Vorinstalliertes OpenBSD 7.5 und 7.6 auf jeder Stufe, mit standardmäßig aktivierten W^X, KARL, pledge/unveil und syspatch. Kein systemd, keine Telemetrie, keine NordBastion-Patches – nahezu eine frische install(8)-Installation von openbsd.org-Quellen.
Vorinstalliertes OpenBSD 7.5 und 7.6 auf jeder Stufe – von Sentinel bis Citadel, ohne Aufpreis, ohne Lizenzkosten.
W^X, KARL, pledge(2) und unveil(2) direkt ab Werk aktiv — Sicherheitsprimitive fest im Basissystem integriert, keine Härtungs-Checkliste, die Sie befolgen müssen.
Gebunden an eine von vier nordischen Verfassungsjurisdiktionen – Sweden, Finland, Norway oder Iceland – bezahlbar in Bitcoin oder Monero.
W^X (keine Seite ist gleichzeitig schreibbar und ausführbar), KARL (Kernel wird bei jedem Boot neu randomisiert), pledge(2) (eine Syscall-Whitelist, die ein Daemon über sich selbst deklariert), unveil(2) (Dateisystemsichtbarkeit auf deklarierte Pfade beschränkt) — alles im Basissystem, standardmäßig aktiv, keine Checkliste erforderlich. Eine Klasse von Sicherheitslücken, die auf Standard-Linux ausnutzbar wären, ist schlicht nicht erreichbar.
Zwei Releases pro Jahr, genau nach Zeitplan, mit syspatch(8) für Errata dazwischen. Kein "Rolling Stable", kein LTS-Prozess über Jahre, keine überraschende Schlagzeilen-CVE, die einen außerplanmäßigen Patch erfordert. Der Release-Kalender ist einer der vorhersehbarsten in der Geschichte der Betriebssysteme.
rc.d-Shell-Skripte für die Dienstverwaltung, cron(8) für die Planung, doas(1) statt sudo, ksh als /bin/sh — jede Komponente ist klein, nach einem einzigen klar definierten Vertrag geschrieben, und Sie können ihren Quellcode lesen. Es gibt kein PID 1, das gewachsen ist, um DNS, Mounts und Timer zu übernehmen.
| Image | Slug | Anwendungsfall |
|---|---|---|
| OpenBSD 7.6 (-current) | openbsd-7.6 |
Aktuelles Release — die Standardwahl für einen neuen OpenBSD-Server im Jahr 2026, mit der neuesten pledge/unveil-Abdeckung über die Basis. |
| OpenBSD 7.5 (-stable) | openbsd-7.5 |
Vorheriges Release, noch im -stable-Zweig mit Errata-Patches – für Runbooks, die noch nicht gegen 7.6 neu validiert wurden. |
| OpenBSD 7.6 + httpd | openbsd-7.6-httpd |
Base httpd(8) und acme-client(1) vorkonfiguriert — eine statische Website oder ein Reverse-Proxy mit automatisch erneuernden Zertifikaten, unter 60 MB resident. |
| OpenBSD 7.6 + relayd | openbsd-7.6-relayd |
relayd(8) vorkonfiguriert als TLS-terminierender L4/L7-Proxy — nützlich vor einem Anwendungs-Stack, den Sie von der öffentlichen TLS-Schicht isoliert betreiben möchten. |
Benutzerdefiniertes ISO-Mount für jedes andere OpenBSD-Release oder für den install76.img-Workflow auf Anfrage verfügbar — ticketfrei über das Panel.
Sicherheitsprimitive fest im Basissystem integriert. Kleineres Paketset, bewusster Zweimal-jährlich-Veröffentlichungsrhythmus, kein systemd, kein Container-Stack. Die richtige Wahl für einen Einzelzweck-Daemon mit Internetzugang, den Sie isoliert betreiben möchten.
Container, Kubernetes, Anbieter-Binärprogramme, der moderne Observability-Stack — all das setzt Linux voraus. Wählen Sie /debian-vps/ für Stabilität oder /ubuntu-vps/ für das breiteste Ökosystem.
Das andere BSD-Pendant — erstklassiges ZFS, Jails, bhyve. Weniger sicherheitsparanoisch als OpenBSD, aber mit einem wesentlich reichhaltigeren Ports-Baum und einer freizügigen Lizenz. Siehe /freebsd-vps/.
2 vCPU, 4 GB RAM, 120 GB NVMe. Der Basis-Fußabdruck von OpenBSD ist so klein, dass diese Stufe komfortabel httpd + relayd + unbound, einen WireGuard-Endpunkt oder ein OpenSMTPd-Mail-Relay mit allen aktiven Sandboxes betreibt.
4 vCPU, 8 GB RAM, 240 GB NVMe. Der ideale Punkt für ein OpenBSD-gehostetes autoritatives DNS (nsd + unbound + dnsmasq), eine kleine Gemini/Gopher-Kapsel oder eine geprüfte Anwendung, die gegen pledge/unveil geschrieben wurde.
8 vCPU, 16 GB RAM, 480 GB NVMe. Komfortabel als OpenBSD-Edge-Router-Ersatz (pf + relayd + iked + dhcpd) für ein halbes Dutzend in Sandboxes laufende Daemons.
Vollständige Tier-Linie – Sentinel · Garrison · Ravelin · Bulwark · Citadel – auf /vps/.
Für einen Dienst mit Internetanbindung – einen Reverse-Proxy, ein autoritatives DNS, ein Mail-Relay, eine kleine statische Website hinter acme-client – bietet OpenBSD auf NordBastion W^X, KARL, pledge und unveil ohne Härtungs-Checkliste. Die Kombination mit einem nordischen Host ohne KYC ist konsequent: zwei Organisationen, die Sicherheit und freie Software schriftlich zugesichert haben, statt sie nur zu bewerben.
Wählen Sie eine Linux-Distribution (siehe /debian-vps/, /ubuntu-vps/, /arch-linux-vps/), wenn Sie das Container-Ökosystem wirklich benötigen. Wählen Sie OpenBSD, wenn Sie das Basissystem wirklich als vertrauenswürdige Grenze benötigen.
Die Fragen, die Betreiber wirklich stellen, bevor sie ein sicherheitsorientiertes BSD bei einem datenschutzorientierten Anbieter einsetzen.
OpenBSD 7.6 als aktuelles Release (-current zum Zeitpunkt des Image-Builds auf den neuesten Snapshot zurückgesetzt) und 7.5 als vorheriges Release, das weiterhin Errata-Patches über syspatch erhält. Ältere Releases sind nicht im Panel verfügbar – die OpenBSD-Upstream-Position lautet, dass Sie ein unterstütztes Release betreiben sollten –, aber Custom-ISO-Mount ist für alle verfügbar, die bewusst 7.4 oder früher aus einem bekannten Grund betreiben.
Weil OpenBSD andere Standardwerte setzt. Das Basissystem führt Binärprogramme unter W^X aus, der Kernel wird beim Boot neu randomisiert (KARL), Syscalls in geprüften Daemons werden durch pledge(2) eingeschränkt und der Dateisystemzugriff durch unveil(2), und das Ergebnis ist, dass eine Klasse von Bugs, die auf einem Standard-Linux-System ausnutzbar wären, einfach nicht erreichbar sind. All das erfordert nicht, dass Sie daran denken, es zu aktivieren.
Nein – nur der Standard-OpenBSD-GENERIC.MP-Kernel. Wir patchen den Kernel nicht, entfernen keine Treiber und kompilieren keinen eigenen Kernel für die virtio-Pfade. KARL mischt die Kernel-Link-Reihenfolge ohnehin bei jedem Boot neu, sodass selbst die Binärdatei auf dem Datenträger absichtlich von der des nächsten Betreibers abweicht.
Ja. /etc/installurl auf dem Standard-Image verweist auf cdn.openbsd.org, das von jeder der vier Bastionen zu einem nordischen Mirror aufgelöst wird (typischerweise ftp.eu.openbsd.org oder einer der schwedischen Universitäts-Mirrors). pkg_add und der Ports-Baum funktionieren ohne zusätzliche Konfiguration; die Firewall erlaubt OpenBSD-Mirror-Datenverkehr sowohl im Klartext als auch in Tor-Onion-Form.
Ja, und es ist der kanonische Update-Pfad auf NordBastion-OpenBSD-Images. syspatch wendet signierte Errata für das laufende Release an, ohne einen vollständigen Source-Build. Das Image aktiviert die standardmäßigen täglichen cron(8)-Einträge; Sie können automatisches syspatch durch Bearbeiten von /etc/daily.local aktivieren. Wir wenden syspatch nicht automatisch an — das ist Ihre Entscheidung.
Nein – OpenBSD hat keine native Container-Laufzeitumgebung in diesem Stil, und das Projekt hat das Linux-Container-Ökosystem bewusst nicht verfolgt. Ist der Workload grundsätzlich ein Stack aus OCI-Containern, empfiehlt sich Debian (siehe /debian-vps/) oder Ubuntu (siehe /ubuntu-vps/). OpenBSD ist die richtige Wahl für Dienste, die direkt auf dem Host laufen – relayd, httpd, OpenSMTPd, unbound – und von pledge/unveil-Sandboxing profitieren.
Eine Basisinstallation mit OpenSSH, doas, vi, sysmerge, syspatch, den Standard-Cron-Tabellen und acme-client. Standardmäßig keine Drittanbieter-Pakete; Sie wählen Ihre eigenen mit pkg_add. Das Image ist absichtlich nah an einer frischen install(8) des offiziellen Releases.
OpenBSD bietet solide Unterstützung für virtio-net, virtio-blk und virtio-rng unter KVM, und NordBastion verwendet den vom Upstream empfohlenen Maschinentyp (q35, virtio-scsi für Speicher). Das Wichtigste: OpenBSD bevorzugt MBR oder GPT mit dem Standard-Installations-Layout, und die automatische Festplattenzuweisung des Installers funktioniert auf virtio-Geräten einwandfrei – es gibt kein besonderes Partitionierungsritual zu beachten.
Privates Hosting, im Norden gebaut.
