OPNsense, pfSense en VyOS zijn alle drie open-source firewalls die draaien op gewone x86-hardware. Toch zijn ze zo verschillend van aanpak dat ze eigenlijk voor andere mensen gemaakt zijn. We zetten de drie naast elkaar — eerlijk, zonder marketingpraat.
Drie filosofieën in drie regels
OPNsense is een GUI-first firewall die elke zes maanden een stabiele major release uitbrengt. pfSense is het oudere broertje dat ooit de standaard werd, maar al jaren in een gespannen verhouding staat met zijn commerciële eigenaar Netgate. VyOS is een routerbesturingssysteem voor wie liever regels typt dan muist, en voor wie het woord "config-as-code" een goed gevoel geeft in plaats van angst.
Geen van de drie is de absolute winnaar. Ze overlappen op papierniveau — alle drie draaien op een tweedehands pc, alle drie ondersteunen WireGuard, OpenVPN en IPsec, alle drie zijn gratis te gebruiken — maar in de praktijk is de keuze meteen duidelijk zodra je weet wie je bent als beheerder.
OPNsense: UI-first, community-first
OPNsense is in 2015 ontstaan als fork van pfSense, met als expliciete doelstelling een schonere code-basis en een transparanter ontwikkelproces. Dat heeft het team van Deciso (een Nederlands bedrijf) de afgelopen tien jaar consequent volgehouden. Versie 25.1 — met de bijnaam "Ultimate Unicorn" en uitgebracht in januari 2025 — is de meest ingrijpende UI-vernieuwing tot nu toe. Licht en donker thema zijn ingebakken, de navigatie is geherstructureerd en het dashboard geeft direct zicht op certificaatvervaldata, VPN-tunnels en interfacebelasting zonder dat je drie menu-lagen diep hoeft te duiken.
Technisch draait 25.1 op FreeBSD 14.2 en PHP 8.3. Wat dat voor jou betekent: snellere WebGUI-respons, stabielere ZFS-snapshots voor rollback na mislukte updates, en een herschreven PPP-stack die IPv6-only-providers correct afhandelt. Security-patches verschijnen gemiddeld binnen enkele dagen nadat ze upstream in FreeBSD beschikbaar zijn — significant sneller dan bij pfSense CE.
"OPNsense is de eerste firewall waarbij ik de documentatie niet naast het browservenster open hoef te houden." — homelab-gebruiker op Reddit, november 2025
Het pluginecosysteem is een extra troef. Zenarmor brengt deep packet inspection tot laag 7 (gratis voor thuisgebruik op één interface), os-wireguard is sinds versie 24.7 stabiel in de mainline kernel, os-crowdsec voegt gedistribueerde IP-reputatieblokkering toe en os-acme-client regelt Let's Encrypt-certificaten via DNS-validatie. Voor thuisnetwerken met VLAN-segmentatie — IoT apart, werk-laptop apart, gastnetwerk apart — is OPNsense de laagste instapdrempel van de drie.
Wat betreft prestaties: OPNsense en pfSense ontlopen elkaar nauwelijks op gelijke hardware. Op een N100 met Intel i226-V-poorten haal je zonder moeite routersnelheden voor een 1 Gbit glasvezellijn. Wie WireGuard draait ziet op datzelfde systeem doorvoersnelheden van 600 tot 800 Mbit/s. Suricata of Zenarmor inschakelen kost CPU-cycles; bij 2.5 Gbit-verbindingen is een N305 (acht cores) een betere keuze dan een N100.
pfSense: polarisatie en Netgate
pfSense was jarenlang de vanzelfsprekende keuze voor zelfbeheerde firewalls. Een enorme community, uitstekende documentatie en een trackrecord van meer dan twintig jaar zorgden voor een welverdiende reputatie. Maar de relatie tussen de software en haar commerciële eigenaar Netgate is de afgelopen jaren flink verstoord.
Het meest concrete pijnpunt: in oktober 2023 stopte Netgate met de gratis Home+Lab-versie van pfSense Plus. Die versie was bedoeld voor thuis- en labgebruik zonder hardware van Netgate, maar werd ook misbruikt door fabrikanten die goedkope appliances verkochten met de commerciële Plus-licentie erop. Netgate trok de stekker eruit. Thuisgebruikers vallen sindsdien terug op pfSense CE — de Community Edition — die gratis blijft, maar qua features en patchsnelheid achterloopt op pfSense Plus.
Het strukturele probleem is het tweelaagssysteem. pfSense Plus is de commerciële, gesloten fork die Netgate-hardware-kopers en TAC-abonnees krijgen. Beveiligingspatches verschijnen daar eerst; CE-gebruikers wachten. Dat is een legitiem businessmodel, maar het wringt in een community die gewend was aan volledige openheid. Op forums als r/homelab en het Netgate-forum zelf lopen threads van honderden berichten over de vraag of CE nog wel de moeite waard is.
Voor wie al jaren op pfSense draait en alles uit het hoofd kent: er is geen dwingende reden om te migreren. De software werkt. De community is groot genoeg om antwoorden te vinden. Maar wie vandaag kiest, pikt OPNsense sneller op en zit op een platform dat minder politieke bagage meezeult.
VyOS: config-as-code voor wie niet terugschrikt
VyOS is geen firewall-appliance met een webinterface — het is een volledig routerbesturingssysteem met een CLI die sterk lijkt op die van Juniper JunOS. Er is geen GUI. Je configureert alles via de terminal, in een hiërarchische structuur die je commit en dan pas toepast op het draaiende systeem. Dat klinkt als extra werk, maar voor wie gewend is aan infrastructuur-as-code is het juist de aantrekkingskracht.
VyOS 1.5.0, uitgebracht als GA in 2025 en vernoemd naar het sterrenbeeld Circinus, brengt onder andere een versneld dataplane, NAT66-groepsuondersteuning, root guard en BPDU guard voor bridge-interfaces, en een automatische reboot naar de vorige image als een configuratie niet laadt. Die laatste feature is bijzonder handig op remote hardware waar je niet fysiek bij kunt.
Een typisch VyOS-commando voor een statische route ziet er zo uit:
set protocols static route 192.168.10.0/24 next-hop 10.0.0.1Na elke sessie van configureren doe je commit en save. De configuratie leeft als tekstbestand dat je kunt versiebeheren in Git — ideaal voor wie meerdere locaties beheert of wil dat netwerkconfiguratie reproduceerbaar is zoals software-deployments. VyOS ondersteunt BGP, OSPF, RIP en IS-IS, protocollen die in een thuisomgeving zelden nodig zijn maar in een klein kantoor of multi-site-setup direct relevant worden.
De rolling release is gratis beschikbaar via de officiële builds. De LTS-releases (stabiel, lang ondersteund) vragen een abonnement voor de downloadtoegang, al circuleren community-builds via GitHub. Wie VyOS serieus inzet in een bedrijfsomgeving overweegt het enterprise-abonnement voor prioritaire patches en support.
Vergelijkingstabel: OPNsense 25.1 vs pfSense CE 2.7 vs VyOS 1.5
| Eigenschap | OPNsense 25.1 | pfSense CE 2.7 | VyOS 1.5 |
|---|---|---|---|
| Basis-OS | FreeBSD 14.2 | FreeBSD 14.x | Debian Linux |
| Interface | WebGUI (modern) | WebGUI (klassiek) | CLI only |
| Releaseritme | 2× per jaar major + wekelijkse patches | Onregelmatig, achter Plus | Rolling + LTS |
| Gratis voor thuis | Volledig | CE ja, Plus nee | Rolling build ja, LTS abonnement |
| VPN | WireGuard, OpenVPN, IPsec | WireGuard, OpenVPN, IPsec | WireGuard, OpenVPN, IPsec, L2TP |
| Dynamisch routeren | OSPF, BGP (via FRR) | OSPF, BGP (via FRR) | BGP, OSPF, RIP, IS-IS (native) |
| IDS/IPS | Suricata, Zenarmor | Suricata, Snort | Geen ingebouwd |
| Config-as-code | Beperkt (backup XML) | Beperkt (backup XML) | Native (Git-vriendelijk tekstbestand) |
| Leercurve | Laag tot gemiddeld | Laag tot gemiddeld | Hoog |
| Beste doelgroep | Thuis, KMO, iedereen | Bestaande pfSense-gebruikers | Netwerk-engineers, multi-site |
Welke kies je — en wanneer?
Als je vandaag voor het eerst een eigen firewall installeert, kies dan OPNsense. De documentatie is uitstekend, de UI is intuïtief genoeg dat je zonder handleiding al ver komt, en je loopt niet het risico dat de ontwikkelaar morgen de spelregels verandert. Voor een thuisnetwerk met VLAN-segmentatie, een handvol WireGuard-peers en misschien Zenarmor voor parental controls is OPNsense de meest doordachte keuze van 2026.
Ben je al jaren pfSense-gebruiker en weet je alles uit het hoofd? Blijf dan gerust. pfSense CE werkt, de community is groot en migreren kost tijd zonder direct zichtbare winst voor wie al comfortabel is. Maar start je een nieuw project — een server in een datacenter, een nieuwe locatie — dan is OPNsense de logischere start.
VyOS is voor een specifiek publiek: wie netwerken beheert zoals een developer code beheert, wie BGP nodig heeft, wie configuraties via Ansible of Terraform wil uitrollen, of wie VyOS als virtuele router in een Proxmox-cluster draait naast meerdere instanties. In een homelab is VyOS een uitstekende leerschool voor wie richting network engineering wil; in productie voor een klein bedrijf vraagt het CLI-kennis die niet iedereen heeft.
FAQ
Kan ik OPNsense op dezelfde hardware draaien als pfSense?
Ja. Beide draaien op FreeBSD op x86-hardware. Een mini-pc die pfSense draait, draait ook OPNsense zonder hardwarewijzigingen. Maak een backup van je pfSense-configuratie voor de migratie — de twee formaten zijn niet direct uitwisselbaar, maar de instellingen handmatig overnemen duurt zelden langer dan een uur voor een thuis-setup.
Is pfSense CE nog veilig om te gebruiken?
Netgate bevestigt dat CE beveiligingsupdates blijft ontvangen, maar ze komen later dan bij Plus. Voor kritieke infrastructuur is dat een argument om OPNsense te overwegen. Voor een thuisrouter is het risico beheersbaar mits je updates bijhoudt zodra ze uitkomen.
Heeft VyOS een gratis versie?
De rolling release (nightly builds) is gratis te downloaden van vyos.net. LTS-releases, die langer ondersteund worden en minder bleeding-edge zijn, vragen een betaald abonnement. Voor een homelab is de rolling release voldoende; voor productie wil je de stabiliteit van LTS.
Wat is het minimale hardware voor OPNsense?
De officiële minimumvereisten zijn 2 GB RAM en 8 GB opslag, maar 4 GB RAM en een SSD van 16 GB of meer is de praktische ondergrens voor een comfortabele installatie met plugins. Een Intel N100 fanless mini-pc met vier 2.5GbE-poorten kost tussen €90 en €140 en is overkill voor 1 Gbit — in de positieve zin van het woord.
Kan VyOS een webGUI krijgen in de toekomst?
Het VyOS-team heeft geen plannen voor een volwaardige GUI. Er bestaan community-projecten die een rudimentair dashboard bieden, maar de CLI blijft de eerste-klassige interface. Dat is een bewuste keuze, geen vergissing.
