Quelltext der Seite OPNsense - NetFlow und Insight

{{Steckbrief
| gilt_fuer   = OPNsense 26.1 und 26.7 (Reporting → NetFlow, Reporting → Insight)
| bereich     = IT-Security
| dauer       = ca. 15 Minuten (NetFlow aktivieren, Insight nutzen, optional externer Kollektor)
| rechte      = Administrator (OPNsense-WebUI)
| stand       = Oktober 2026 (OPNsense 26.7.5)
}}
'''NetFlow und Insight in OPNsense''' liefern ohne zusätzliches Plugin eine Statistik darüber, wer im Netz mit wem kommuniziert, über welche Ports und mit wie viel Datenvolumen. Unter ''Reporting → NetFlow'' erfasst die Firewall die Verbindungsdaten ([[NetFlow]] v5 oder v9) und kann sie an externe Kollektoren senden. ''Reporting → Insight'' wertet sie direkt auf der Firewall aus – mit Graphen pro Schnittstelle, Top-Listen nach Adressen und Ports und einem Rückblick von bis zu einem Jahr.

Dieser Artikel erklärt die Funktionsweise, die Einrichtung, das Vermeiden doppelt gezählten Verkehrs bei NAT, die Auswertung in Insight, den CSV-Export und die Anbindung externer Kollektoren.

[[Datei:OPNsense-NetFlow-Insight.png|thumb|center|750px|NetFlow und Insight auf der OPNsense: ng_netflow erfasst Flows auf den gewählten Schnittstellen, samplicate verteilt sie an den lokalen Kollektor flowd (Insight) und an externe Kollektoren; flowd_aggregate verdichtet die Daten in verschiedene Auflösungen bis zu einem Jahr.]]

== NetFlow auf der OPNsense: Funktionsweise ==
Ein '''Flow''' fasst alle Pakete einer Verbindung zusammen (Quell- und Zieladresse, Ports, Protokoll, Schnittstelle, Pakete, Bytes, Zeitpunkte). Es werden keine Inhalte gespeichert, nur Metadaten – das macht NetFlow ressourcenschonend und datenschutzfreundlicher als ein vollständiger Mitschnitt.

Die OPNsense setzt dafür auf Komponenten des Basissystems:
{| class="wikitable"
! Komponente !! Aufgabe
|-
| '''ng_netflow''' (Netgraph, Kernel) || erfasst die Flows direkt im Kernel auf jeder ausgewählten Schnittstelle – sehr schnell und mit wenig Overhead im Vergleich zu softflowd oder pfflowd
|-
| '''samplicate''' || nimmt die Flows intern entgegen und verteilt sie an alle eingetragenen Ziele (''Destinations'')
|-
| '''flowd''' || lokaler Kollektor für Insight, lauscht auf <code>127.0.0.1:2056</code>
|-
| '''flowd_aggregate''' || verdichtet die Rohdaten in SQLite-Datenbanken unter <code>/var/netflow</code> und stellt sie Insight bereit
|}

Unterstützt werden '''NetFlow v5''' (nur IPv4) und '''NetFlow v9''' (IPv4 und IPv6, Standard). IPFIX und sFlow bietet die OPNsense nicht an.

== NetFlow einrichten ==
'''Reporting → NetFlow''' → Reiter '''Capture''':
{| class="wikitable"
! Feld !! Bedeutung !! Empfehlung
|-
| '''Listening interfaces''' || Schnittstellen, auf denen Flows erfasst werden || LAN, DMZ, VLANs und WAN
|-
| '''WAN interfaces''' || Schnittstellen, auf denen nur ausgehender Verkehr (egress) erfasst wird – verhindert, dass durch NAT geleiteter Verkehr doppelt gezählt wird || WAN-Schnittstelle(n); müssen auch unter ''Listening interfaces'' gewählt sein
|-
| '''Capture local''' || lokale Sammlung für Insight; trägt automatisch <code>127.0.0.1:2056</code> als Ziel ein || aktivieren, wenn Insight genutzt werden soll
|-
| '''Version''' || v5 oder v9 || '''v9''' (IPv6-fähig)
|-
| '''Destinations''' || externe Kollektoren als <code>IP:Port</code>, z. B. <code>192.168.10.50:2055</code> || optional, mehrere möglich
|-
| ''Active Timeout'' (erweitert) || lange Flows werden nach dieser Zeit aufgeteilt und gemeldet || Standard 1800 s; kürzer (z. B. 60–300 s) für zeitnahe Graphen im externen Kollektor
|-
| ''Inactive Timeout'' (erweitert) || inaktive Flows werden nach dieser Zeit beendet || Standard 15 s
|}
Mit '''Apply''' starten die Dienste. Der Reiter '''Cache''' zeigt pro Schnittstelle die aktuell erfassten Flows, Quellen, Ziele und Pakete – ein schneller Test, ob die Erfassung läuft. Die Schaltfläche '''Reset Netflow Data''' löscht alle gesammelten Insight-Daten.

=== Doppelt gezählter Verkehr durch NAT ===
Ein Download aus dem Internet passiert die Firewall zweimal: Er kommt über das WAN herein und geht über das LAN hinaus. Werden auf allen Schnittstellen eingehende und ausgehende Flows erfasst, erscheint er in der Summe doppelt – und wegen der [[OPNsense - NAT und Portweiterleitungen|NAT-Übersetzung]] auch noch mit unterschiedlichen Adressen. Deshalb gilt:
* Interne Schnittstellen (LAN, VLANs, DMZ) erfassen ein- und ausgehenden Verkehr.
* Schnittstellen unter '''WAN interfaces''' erfassen nur ausgehenden Verkehr.
* Läuft auf der Firewall ein Proxy, sind dessen Verbindungen nur mit eingehender Erfassung sichtbar; dann wird nicht über den Proxy laufender Verkehr bewusst doppelt gezählt.

=== Speicher und Aufbewahrung ===
Der lokale Puffer für Rohdaten umfasst nur die letzten '''100 MB'''. Die verdichteten Daten bewahrt Insight je nach Auflösung unterschiedlich lange auf:
{| class="wikitable"
! Auflösung !! Aufbewahrung (Schnittstellensummen) !! Verwendung in Insight
|-
| 30 Sekunden || 1 Tag || Last 2 hours
|-
| 5 Minuten || 7 Tage || Last 8 / 24 hours
|-
| 1 Stunde || 31 Tage || 7 / 14 days
|-
| 24 Stunden || 365 Tage || 30 days bis Last year
|}
Top-Listen nach Adressen und Ports werden in feiner Auflösung nur kurz gehalten (5 Minuten für 1 Stunde, 1 Stunde für 1 Tag), Tageswerte ein Jahr. Die tagesgenauen Details je Adresse stehen für '''62 Tage''' bereit. Auf Systemen mit kleiner SSD oder RAM-Disk für <code>/var</code> sollte man den Speicherbedarf im Blick behalten.

== Insight: Auswertung auf der Firewall ==
'''Reporting → Insight''' bietet drei Reiter (solange ''Capture local'' nicht aktiv ist, erscheint ein Hinweis mit Link zur NetFlow-Konfiguration):
{| class="wikitable"
! Reiter !! Inhalt
|-
| '''Totals''' || Graph ''Interface totals (bits/sec)'' pro Schnittstelle (ein- und ausgehend) und Kreisdiagramme ''Top usage ports / sources (bytes)''; Zeitraum von ''Last 2 hours, 30 second average'' bis ''Last year, 24 hour average''. Ein Klick in das Kreisdiagramm springt zu den Details.
|-
| '''Details''' || tagesgenaue Auswertung je Schnittstelle mit Datumsauswahl und Filter nach Adresse und Port; Tabelle mit Quelle, Ziel, Dienst, Bytes, Paketen und ''Last seen'', optional mit ''Reverse lookup''
|-
| '''Export''' || CSV-Export mit Auswahl von ''Collection'' (Datensammlung), ''Resolution (seconds)'' und Zeitraum
|}

Typische Fragen, die Insight beantwortet:
* Welcher Client hat gestern das meiste Datenvolumen verursacht?
* Welche Dienste (Ports) belasten die Internetleitung?
* Wie hat sich die Auslastung der WAN-Leitung über die letzten Monate entwickelt – Grundlage für die Planung der [[Bandbreite]] oder den [[OPNsense - Traffic Shaper und QoS|Traffic Shaper]]?
* Kommuniziert ein Server mit unerwarteten Zielen? (Hinweis für die [[Digitale Forensik|forensische]] Analyse)

== Externe Kollektoren ==
Für längere Aufbewahrung, Korrelation mehrerer Standorte oder Alarmierung sendet die OPNsense die Flows zusätzlich an einen externen Kollektor (''Destinations''). Geeignet sind u. a.:
* '''nfdump/nfcapd''' – freie Kommandozeilenwerkzeuge zum Sammeln und Filtern (NetFlow v5/v9, IPFIX)
* '''ElastiFlow''' bzw. Logstash mit NetFlow-Modul – Auswertung in Elasticsearch/Kibana oder OpenSearch
* [[SIEM]]- und [[Monitoring]]-Systeme mit NetFlow-Eingang, z. B. Graylog
* [[OPNsense - ntopng Traffic-Analyse|ntopng]] auf einem separaten System (NetFlow-Empfang über nProbe)
Wichtig:
* Der Export erfolgt per '''UDP''' und unverschlüsselt – Kollektoren im Management-Netz oder über einen VPN-Tunnel ([[OPNsense - WireGuard Site-to-Site und Road Warrior|WireGuard]], IPsec) anbinden.
* Auf dem Kollektor muss der Port (üblich 2055, 9995 oder 9996) freigegeben sein; auf der Firewall ist keine eigene Regel nötig, da die Flows von der Firewall selbst ausgehen.
* ''Active Timeout'' für externe Auswertung verkürzen, sonst erscheinen lange Downloads erst nach bis zu 30 Minuten.

== NetFlow, Insight oder ntopng? ==
{| class="wikitable"
! Werkzeug !! Stärken !! Grenzen
|-
| '''Insight''' || im Basissystem, ressourcenschonend, Langzeitstatistik bis 1 Jahr || keine Anwendungserkennung, nur 100 MB Rohdaten, keine Alarme
|-
| '''NetFlow-Export''' || zentrale Auswertung, beliebige Aufbewahrung, mehrere Firewalls || externes System nötig
|-
| '''[[OPNsense - ntopng Traffic-Analyse|ntopng]]''' || Echtzeit, Deep Packet Inspection, Anwendungen und Auffälligkeiten || deutlich mehr CPU und RAM, Plugin plus Redis
|-
| '''[[OPNsense - Netdata Echtzeit-Monitoring|Netdata]]''' / ''Reporting → Traffic'' || Echtzeit-Bandbreite pro Schnittstelle bzw. Host || keine Historie nach Verbindungen
|}
Oft ist die Kombination sinnvoll: Insight für den schnellen Blick auf der Firewall, NetFlow-Export für die zentrale Langzeitanalyse.

== Datenschutz ==
Flows enthalten IP-Adressen und damit personenbezogene Daten im Sinne der [[DSGVO]]. Zweck (Betriebssicherheit, Kapazitätsplanung), Aufbewahrungsdauer und Zugriff sollten dokumentiert und – sofern vorhanden – mit dem Betriebsrat abgestimmt werden. Auswertungen bezogen auf einzelne Personen sind regelmäßig mitbestimmungspflichtig.

== Fehlerbehebung ==
{| class="wikitable"
! Symptom !! Ursache und Lösung
|-
| Insight zeigt „Local data collection is not enabled“ || ''Capture local'' aktivieren und mindestens eine Schnittstelle unter ''Listening interfaces'' wählen.
|-
| Fehlermeldung „WAN interfaces missing in listening interfaces“ || WAN-Schnittstelle zusätzlich unter ''Listening interfaces'' auswählen.
|-
| Verkehr erscheint doppelt || WAN-Schnittstelle unter ''WAN interfaces'' eintragen.
|-
| Keine Daten von einer neu angelegten Schnittstelle (z. B. neues VLAN) || NetFlow unter ''Reporting → NetFlow'' erneut mit ''Apply'' anwenden, damit die Netgraph-Knoten neu angelegt werden.
|-
| Externer Kollektor empfängt nichts || Ziel und Port prüfen, Firewall auf dem Kollektor, Routing/VPN; NetFlow-Version (v9) am Kollektor erlaubt?
|-
| Insight-Graphen lückenhaft || Datenträger voll oder Daten zurückgesetzt; ''Reset Netflow Data'' löscht alle Graphen.
|}

== Fazit ==
NetFlow und Insight machen den Datenverkehr der OPNsense ohne Zusatzsoftware nachvollziehbar: In wenigen Minuten aktiviert, liefern sie Bandbreitenverläufe bis zu einem Jahr, Top-Listen nach Clients und Diensten sowie tagesgenaue Details. Wer die WAN-Schnittstelle als ''WAN interfaces'' einträgt, vermeidet doppelte Zählungen; für zentrale Auswertung, längere Aufbewahrung oder mehrere Standorte sendet die Firewall die Flows parallel an einen externen Kollektor.

== Unterstützung von m.a.x. it ==
Sie möchten wissen, was über Ihre Leitungen läuft, Bandbreite planen oder Flow-Daten mehrerer Standorte zentral auswerten? m.a.x. it unterstützt Sie als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it] und einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it] inklusive Monitoring.

== Siehe auch ==
* [[NetFlow]]
* [[OPNsense - ntopng Traffic-Analyse]]
* [[OPNsense - Netdata Echtzeit-Monitoring]]
* [[OPNsense - Traffic Shaper und QoS]]
* [[OPNsense - NAT und Portweiterleitungen]]
* [[OPNsense - Gateways und Multi-WAN]]

== Links und Quellen ==
* [https://docs.opnsense.org/manual/netflow.html OPNsense-Doku – Netflow Export & Analyses]
* [https://github.com/opnsense/core/tree/master/src/opnsense/scripts/netflow OPNsense-Quellcode – NetFlow-Skripte (flowd_aggregate)]
* [https://github.com/phaag/nfdump nfdump – NetFlow-Werkzeuge]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]