wird protokolliert; Alarm bei Split-Brain oder fehlendem MASTER.
CARP-Wartungsmodus
Optional mit Auto-Revert-Timer (15, 30, 60 Minuten oder dauerhaft).
Ressourcen-Verlauf
CPU-Last, Speicher und Festplatte der letzten 24 Stunden je Host.
Dienste-Steuerung
Dienste einer Firewall anzeigen sowie starten, stoppen und neu starten.
Dashboard
Offene Aktionen, Fleet-Gesundheit, Sicherheits- und Ablaufwarnungen und ein Aktivitäts-Feed.
Regelwerk
Zentrale Firewall-Regeln
Einmal pflegen, gezielt auf Hosts oder Gerätegruppen ausrollen.
Vorschau → Ausrollen → Bestätigen
Mit Zeitfenster und automatischem Rollback, wenn die Bestätigung ausbleibt.
Hierarchische Policies
Pre-/Post-Rulebases mit Vererbung über Gruppenbäume, in korrekter Reihenfolge.
Gerätegruppen
Hosts bündeln: ein Ziel, viele Firewalls.
Aliase
Netzwerk-Objekte (Host, Netz, Port, Gruppe, MAC, ASN) mit demselben Ablauf wie Regeln.
Verlauf je Regel
Frühere Stände einsehen und wiederherstellen.
Drift-Erkennung
Abweichungen zwischen verwalteter und tatsächlich aktiver Konfiguration werden markiert.
Sperrschutz
Jedes Ausrollen steht zunächst „auf Probe“ – wer sich aussperrt, wird nach Ablauf automatisch zurückgerollt.
NAT & VPN
Port-Forward
Portweiterleitungen zentral definieren und ausrollen.
1:1-NAT und Outbound-NAT
Mit Live-Ansicht der tatsächlich aktiven Regeln auf der Firewall.
NAT-Drift
Unterschiede zwischen den Knoten eines Clusters werden erkannt.
IPsec Site-to-Site
Tunnel mit Pre-Shared-Key zentral verwalten.
OpenVPN
Server- und Client-Instanzen, optional TLS-Crypt, Zertifikat und CA pro Host.
WireGuard
Server und Peers inklusive optionalem Pre-Shared-Key.
Zertifikate
Live-Überblick
Alle Zertifikate und CAs der Flotte mit Restlaufzeit und Status.
Trust-Store
Zertifikate zentral importieren und auf Firewalls verteilen.
ACME / Let’s Encrypt
Ausstellung direkt aus OPNexus – mit Warnhinweis vor jedem Kontakt zu einer echten CA.
Monitoring & Benachrichtigung
Zentrale Log-Suche
Firewall-Logs werden eingelesen, sind durchsuchbar und filterbar.
Log-Dashboards
Top-Quellen, Top-Zielports und Verteilung erlaubt/geblockt.
Speicherlimit & Aufbewahrung
Maximale Größe und Aufbewahrungsdauer der Logs einstellbar.
Audit-Verlauf
Lückenlos, mit JSON-Export; bleibt auch nach dem Löschen von Regeln oder Hosts erhalten.
Webhook & E-Mail
Signierte Webhooks und SMTP-Mail bei Host offline, Zertifikatsablauf, Drift, Split-Brain und fehlgeschlagenem Rollback.
Updates & Wartung
Update Center
Stabile Updates und Major-Upgrades der ganzen Flotte, mit Neustart-Hinweis.
Geführter HA-Ablauf
Updates zuerst auf dem BACKUP, CARP-Umschaltung mit Bestätigung.
Backup-Check
Lokale Konfigurationssicherung als Voraussetzung; Restore-Vorschau für gespeicherte Backups.
Geplante Wartung
Neustarts und Updates für ein Wartungsfenster vormerken.
Update für OPNexus selbst
Release-Images und opnexus update / opnexus rollback; Versionshinweis optional.
Sicherheit & Betrieb
HTTPS-Proxy
Mitgelieferter Caddy mit interner CA – auch für reine IP-Adressen.
Gepinnte Firewall-Zertifikate
OPNexus vertraut genau dem hinterlegten Zertifikat jeder Firewall.
Zwei-Faktor-Anmeldung
TOTP mit Wiederherstellungs-Codes.
Rollen
Admin und Nur-Lesen; Benutzerverwaltung mit Passwort-Reset.
Login-Infos
Letzte Anmeldung und fehlgeschlagene Versuche seit dem letzten Login.
Selbst gehostet
Docker Compose auf deinem Server; deine Daten verlassen ihn nicht.
Bedienung
Mobile first
Ab 375 Pixel Breite voll nutzbar.
Schnellsuche
Strg/⌘+K springt zu Seiten, Hosts und Einstellungen.
Nein. OPNexus nutzt die REST-API des OPNsense-Kerns. Die Filter- und Alias-API ist ohne zusätzliches Plugin vorhanden. Du hinterlegst pro Firewall einen API-Schlüssel.
Was passiert, wenn mich eine Regel aussperrt?
Jede Änderung gilt zunächst nur auf Probe. Bestätigst du sie nicht innerhalb des Zeitfensters (Standard: 3 Minuten), stellt OPNexus automatisch den vorherigen Stand her. Schlägt das selbst fehl, bleibt der Fehler sichtbar und wird gemeldet.
Wo liegen meine Daten?
Auf deinem eigenen Server (Docker Compose mit PostgreSQL). Es gibt keine Cloud und kein Konto bei uns. Der Versionshinweis ist standardmäßig aus; wenn du ihn aktivierst, geht höchstens alle 12 Stunden eine einzelne Anfrage an updates.opnexus.dev – ohne Instanz- oder Nutzerdaten.
Für wen ist OPNexus gedacht?
Für alle, die mehrere eigene OPNsense-Firewalls betreiben – vom Homelab bis zum mittelständischen Unternehmen. Mandantenfähigkeit für Dienstleister mit vielen Kunden ist bewusst kein Ziel.
Unterstützt OPNexus Hochverfügbarkeit?
Ja. CARP-Paare werden als Cluster dargestellt, Rollenwechsel protokolliert, und Updates laufen in einem geführten Ablauf zuerst auf dem BACKUP.
Was kostet OPNexus?
Nichts. Herunterladen, Quellcode ansehen, anpassen und einsetzen – auch geschäftlich für die eigenen Firewalls – ist kostenlos. Nicht erlaubt ist, OPNexus oder Ableitungen weiterzuverkaufen oder als konkurrierendes Produkt oder Dienst anzubieten. Lizenz: PolyForm Shield 1.0.0 (source-available, keine Open-Source-Lizenz).
Gibt es eine Verbindung zu OPNsense oder Deciso?
Nein. OPNexus ist ein unabhängiges Projekt und steht in keiner Verbindung zu Deciso B.V. oder dem OPNsense®-Projekt. OPNsense® ist eine Marke von Deciso B.V.
Wie aktualisiere ich OPNexus?
Mit opnexus update: Das Werkzeug zieht die neuen Images, wartet auf „gesund“ und rollt bei Problemen automatisch zurück; opnexus rollback stellt auch die Datenbank aus der Sicherung vor dem Upgrade wieder her. Fertige Release-Images kommen mit dem ersten öffentlichen Release.
Loslegen
Installation
OPNexus läuft als Docker-Compose-Stack auf einem eigenen Server – deine Firewall-Daten bleiben bei dir.
# Voraussetzung: Docker mit Compose-Plugin
git clone https://git.opnexus.dev/opnexus/opnexus.git
cd OPNexus
cp .env.example .env # POSTGRES_PASSWORD anpassen
docker compose up -d --build
Danach ist die Oberfläche lokal auf http://localhost:3100 erreichbar. Für den Zugriff von anderen Rechnern und den Produktivbetrieb mit TLS beschreibt die Handbuch den mitgelieferten HTTPS-Proxy.
Fertige Release-Images samt opnexus update und opnexus rollback sind vorbereitet und kommen mit dem ersten öffentlichen Release.
Gut zu wissen
Selbst gehostet. Keine Cloud, kein Konto bei uns.
Versionshinweis nur auf Wunsch. Standardmäßig aus; sonst höchstens eine Anfrage alle 12 Stunden an updates.opnexus.dev.
Quellcode einsehbar. Kostenlos nutzbar unter der PolyForm Shield License 1.0.0 – nur Weiterverkauf und konkurrierende Produkte sind ausgeschlossen.
Gegen echte OPNsense-Instanzen entwickelt und mit einer umfangreichen Testsuite abgesichert.
