Übersicht
IPFire ist eine gehärtete Linux-Distribution, die einen kleinen x86-Rechner, eine virtuelle Maschine oder einen Raspberry Pi in eine Netzwerk-Firewall verwandelt. Das Projekt entstand 2005 als Fork von IPCop und wird seit Version 2 auf Basis von Linux From Scratch gebaut. Es ist also ein vollständiges Betriebssystem und kein Paket, das man auf einem anderen installiert. Alles wird über eine Weboberfläche verwaltet, und die Software ist unter der GPL kostenlos.
Der Sicherheits-Stack liegt auf Netzwerkebene. Ein zustandsbehafteter Netfilter-Paketfilter regelt Zonen, NAT, Portweiterleitung und die Segmentierung in LAN, DMZ, WLAN und Gastnetz. Suricata übernimmt die Angriffserkennung mit Regelsätzen von Emerging Threats und Cisco Talos. Squid dient als ausgehender Web-Proxy mit URL-Filter und Inhaltssperren. IPsec, WireGuard und OpenVPN decken den Fernzugriff ab, und Pakfire ergänzt optionale Pakete.
Was IPFire nicht hat, ist eine Web Application Firewall. Kein Reverse Proxy vor Ihren Webservern, keine Auswertung von Requests, kein OWASP Core Rule Set, kein Bot-Management, kein API-Schutz. Das Suricata-IPS gleicht Signaturen gegen Verkehr ab, den es im Klartext lesen kann, was manche bekannten Exploit-Versuche erwischt. Eingehendes HTTPS zu Ihren Anwendungen läuft aber ungeprüft durch. Wer Webanwendungen schützen will, hat mit IPFire die Kiste vor der Kiste, nicht den Schutz selbst.
Bewertungsaufschlüsselung
Hauptfunktionen
Zustandsbehafteter Paketfilter
Linux-Netfilter-Firewall mit Zonen, NAT, Portweiterleitung, zeitgesteuerten Regeln, MAC-Regeln, GeoIP-Ländersperren und Ratenbegrenzung gegen SYN-Floods.
Suricata-IPS
Deep Packet Inspection gegen die Signatursätze von Emerging Threats und Cisco Talos, mit Regelauswahl je Kategorie und automatischen Regelsatz-Updates.
Netzwerksegmentierung
Eingebaute Zonen für LAN, DMZ, WLAN und Gastnetz mit eigener Policy, genau so stellt man einen Webserver hinter IPFire.
Squid-Web-Proxy
Ausgehender Proxy mit Transparent-Modus, URL-Filter, MIME-Typ-Sperren, Traffic Shaping und Authentifizierung über LDAP, Active Directory oder RADIUS.
VPN-Gateway
IPsec, WireGuard und OpenVPN für Site-to-Site- und Fernzugriff, mit Hardware-Kryptobeschleunigung und post-quantensicherem Schlüsselaustausch bei IPsec.
Pakfire-Erweiterungen
Paketverwaltung für optionale Komponenten wie Monitoring, Backup-Werkzeuge, Guardian für logbasiertes Sperren und Tor.
Vor- & Nachteile
Vorteile
-
Kostenlos und wirklich vollständig
Keine Bezahlvariante, keine gesperrten Funktionen, keine Lizenzschlüssel. Alles, was das Projekt baut, steckt im kostenlosen Download unter der GPL.
-
Läuft auf fast allem
Ein alter Thin Client, ein Raspberry Pi oder eine VM genügen, die Hardwarekosten für ein kleines Netz gehen gegen null.
-
Starke Sicherheit auf Netzwerkebene
Suricata mit Emerging-Threats- oder Talos-Regeln, dazu GeoIP-Sperren und eine straffe Zonen-Policy, ergeben für diesen Preis einen ernstzunehmenden Perimeter.
-
Langlebig und aktiv gepflegt
Durchgehende Core Updates seit 2005 in stabilem Rhythmus, getragen von einem namentlich bekannten Entwicklerteam statt von einem einzelnen Maintainer.
-
Bedienbar ohne Kommandozeile
Die Weboberfläche deckt Firewallregeln, IPS, Proxy, VPN und Updates ab, das hält die Einstiegshürde für kleine IT-Teams niedrig.
Nachteile
-
Keine Web Application Firewall
Kein Reverse Proxy, keine Auswertung des Request-Bodys, kein OWASP Core Rule Set, keine Ratenbegrenzung je Endpunkt. SQL-Injection oder XSS gegen Ihre Anwendungen kann es nicht stoppen.
-
Blind für verschlüsselten eingehenden Verkehr
Das IPS prüft nur Klartext. HTTPS-Anfragen an Ihre Webserver laufen ohne Inhaltsprüfung durch, und das ist heute der Großteil des Angriffsverkehrs.
-
Kein Bot- und kein API-Schutz
Credential Stuffing, Scraping und API-Missbrauch sehen für einen Paketfilter alle wie gewöhnlicher erlaubter Verkehr aus.
-
Selbst betrieben, selbst unterstützt
Kein SLA, kein Managed Service, kein Hersteller in Rufbereitschaft. Das Tuning der IPS-Regeln gegen Fehlalarme ist Ihre Aufgabe, und das Forum ist der Supportkanal.
-
Eine einzelne Maschine, sofern Sie nichts drumherum bauen
Es gibt kein eingebautes Clustering und kein globales Anycast, Verfügbarkeit und DDoS-Aufnahme sind also durch die eine Maschine und ihre Anbindung begrenzt.
Preise
Preismodell: Kostenlos und quelloffen (GPL); optionale Appliances und Support von Lightning Wire Labs
Community
Die vollständige Distribution, herunterladbar und selbst gehostet
- Alle Funktionen, keine kostenpflichtigen Module
- Core Updates über die gesamte Laufzeit des Releases
- Support über Community-Forum und Wiki
- IPS-Regelsätze von Emerging Threats und Talos (kostenlose Stufen)
Appliance
Vorinstallierte Hardware oder Cloud-Appliances von Lightning Wire Labs
- Vorkonfigurierte, passend dimensionierte Hardware
- Herstellersupport für die Appliance
- Cloud-Appliance-Images
- Unterstützt das Upstream-Projekt
Kommerzieller Support
Bezahlter Support und Beratung für Produktivumgebungen
- Direkter Support durch die Entwickler
- Hilfe bei Rollout und Migration
- Vorrangige Bearbeitung von Störungen
Unser Urteil
IPFire ist eine gute quelloffene Firewall, die Leute immer wieder finden, wenn sie nach einer kostenlosen WAF suchen. Deshalb ganz deutlich: eine WAF ist es nicht. IPFire filtert Pakete, terminiert VPNs, dient als Proxy für ausgehenden Webverkehr und lässt Suricata gegen Signatursätze laufen. Nichts davon prüft eine HTTP-Anfrage an Ihre Anwendung so, wie es eine WAF tut, und eingehendes verschlüsseltes HTTPS kann das IPS gar nicht lesen.
Gemessen an dem, was es ist, stimmt das Preis-Leistungs-Verhältnis hervorragend. Ein ausgemusterter Mini-PC und ein Nachmittag bringen Ihnen Zonensegmentierung, GeoIP-Sperren, Emerging-Threats-Regeln und WireGuard, und zwar umsonst. Das Projekt liefert seit 2005 Core Updates, und dank Weboberfläche müssen Sie nftables nicht von Hand schreiben. Für den Perimeter eines kleinen Büros ist das zu diesem Preis schwer zu schlagen.
Wenn es eigentlich um den Schutz einer Webanwendung geht, setzen Sie eine WAF dahinter. BunkerWeb und SafeLine sind kostenlos, selbst hostbar und arbeiten als Reverse Proxy, genau die fehlende Schicht; ModSecurity oder Coraza mit dem OWASP Core Rule Set erledigen dasselbe innerhalb Ihres Webservers. Siehe BunkerWeb vs IPFire für die Grenzlinie. Die beiden ergänzen sich, sie konkurrieren nicht.
Unser Fazit: Eine starke kostenlose Perimeter-Firewall und ein schlechter WAF-Ersatz. Nehmen Sie sie fürs Netzwerk und stellen Sie etwas anderes vor Ihre Anwendungen.
CVE Coverage
IPFire can detect and block attacks matching 111K+ known CVEs based on its supported rule sets.
Coverage by Attack Type
Latest Blockable CVEs
| CVE | Severity |
|---|---|
| CVE-2026-49294 | UNKNOWN |
| CVE-2026-20262 | MEDIUM |
| CVE-2026-9863 | UNKNOWN |
| CVE-2026-9862 | UNKNOWN |
| CVE-2025-15659 | UNKNOWN |
| CVE-2025-15658 | UNKNOWN |
| CVE-2026-52704 | UNKNOWN |
| CVE-2019-25746 | HIGH |
| CVE-2018-25436 | CRITICAL |
| CVE-2016-20084 | HIGH |
Häufig gestellte Fragen
Enthält IPFire eine Web Application Firewall?
Nein. IPFire hat einen zustandsbehafteten Paketfilter, ein Suricata-IPS und einen ausgehenden Squid-Proxy, aber keinen Reverse Proxy und keine HTTP-Request-Prüfung für Ihre eigenen Anwendungen. Es gibt kein OWASP Core Rule Set, keine Auswertung des Request-Bodys und kein virtuelles Patchen. Für diese Schicht brauchen Sie eine echte WAF wie BunkerWeb, SafeLine oder ModSecurity vor dem Webserver.
Kann das Suricata-IPS SQL-Injection oder XSS stoppen?
Nur in engen Grenzen. Suricata gleicht Signaturen gegen Verkehr ab, den es lesen kann. Eine HTTP-Klartextanfrage mit einem bekannten Exploit-Muster wird also womöglich erkannt. Eingehendes HTTPS wird nicht entschlüsselt, der Großteil des echten Angriffsverkehrs läuft damit ungeprüft durch, und Signaturabgleich versteht die Parameter Ihrer Anwendung nicht so wie eine WAF-Regel-Engine. Betrachten Sie das IPS als Zugabe, nicht als Anwendungssicherheit.
Kann ich IPFire und eine WAF zusammen betreiben?
Ja, und genau das ist der sinnvolle Aufbau. IPFire übernimmt Perimeter, Segmentierung und VPN, Ihr Webserver steht in der DMZ-Zone. Eine Reverse-Proxy-WAF sitzt dann direkt vor der Anwendung und terminiert TLS, damit sie Requests überhaupt lesen kann. IPFire deckt die Netzwerkebene ab, die WAF die Schicht 7; keines ersetzt das andere.
Was kostet IPFire?
Nichts. Die vollständige Distribution steht unter der GPL, ohne Bezahlvariante und ohne gesperrte Funktionen. Lightning Wire Labs verkauft vorinstallierte Hardware, Cloud-Appliances und kommerziellen Support, und das Projekt nimmt Spenden an, aber Sie können alles unbegrenzt kostenlos herunterladen und betreiben.
Wie schlägt sich IPFire gegen pfSense oder OPNsense?
Sie spielen in derselben Kategorie: kostenlose, selbst gehostete, über das Web verwaltete Perimeter-Firewalls. IPFire baut auf Linux mit Netfilter und Suricata auf, pfSense und OPNsense auf FreeBSD mit pf. Keines der drei ist eine Web Application Firewall, auch wenn OPNsense eine Anwendung über sein Reverse-Proxy-Plugin vorschalten kann. Wenn Anwendungsschutz die Anforderung ist, zählt die Wahl der Firewall weit weniger als das, was Sie vor die Anwendung stellen.
Ready to try IPFire?
Start with the free tier and upgrade as you grow.