OPNsense Migration Legacy zu Instance, ohne neues Ausrollen von Konfigurationen

OPNsense: OpenVPN Legacy zu Instances migrieren – ohne Neukonfiguration der Clients
In OPNsense werden die bisherigen OpenVPN-Legacy-Konfigurationen abgekündigt. Wer unter VPN → OpenVPN → Legacy arbeitet, kennt vermutlich bereits die folgende Meldung:
This component is reaching the end of the line, official maintenance will end as of version 26.1
Bestehende OpenVPN-Server sollten daher von der bisherigen Legacy-Konfiguration auf OpenVPN Instances migriert werden.
Die Migration ist grundsätzlich unkompliziert. Wenn die vorhandenen Parameter korrekt übernommen werden, kann die Umstellung erfolgen, ohne die komplette VPN-Konfiguration neu auszurollen. Es gibt allerdings einige Punkte, auf die besonders geachtet werden sollte.
1. Bestehende Legacy-Konfiguration dokumentieren
Öffnet zunächst die vorhandene OpenVPN-Konfiguration unter:
VPN → OpenVPN → Legacy
Die dort vorhandenen Werte werden anschließend in die neue Instanz übernommen. Es empfiehlt sich daher, die bestehende Konfiguration vor der Migration vollständig zu dokumentieren.
Wichtig: Die alte Konfiguration zunächst nicht löschen. Sie dient während der Migration als Referenz für sämtliche Einstellungen.
2. Alten OpenVPN-Server deaktivieren
Deaktiviert den bisherigen OpenVPN-Legacy-Server.
Da die neue Instanz denselben Port verwenden soll, darf der alte und der neue OpenVPN-Server nicht gleichzeitig auf diesem Port lauschen.
3. Shared Key übernehmen
Falls die bisherige OpenVPN-Konfiguration einen Shared Key / TLS Static Key verwendet, muss dieser zunächst übernommen werden.
Öffnet dazu:
VPN → OpenVPN → Static Keys
Übernehmt dort den bisherigen Schlüssel und verwendet als:
Einstellung
Wert
Mode
Auth
Dieser Key wird später der neuen OpenVPN-Instanz zugeordnet.
4. Neue OpenVPN-Instanz erstellen
Erstellt nun unter OpenVPN eine neue Instanz.
Mindestens die folgenden Einstellungen müssen aus der bisherigen Legacy-Konfiguration übernommen werden:
Neue OpenVPN Instance
Wert / Quelle aus Legacy
Role
Server
Enabled
Yes
Port Number
Bisherigen Port übernehmen, z. B. 
1194
Type
TUN
Server IP
Wert aus IPv4 Tunnel Network, z. B. 
172.16.1.0/24
Topology
subnet
Certificate
Alten Eintrag aus Server Certificate übernehmen
Certificate Authority
Alten Eintrag aus Peer Certificate Authority übernehmen
5. Advanced Mode aktivieren
Blendet anschließend links oben den Advanced Mode ein.
Dadurch werden zusätzliche Einstellungen sichtbar, die für eine möglichst identische Übernahme der bisherigen Legacy-Konfiguration benötigt werden.
6. TLS Static Key konfigurieren
Unter:
TLS Static Key
wählt ihr den zuvor unter Static Keys angelegten bzw. übernommenen Schlüssel aus.
7. Authentifizierung übernehmen
Die bisherigen Authentifizierungsparameter müssen ebenfalls übernommen werden.
Einstellung
Konfiguration
Auth
Alten Wert aus Auth Digest Algorithm übernehmen, z. B. 
SHA256
Authentication
Bisherigen Authentifizierungsserver auswählen, sofern vorhanden
Renegotiate Time
3600
Auth Token Lifetime
43200
Als Authentication Backend kann beispielsweise ein vorhandener Domain Controller, UCS-Server oder Samba Active Directory verwendet werden.
8. Lokales Netzwerk übernehmen
Unter:
Local Network
übernehmt ihr den bisherigen Wert aus:
IPv4 Local Network
Damit werden die bisher über den VPN-Tunnel erreichbaren internen Netzwerke wieder entsprechend bereitgestellt.
9. Achtung bei Compression
Hier befindet sich einer der wichtigen Fallstricke bei der Migration.
Falls in der bisherigen Legacy-Konfiguration unter Compression ein Wert ausgewählt war, muss in der neuen Instance im Advanced Mode zusätzlich:
Compression Migrate
aktiviert werden.
Achtung: Dies gilt auch dann, wenn in der bisherigen Konfiguration bei Compression Disabled ausgewählt war.
10. Weitere Parameter prüfen
Abhängig von der bisherigen OpenVPN-Konfiguration können weitere Parameter erforderlich sein. Vergleicht daher vor dem produktiven Einsatz die neue Instance vollständig mit der bisherigen Legacy-Konfiguration.
Besonders geprüft werden sollten:
Port und Protokoll
Tunnel-Netzwerk
lokale Netzwerke
Zertifikate und Certificate Authority
TLS Static Key
Authentifizierungsserver
Auth Digest Algorithm
Compression-Einstellungen
zusätzliche Advanced-Optionen
Besonderheit der OPNsense Business Edition
Hinweis zur Business Edition: Die OPNsense Business Edition 24.10 verfügt noch nicht über die Option Compression Migrate.
Für entsprechende bestehende Konfigurationen muss daher auf eine geeignete Business-Version 25.x gewartet werden.
Technischer Stand
Diese Anleitung basiert auf dem technischen Stand von April 2025. Die beschriebene Migration wurde mit:
OPNsense 25.1.4_1-amd64
durchgeführt.
Hinweis: OPNsense entwickelt die OpenVPN-Instance-Konfiguration kontinuierlich weiter. Bezeichnungen und verfügbare Optionen können sich in neueren Versionen ändern.