OPNsense - Mit GeoIP-Filter

Auf einen Blick

Gilt für	OPNsense mit MaxMind-GeoLite2-Lizenz-Key
Bereich	IT-Security
Dauer	ca. 15 Minuten
Rechte	Administrator (OPNsense-WebUI)
Stand	September 2026

Mit dem GeoIP-Filter lassen sich in OPNsense Firewall-Regeln auf ganze Länder oder Kontinente anwenden – praktisch, um Zugriffe aus bestimmten Regionen gezielt zuzulassen oder zu blockieren. Grundlage ist eine GeoIP-Datenbank von MaxMind (GeoLite2), die als Alias vom Typ GeoIP eingebunden wird.

HinweisSeit Ende 2019 gibt MaxMind die GeoLite2-Datenbank nur noch nach kostenloser Registrierung heraus. Sie benötigen daher ein MaxMind-Konto und einen Lizenz-Key – ohne diesen kann OPNsense die Datenbank nicht mehr laden.

Schritt 1: MaxMind-Konto und Lizenz-Key

1. Unter https://www.maxmind.com/en/geolite2/signup ein kostenloses Konto anlegen.
2. Nach dem Login unter My License Key einen neuen Lizenz-Key erzeugen. Auf die Frage, ob der Key mit „geoipupdate" verwendet wird, mit No antworten.
3. Den Lizenz-Key sicher notieren.

Schritt 2: Download-URL zusammensetzen

Aus dem Lizenz-Key ergibt sich die Download-URL für die von OPNsense benötigte CSV-Edition (<LICENSE_KEY> durch den eigenen Key ersetzen):

https://download.maxmind.com/app/geoip_download?edition_id=GeoLite2-Country-CSV&license_key=<LICENSE_KEY>&suffix=zip

Ein Test der URL im Browser sollte eine ZIP-Datei herunterladen – dann ist der Key korrekt.

Schritt 3: GeoIP-Quelle in OPNsense hinterlegen

1. In OPNsense Firewall → Aliases (siehe Aliase in OPNsense) öffnen und auf den Reiter GeoIP settings wechseln.
2. Die zuvor zusammengesetzte URL in das URL-Feld eintragen und mit Apply bestätigen. OPNsense lädt daraufhin die Datenbank herunter.

Schritt 4: GeoIP-Alias anlegen

Nun lässt sich der eigentliche Länder-Alias erstellen:

1. Unter Firewall → Aliases einen neuen Alias hinzufügen.
2. Als Type den Wert GeoIP wählen.
3. Im darunter erscheinenden Auswahlfeld die gewünschten Länder markieren. Seit Version 17.7.7 lassen sich diese bequem pro Kontinent per Checkbox auswählen, statt jedes Land einzeln aus einer langen Liste zu suchen.
4. Speichern und mit Apply aktivieren.

GeoIP-Alias in OPNsense: Auswahl der Länder pro Kontinent per Checkbox.

Schritt 5: Alias in Firewall-Regeln verwenden

Der GeoIP-Alias kann anschließend wie jeder andere Alias in Firewall-Regeln als Source oder Destination verwendet werden – etwa um Zugriffe aus bestimmten Ländern zu blockieren oder umgekehrt nur aus definierten Regionen zuzulassen.

HinweisOPNsense aktualisiert die GeoIP-Datenbank regelmäßig automatisch. Bleibt ein Alias unerwartet leer, prüfen Sie die hinterlegte URL bzw. den Lizenz-Key sowie ausgehende Verbindungen der Firewall zu MaxMind. GeoLite2 ist die kostenlose, etwas ungenauere Variante; für höhere Trefferquote bietet MaxMind die kommerziellen GeoIP2-Datenbanken an.

Unterstützung von m.a.x. it

Bei Firewall-Regelwerken, Geo-Blocking und OPNsense-Betrieb unterstützt Sie m.a.x. it als OPNsense-Gold-Partner mit OPNsense-Firewall-Services.

Siehe auch

• OPNsense - Aliase
• OPNsense - Firewall-Regeln
• OPNsense - Plugin-Liste
• OPNsense - Eine kurze Einführung

Links und Quellen

• OPNsense-Doku – GeoIP-Filter mit MaxMind einrichten
• MaxMind – GeoLite2-Registrierung
• OPNsense – offizielle Projektseite
• m.a.x. it – OPNsense-Firewall-Services

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen