# OPNsense Migration Legacy zu Instance, ohne neues Ausrollen von Konfigurationen

# OPNsense: OpenVPN Legacy zu Instances migrieren – ohne Neukonfiguration der Clients

In OPNsense werden die bisherigen **OpenVPN-Legacy-Konfigurationen** abgekündigt. Wer unter **VPN → OpenVPN → Legacy** arbeitet, kennt vermutlich bereits die folgende Meldung:

> **This component is reaching the end of the line, official maintenance will end as of version 26.1**

Bestehende OpenVPN-Server sollten daher von der bisherigen Legacy-Konfiguration auf **OpenVPN Instances** migriert werden.

Die Migration ist grundsätzlich unkompliziert. Wenn die vorhandenen Parameter korrekt übernommen werden, kann die Umstellung erfolgen, **ohne die komplette VPN-Konfiguration neu auszurollen**. Es gibt allerdings einige Punkte, auf die besonders geachtet werden sollte.

---

## 1. Bestehende Legacy-Konfiguration dokumentieren

Öffnet zunächst die vorhandene OpenVPN-Konfiguration unter:

**VPN → OpenVPN → Legacy**

Die dort vorhandenen Werte werden anschließend in die neue Instanz übernommen. Es empfiehlt sich daher, die bestehende Konfiguration vor der Migration vollständig zu dokumentieren.

**Wichtig:** Die alte Konfiguration zunächst nicht löschen. Sie dient während der Migration als Referenz für sämtliche Einstellungen.

---

## 2. Alten OpenVPN-Server deaktivieren

Deaktiviert den bisherigen OpenVPN-Legacy-Server.

Da die neue Instanz denselben Port verwenden soll, darf der alte und der neue OpenVPN-Server nicht gleichzeitig auf diesem Port lauschen.

---

## 3. Shared Key übernehmen

Falls die bisherige OpenVPN-Konfiguration einen **Shared Key / TLS Static Key** verwendet, muss dieser zunächst übernommen werden.

Öffnet dazu:

**VPN → OpenVPN → Static Keys**

Übernehmt dort den bisherigen Schlüssel und verwendet als:

<table id="bkmrk-einstellung-wert-mod"><thead><tr><th>Einstellung</th><th>Wert</th></tr></thead><tbody><tr><td>Mode</td><td>**Auth**</td></tr></tbody></table>

Dieser Key wird später der neuen OpenVPN-Instanz zugeordnet.

---

## 4. Neue OpenVPN-Instanz erstellen

Erstellt nun unter OpenVPN eine neue Instanz.

Mindestens die folgenden Einstellungen müssen aus der bisherigen Legacy-Konfiguration übernommen werden:

<table id="bkmrk-neue-openvpn-instanc"><thead><tr><th>Neue OpenVPN Instance</th><th>Wert / Quelle aus Legacy</th></tr></thead><tbody><tr><td>**Role**</td><td>Server</td></tr><tr><td>**Enabled**</td><td>Yes</td></tr><tr><td>**Port Number**</td><td>Bisherigen Port übernehmen, z. B. `1194`</td></tr><tr><td>**Type**</td><td>TUN</td></tr><tr><td>**Server IP**</td><td>Wert aus *IPv4 Tunnel Network*, z. B. `172.16.1.0/24`</td></tr><tr><td>**Topology**</td><td>subnet</td></tr><tr><td>**Certificate**</td><td>Alten Eintrag aus *Server Certificate* übernehmen</td></tr><tr><td>**Certificate Authority**</td><td>Alten Eintrag aus *Peer Certificate Authority* übernehmen</td></tr></tbody></table>

---

## 5. Advanced Mode aktivieren

Blendet anschließend links oben den **Advanced Mode** ein.

Dadurch werden zusätzliche Einstellungen sichtbar, die für eine möglichst identische Übernahme der bisherigen Legacy-Konfiguration benötigt werden.

---

## 6. TLS Static Key konfigurieren

Unter:

**TLS Static Key**

wählt ihr den zuvor unter **Static Keys** angelegten bzw. übernommenen Schlüssel aus.

---

## 7. Authentifizierung übernehmen

Die bisherigen Authentifizierungsparameter müssen ebenfalls übernommen werden.

<table id="bkmrk-einstellung-konfigur"><thead><tr><th>Einstellung</th><th>Konfiguration</th></tr></thead><tbody><tr><td>**Auth**</td><td>Alten Wert aus *Auth Digest Algorithm* übernehmen, z. B. `SHA256`</td></tr><tr><td>**Authentication**</td><td>Bisherigen Authentifizierungsserver auswählen, sofern vorhanden</td></tr><tr><td>**Renegotiate Time**</td><td>`3600`</td></tr><tr><td>**Auth Token Lifetime**</td><td>`43200`</td></tr></tbody></table>

Als Authentication Backend kann beispielsweise ein vorhandener **Domain Controller, UCS-Server oder Samba Active Directory** verwendet werden.

---

## 8. Lokales Netzwerk übernehmen

Unter:

**Local Network**

übernehmt ihr den bisherigen Wert aus:

**IPv4 Local Network**

Damit werden die bisher über den VPN-Tunnel erreichbaren internen Netzwerke wieder entsprechend bereitgestellt.

---

## 9. Achtung bei Compression

Hier befindet sich einer der wichtigen Fallstricke bei der Migration.

Falls in der bisherigen Legacy-Konfiguration unter **Compression** ein Wert ausgewählt war, muss in der neuen Instance im **Advanced Mode** zusätzlich:

**Compression Migrate**

aktiviert werden.

**Achtung:** Dies gilt auch dann, wenn in der bisherigen Konfiguration bei Compression **Disabled** ausgewählt war.

---

## 10. Weitere Parameter prüfen

Abhängig von der bisherigen OpenVPN-Konfiguration können weitere Parameter erforderlich sein. Vergleicht daher vor dem produktiven Einsatz die neue Instance vollständig mit der bisherigen Legacy-Konfiguration.

Besonders geprüft werden sollten:

- Port und Protokoll
- Tunnel-Netzwerk
- lokale Netzwerke
- Zertifikate und Certificate Authority
- TLS Static Key
- Authentifizierungsserver
- Auth Digest Algorithm
- Compression-Einstellungen
- zusätzliche Advanced-Optionen

---

## Besonderheit der OPNsense Business Edition

**Hinweis zur Business Edition:** Die OPNsense Business Edition **24.10** verfügt noch nicht über die Option **Compression Migrate**.

Für entsprechende bestehende Konfigurationen muss daher auf eine geeignete **Business-Version 25.x** gewartet werden.

---

## Technischer Stand

Diese Anleitung basiert auf dem technischen Stand von **April 2025**. Die beschriebene Migration wurde mit:

`OPNsense 25.1.4_1-amd64`

durchgeführt.

**Hinweis:** OPNsense entwickelt die OpenVPN-Instance-Konfiguration kontinuierlich weiter. Bezeichnungen und verfügbare Optionen können sich in neueren Versionen ändern.

[![image.png](https://aow.de/uploads/images/gallery/2025-04/scaled-1680-/image.png)](https://aow.de/uploads/images/gallery/2025-04/image.png)