Wer bei Netgate kauft, steht früher oder später vor einer Frage, die kaum jemand auf Deutsch beantwortet: pfSense® Plus oder TNSR®? Beide laufen auf derselben Hardware. Beide kommen von Netgate. Und trotzdem sind es zwei grundverschiedene Produkte. Dieser Beitrag ordnet ein, wann sich welches lohnt – ohne Marketing-Nebel, mit den Zahlen, die Netgate selbst veröffentlicht.
Der Kernunterschied in einem Satz
pfSense Plus ist eine Firewall mit Weboberfläche. TNSR ist ein Router für sehr hohen Durchsatz, der über Kommandozeile und API gesteuert wird. Das eine bedienen Sie, das andere automatisieren Sie.
Wo der Unterschied wirklich zählt: der Durchsatz
Der Punkt, an dem sich die beiden Welten trennen, ist die Leistung auf identischer Hardware. Zwei Beispiele aus Netgates eigenen Produktangaben:
| Appliance | mit pfSense Plus | mit TNSR |
|---|---|---|
| Netgate 8200 MAX | 18,6 Gbit/s Router · 18,5 Gbit/s Firewall · 3,24 Gbit/s IPsec | über 18 Gbit/s L3-Routing |
| Netgate 8300 | 36,7 Gbit/s Router · 26,8 Gbit/s Firewall · 14,6 Gbit/s IPsec | über 110 Gbit/s L3-Routing |
Beim 8300 ist das der Sprung, um den es geht: von rund 37 Gbit/s auf über 110 Gbit/s – dieselbe Maschine, andere Software. Der Grund liegt in der Architektur: TNSR verarbeitet Pakete nicht einzeln durch den Betriebssystem-Stack, sondern gebündelt im User Space.
Beim 8200 und beim 6100 liegen dagegen beide Linien bei rund 18 Gbit/s L3-Routing. Hier lohnt TNSR also nicht wegen der reinen Geschwindigkeit, sondern wegen des zweiten Arguments.
Das zweite Argument: Automatisierung
TNSR wird über CLI und eine RESTCONF-API konfiguriert. Damit lässt es sich in Ansible®, SaltStack®, Puppet® oder Chef® einbinden. Die Gerätekonfiguration liegt als Code vor – versionierbar, prüfbar, reproduzierbar.
Für Sie heißt das konkret:
- Ein Standort: pfSense Plus. Die Weboberfläche ist schneller bedient, als ein Playbook geschrieben ist.
- Fünf Standorte nach demselben Muster: Hier fängt TNSR an, sich zu rechnen. Ein Regelwerk, überall ausgerollt.
- Fünfzig Standorte oder ein Service-Provider-Netz: TNSR, ohne lange zu überlegen.
Was TNSR nicht ist
Hier ist Ehrlichkeit wichtiger als Verkaufen: TNSR ist keine Firewall im Sinne von pfSense Plus. Netgate veröffentlicht für TNSR ausschließlich L3-Routing-Werte – keine Firewall- und keine VPN-Durchsatzangaben.
Was Sie bei TNSR bekommen, sind Routing- und Zugriffskontrollfunktionen: BGP, OSPF, RIP, Policy-based Routing, ECMP, VRRP, BFD, VRF, NAT und Access Control Lists auf Layer 2 bis 4.
Was Sie nicht bekommen: die pfSense-Paketwelt. Kein pfBlockerNG, kein Snort oder Suricata für IDS/IPS, kein Squid-Proxy, kein Captive Portal, keine Weboberfläche. Wer Werbeblocker, Web-Filter und Intrusion Detection auf einem Gerät braucht, ist mit pfSense Plus richtig – unabhängig vom Budget.
Der Preisunterschied
TNSR wird pro Instanz und Jahr lizenziert. Das erste Jahr ist bei jeder Appliance enthalten, inklusive 24x7x365 TAC Professional Support. Danach kostet die Verlängerung 1.199 € netto (TAC Pro) beziehungsweise 1.799 € netto (TAC Enterprise) je Instanz und Jahr.
Bei pfSense Plus ist TAC Lite kostenfrei enthalten; TAC Professional und TAC Enterprise sind optional. Das ist der ehrliche Teil der Rechnung: TNSR hat laufende Kosten, die pfSense Plus in dieser Form nicht hat. Diese Kosten müssen sich durch Durchsatz oder eingesparte Administrationszeit rechtfertigen.
Die kurze Entscheidungshilfe
pfSense Plus, wenn: Sie eine Firewall mit Oberfläche wollen · IDS/IPS, Web-Filter oder Captive Portal brauchen · ein bis wenige Standorte betreiben · unter 10 Gbit/s bleiben.
TNSR, wenn: Sie deutlich über 20 Gbit/s routen müssen · viele Instanzen nach gleichem Muster betreiben · Konfiguration als Code führen wollen · die Sicherheitsfunktionen ohnehin an anderer Stelle im Netz sitzen.
Ein Hinweis zu 1537 und 1541
Falls Sie noch auf Angebote für die Netgate 1537 oder 1541 stoßen: Beide Modelle haben bei Netgate End of Sale erreicht. Netgate nennt als Nachfolger ausdrücklich die Netgate 8300. Wir führen die beiden Modelle deshalb bewusst nicht mehr.
Unsicher? Fragen Sie uns.
Wir sind autorisierter Netgate-Partner aus Köln und liefern beide Softwarelinien auf derselben Hardware. Nennen Sie uns Ihre Standortzahl, den benötigten Durchsatz und Ihre Anforderungen an Filterung – dann sagen wir Ihnen, welche Linie passt. Auch dann, wenn das die günstigere ist.
Alle Leistungsangaben stammen aus den offiziellen Produktseiten von Netgate (shop.netgate.com), Stand August 2026. Alle Preise netto zzgl. MwSt.
Hinterlasse einen Kommentar
Diese Website ist durch hCaptcha geschützt und es gelten die allgemeinen Geschäftsbedingungen und Datenschutzbestimmungen von hCaptcha.