Brandväggsrouter-hårdvara för hemmet: komplett guide till pfSense och OPNsense

Din internetleverantörs router är en kompromiss: billig hårdvara och mjukvara som sällan uppdateras. En dedikerad brandvägg — en liten strömsnål dator med pfSense eller OPNsense — tar över routingen och ger kontroll i företagsklass: brandväggsregler, VLAN, VPN-server, intrångsdetektering och trafikformning. Den här guiden visar varför det är värt besväret, vilken hårdvara du ska välja och vilket system som passar dig 2026. Vi går också igenom processorkrav, nätverkskort och elkostnaden för drift dygnet runt.

Varför en dedikerad brandvägg slår ISP-routern

ISP-routrar optimeras för pris, inte säkerhet. Den fasta programvaran uppdateras sällan — ibland aldrig efter att modellen slutat säljas — och funktioner som VLAN saknas oftast. VPN-stödet är begränsat och möjligheten att inspektera trafiken minimal.

Med egen brandvägg väljer du både hårdvara och mjukvara, och du bestämmer när uppdateringar installeras. Både pfSense och OPNsense bygger på FreeBSD och paketfiltret pf: tillståndsbaserade regler, multi-WAN med failover, VLAN som isolerar IoT-prylarna från huvudnätet och en riktig VPN-server för säker åtkomst hemifrån. Lägg till Suricata för intrångsdetektering och blocklistor mot annonser och spårare — då känns ISP-routern som en leksak.

Hårdvaruval: tre vägar till en egen brandvägg

Två fysiska nätverksportar är ett hårt krav: en mot modemet eller fiberkonvertern (WAN) och en mot switchen (LAN). Därefter handlar det om budget, ljudnivå och prestanda.

Begagnade minidatorer

Billigaste vägen in är en begagnad företagsdator — Dell OptiPlex Micro, Lenovo ThinkCentre Tiny eller en tunn klient. De kostar ofta några hundralappar och räcker för grundläggande routing. Nackdelen: oftast en enda port, inte sällan Realtek, så du behöver en extra NIC eller VLAN på samma port. Kontrollera att processorn stödjer AES-NI.

Färdiga brandväggsboxar

Protectli och Qotom säljer fläktlösa boxar byggda för ändamålet: 2–6 Intel-portar, ofta 2,5 GbE med i226-kretsar, och strömsnåla processorer som Intel N100 eller N5105. De är tysta, drar lite ström och fungerar direkt med båda systemen. Qotom har även modeller med 10 GbE SFP+ för snabbare hemmanät. Räkna med ett par tusen kronor komplett med RAM och SSD.

Netgate och Deciso

Vill du ha officiell support köper du tillverkarens egen hårdvara. Netgate säljer appliances med pfSense Plus — instegsmodellen 2100 har dubbelkärnig ARM-processor, 4 GB RAM och fem gigabitportar — medan Deciso säljer motsvarande för OPNsense. Dyrare per prestandaenhet, men testad hårdvara med garanti och kunnig support.

Alternativ	Portar	Strömförbrukning	Prisnivå	Bäst för
Begagnad minidator	1× 1 GbE, ofta Realtek	15–35 W	Låg	Budgetbygge och enkel routing
Fläktlös brandväggsbox	4× 2,5 GbE Intel i226	6–15 W	Medel	Tyst drift, VPN och VLAN
Netgate-appliance	5× 1 GbE / 6× 1–2,5 GbE	5–15 W	Hög	pfSense med officiell support
Entusiastbox med 10 GbE	4× SFP+ + 5× 2,5 GbE	20–35 W	Hög	10-gigabitnät och full IDS-inspektion

CPU-krav: AES-NI, PPPoE och IDS/IPS

AES-NI är inte längre valfritt: pfSense kräver sedan version 2.5 en 64-bitarsprocessor med AES-NI, och även i OPNsense ger hårdvaruaccelererad kryptering mångdubbelt högre VPN-hastighet. I praktiken har alla Intel-processorer från det senaste decenniet stödet.

Minst lika viktig är enkeltrådad prestanda. PPPoE-inkapsling, OpenVPN — som kör i en enda tråd — och paketinspektion skalar dåligt med kärnantalet. Har du fiber via PPPoE, som flera svenska leverantörer använder, betyder klockfrekvens mer än kärnor. (pfSense har flertrådad PPPoE via sin if_pppoe-drivrutin — en av få punkter där pfSense fortfarande leder.)

Med IDS/IPS behövs mer marginal: Suricata inspekterar varje paket mot tusentals signaturer och kan mätta en svag processor vid gigabitfart, medan Zeek dessutom vill ha gott om RAM. En Intel N100 räcker för Suricata på 1 Gbit/s i de flesta hem; för 2,5 Gbit/s med full inspektion bör du sikta högre. Välj WireGuard för nya VPN-installationer — det är flertrådat och når gigabitfart även på blygsam hårdvara.

Nätverkskort: Intel i226 mot Realtek-fällorna

Nätverkskorten är komponenten flest ångrar att de snålade på. Intel är guldstandarden i FreeBSD: i210 och i226-V fungerar direkt utan extra konfiguration i aktuella versioner. (Föregångaren i225 hade problem i sina första revisioner — undvik den vid begagnatköp.)

Realtek är fällan. Kretsarna kräver ofta den separata drivrutinen realtek-re-kmod för att bli stabila i FreeBSD och lägger mer paketarbete på processorn än Intel-kretsar. Resultatet kan bli tappade paket och oförklarliga avbrott under belastning. Har den tänkta boxen Realtek-portar — välj en annan box.

Över 1 Gbit/s från leverantören kräver 2,5 GbE-portar, annars kapar du din egen uppkoppling. Kontrollera bara vad modemet faktiskt levererar — det är ingen idé att betala för 2,5 GbE om leverantörens utrustning bara ger gigabit.

pfSense mot OPNsense 2026

Systemen delar rötter — OPNsense är en fork av pfSense från 2015 — och kärnfunktionerna är i praktiken oavgjorda: VLAN, NAT, multi-WAN, trafikformning och certifikathantering är moget i båda. Skillnaderna sitter i filosofi, tempo och licenser.

Område	pfSense CE	OPNsense
Version 2026	2.8.1 (FreeBSD 14)	26.x (FreeBSD 14/15)
Licens	Apache 2.0 (Plus är sluten)	BSD 2-Clause, helt öppen
Uppdateringar	Oregelbundna releaser	Januari/juli + täta patchar
WireGuard	Installeras som paket	Inbyggt i kärnan
IDS/IPS	Snort/Suricata som paket	Suricata 8 inbyggt + Zenarmor
Annonsspärr	pfBlockerNG	Blocklistor + AdGuard Home-plugin
Gränssnitt	Klassiskt och funktionellt	Modernt och responsivt
API	Begränsat	Fullständigt REST-API

Licensfrågan väger tungt: Netgate har flyttat funktioner från öppna CE till slutna pfSense Plus, och CE-uppdateringar kommer numera efter Plus. OPNsense har ingen sådan uppdelning — Business Edition är samma kod med support. Välj OPNsense för moderna funktioner och snabb utveckling, pfSense för konservativ stabilitet.

Installationsöversikt

Installationen är enklare än ryktet säger: skriv avbilden till ett USB-minne, boota boxen och följ guiden — välj ZFS för bättre dataintegritet. Tilldela portar till WAN och LAN vid första uppstart; resten sköter du i webbgränssnittet: DHCP, DNS, brandväggsregler och VPN-server.

Tre råd på vägen: kör Suricata i detektionsläge några veckor innan du aktiverar blockering, annars stoppar du legitima tjänster av misstag. Säkerhetskopiera konfigurationen (en liten XML-fil) efter varje större ändring. Och kom ihåg att brandväggen ersätter routern — inte switchen eller accesspunkterna; VLAN kräver en hanterad switch bakom den.

Strömförbrukning

Boxen går dygnet runt i åratal — räkna på driften. En N100-box ligger runt 6–10 W i vila; en återanvänd stationär dator drar lätt fem gånger mer. 10 W × 24 timmar × 365 dagar ≈ 88 kWh per år, vilket med 1,50 kr/kWh blir drygt 130 kronor om året — mot över 650 kronor för en 50 W-dator i garderoben.

Fläktlösa boxar är tysta nog att stå framme vid fiberkonvertern, men passiv kylning behöver luftflöde — bygg inte in boxen i ett stängt skåp utan cirkulation.

Slutsats: praktiska köpråd

För de flesta svenska hem med fiber upp till 1 Gbit/s är receptet enkelt: en fläktlös box med Intel N100, 8 GB RAM, liten SSD och fyra Intel i226-portar med 2,5 GbE — med OPNsense i tankarna. Tyst drift, låg elräkning och marginal för WireGuard-VPN och Suricata.

Har du över 1 Gbit/s eller tung IDS/IPS-inspektion: sikta på starkare processor och 16 GB RAM. Vill du ha officiell support: köp Netgates eller Decisos egen hårdvara. Har du redan en dator stående: testa först, men mät strömförbrukningen innan den ska gå dygnet runt i flera år.

Oavsett hårdvara är steget från ISP-router till egen brandvägg den största uppgraderingen för hemmets nätverkssäkerhet. Du får kontrollen tillbaka — och den behåller du.