https://techcorner.max-it.de/index.php?action=history&feed=atom&title=OPNsense_-_AliaseOPNsense - Aliase - Versionsgeschichte2026-10-11T10:13:18ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=OPNsense_-_Aliase&diff=4049&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Aliase (Typen, Verschachtelung, URL-Tabellen, JSON/jq, GeoIP, BGP ASN, API), Stand OPNsense 26.72026-10-08T00:00:00Z<p>Neuer Artikel: Aliase (Typen, Verschachtelung, URL-Tabellen, JSON/jq, GeoIP, BGP ASN, API), Stand OPNsense 26.7</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = OPNsense 26.1 und 26.7 (Firewall → Aliases, Firewall → Diagnostics → Aliases)<br />
| bereich = IT-Security<br />
| dauer = ca. 20 Minuten (Grundausstattung an Aliasen inkl. GeoIP und Blockliste)<br />
| rechte = Administrator (OPNsense-WebUI)<br />
| stand = Oktober 2026 (OPNsense 26.7.5)<br />
}}<br />
'''Aliase in OPNsense''' sind benannte Listen von Hosts, Netzen, Ports, Ländern oder externen Adresslisten, die in Firewall-Regeln, NAT und anderen Diensten anstelle einzelner Werte verwendet werden. Statt zehn Regeln für zehn Server genügt eine Regel mit dem Alias ''srv_web''; ändert sich eine Adresse, wird nur der Alias angepasst. Technisch werden Host- und Netz-Aliase als '''pf-Tabellen''' umgesetzt – auch Listen mit Millionen Einträgen (GeoIP, Blocklisten) bleiben damit performant.<br />
<br />
Dieser Artikel erklärt alle Alias-Typen von OPNsense 26.7, Verschachtelung und Ausschlüsse, externe Listen (URL-Tabellen, JSON mit jq, Spamhaus DROP), GeoIP, BGP ASN, dynamische Aliase für IPv6 und OpenVPN-Gruppen, Import/Export und API sowie Diagnose und Speichergrenzen.<br />
<br />
== Alias-Typen im Überblick ==<br />
'''Firewall → Aliases''' → '''+''':<br />
{| class="wikitable"<br />
! Typ !! Inhalt !! Beispiel<br />
|-<br />
| '''Host(s)''' || einzelne IP-Adressen, Bereiche (<code>10.0.0.1-10.0.0.10</code>) oder '''DNS-Namen''' (werden regelmäßig aufgelöst) || ''srv_mail'' = <code>192.168.20.25</code>; ''updates'' = <code>update.example.com</code><br />
|-<br />
| '''Network(s)''' || Netze in CIDR-Schreibweise, auch Wildcard-Masken || ''RFC1918'' = <code>10.0.0.0/8</code>, <code>172.16.0.0/12</code>, <code>192.168.0.0/16</code><br />
|-<br />
| '''Port(s)''' || Ports und Bereiche (<code>20:25</code>) || ''ports_web'' = <code>80</code>, <code>443</code><br />
|-<br />
| '''MAC address''' || vollständige oder teilweise MAC-Adressen (Herstellerpräfix) – aufgelöst über ARP/NDP || ''drucker'' = <code>f4:90:ea</code><br />
|-<br />
| '''URL (IPs)''' || Adressliste von einer URL, '''einmal''' geladen || einmalige Übernahme einer Liste<br />
|-<br />
| '''URL Table (IPs)''' || Adressliste von einer URL, '''regelmäßig''' aktualisiert (''Refresh Frequency'' in Tagen/Stunden) || Spamhaus DROP, FireHOL<br />
|-<br />
| '''URL Table in JSON format (IPs)''' || JSON-Quelle, Auswahl per ''Path expression'' (jq) || Adressbereiche von AWS, GitHub, Microsoft 365<br />
|-<br />
| '''GeoIP''' || Länder und Regionen || ''geo_dach'' = DE, AT, CH<br />
|-<br />
| '''Network group''' || Zusammenfassung anderer Netz-/Host-Aliase || ''intern'' = ''lan_net'', ''dmz_net''<br />
|-<br />
| '''Dynamic IPv6 Host''' || Host-Suffix, das mit dem wechselnden IPv6-Präfix einer Schnittstelle kombiniert wird || Server <code>::1000:1000:0:1</code> im LAN<br />
|-<br />
| '''BGP ASN''' || alle Netze eines autonomen Systems || AS 13335 (Cloudflare)<br />
|-<br />
| '''OpenVPN group''' || Tunneladressen angemeldeter OpenVPN-Benutzer einer Gruppe || ''vpn_admins''<br />
|-<br />
| '''Internal (automatic)''' || von OPNsense verwaltete Aliase mit Präfix <code>__</code> || ''__captiveportal_zone_0'', ''__qfeeds_malware_ip''<br />
|-<br />
| '''External (advanced)''' || Platzhalter, dessen Inhalt Skripte, API oder Plugins setzen || Sperrliste aus einem externen Tool<br />
|}<br />
Weitere Optionen je Alias: '''Categories''' zur Gruppierung, '''Statistics''' (Zähler je Eintrag) und '''Expire''' – Einträge werden nach der angegebenen Zeit ohne Nutzung automatisch entfernt. Bei URL-Quellen mit Zugangsschutz lassen sich '''Authorization''' (Basic, Bearer/API-Token oder HTTP-Header) und Zugangsdaten hinterlegen.<br />
<br />
[[Datei:OPNsense-Aliase.png|thumb|center|750px|Aliase auf der OPNsense: Host-, Netz- und Port-Aliase sowie externe Listen (URL-Tabellen, JSON, GeoIP, BGP ASN) werden zu pf-Tabellen; verschachtelte Aliase und Ausschlüsse bilden daraus z. B. eine Blockliste, die in Firewall-Regeln und NAT verwendet wird.]]<br />
<br />
== Aliase verwenden ==<br />
Aliase stehen überall zur Auswahl, wo Adressen oder Ports erwartet werden: in [[OPNsense - Firewall-Regeln|Firewall-Regeln]] (Quelle, Ziel, Ports), in [[OPNsense - NAT und Portweiterleitungen|NAT-Regeln]], im [[OPNsense - Traffic Shaper und QoS|Traffic Shaper]] und in vielen Plugins. In der Regelübersicht kennzeichnet ein Listensymbol Regeln mit Alias; mit ''Inspect'' findet die Suche auch Adressen innerhalb von Aliasen.<br />
<br />
Praktische Namenskonventionen: Präfixe wie ''host_'', ''net_'', ''port_'', ''geo_'', ''bl_'' (Blockliste) und sprechende Namen statt Abkürzungen – die Regeln lesen sich dann fast wie Text („''net_lan'' → ''srv_web'' : ''port_web''“).<br />
<br />
== Verschachtelung und Ausschlüsse ==<br />
* '''Verschachteln:''' Host- und Netz-Aliase dürfen andere Aliase enthalten. Beispiel: ''srv_kritisch'' = {''srv_a'', ''srv_b''}, ''srv_alle'' = {''srv_kritisch'', ''srv_sonstige''}.<br />
* '''Ausschlüsse:''' Einträge mit vorangestelltem <code>!</code> (z. B. <code>!192.168.0.1</code> oder <code>!192.168.0.0/24</code>) werden aus einem Alias bzw. einer Network group herausgenommen.<br />
* Beispiel aus der Dokumentation: Eine externe Blockliste ''FireHOL'' wird mit den Aliasen ''subnets_exclusions'' {<code>!127.0.0.0/8</code>, <code>!0.0.0.0/8</code>} und ''hosts_exclusions'' {<code>!8.8.8.8</code>} zu ''FireHOL_with_exclusions'' kombiniert – die Liste wirkt, ohne versehentlich eigene oder lebenswichtige Adressen zu sperren.<br />
<br />
== Externe Listen ==<br />
=== URL-Tabellen und Blocklisten ===<br />
Eine URL-Tabelle lädt eine Textdatei mit einer Adresse bzw. einem Netz pro Zeile (Kommentarzeilen mit <code>#</code>, <code>;</code> usw. werden ignoriert). Bewährt hat sich z. B. die '''Spamhaus DROP'''-Liste (bzw. DROPv6) mit gekaperten oder von Kriminellen genutzten Netzen:<br />
# Alias ''bl_spamhaus_drop'', Typ ''URL Table (IPs)'', Content = URL der DROP-Liste, Refresh Frequency z. B. 1 Tag.<br />
# Floating- oder WAN-Regel: ''Block'' mit Quelle ''bl_spamhaus_drop'' (eingehend) und eine Regel mit Ziel ''bl_spamhaus_drop'' für ausgehenden Verkehr aus den internen Netzen.<br />
Kommerzielle Threat-Intelligence wie [[OPNsense - Q-Feeds Threat Intelligence|Q-Feeds]] und Dienste wie [[OPNsense - CrowdSec|CrowdSec]] stellen ihre Sperrlisten ebenfalls als (interne) Aliase bereit.<br />
<br />
=== JSON-Quellen mit jq ===<br />
Viele Cloud-Anbieter veröffentlichen ihre Adressbereiche als JSON. Der Typ ''URL Table in JSON format'' wählt die Adressen per '''Path expression''' (jq-Syntax) aus, z. B. laut Dokumentation:<br />
* AWS EC2 in einer Region: <code><nowiki>.prefixes[] | select(.region=="us-east-1") | select(.service=="EC2") | .ip_prefix</nowiki></code><br />
* GitHub Web/API/Git: <code><nowiki>.web + .api + .git | .[]</nowiki></code><br />
* Microsoft-365-Dienst Exchange: <code><nowiki>.[] | select(.serviceArea=="Exchange") | select(".ips")| .ips | .[]?</nowiki></code><br />
So bleiben Freigaben für Cloud-Dienste automatisch aktuell.<br />
<br />
=== GeoIP ===<br />
GeoIP-Aliase wählen Länder oder ganze Regionen. In der Community Edition muss unter '''Firewall → Aliases''' im Reiter '''GeoIP settings''' eine Quelle hinterlegt werden; unterstützt werden die Formate von '''IPinfo''' und '''MaxMind'''. Laut Dokumentation ist der IPinfo-Datensatz deutlich größer (ca. 7 Millionen Einträge) – dann '''Firewall Maximum Table Entries''' unter ''Firewall → Settings → Advanced'' erhöhen. Tipp: statt „alle Länder außer Deutschland“ lieber „nur Deutschland“ auswählen und die Regel umkehren – das spart Einträge. Details im Artikel [[OPNsense - Mit GeoIP-Filter]].<br />
<br />
=== BGP ASN ===<br />
Wählt alle Netze, die ein autonomes System ankündigt – etwa um Dienste eines Anbieters freizugeben oder zu sperren, ohne Einzelnetze zu pflegen (z. B. AS 8075 für Microsoft).<br />
<br />
== Dynamische Aliase ==<br />
* '''Host-Aliase mit DNS-Namen''' werden regelmäßig neu aufgelöst – Standard alle 300 Sekunden, einstellbar über '''Aliases Resolve Interval''' unter ''Firewall → Settings → Advanced''. Für Dienste hinter CDNs mit stark wechselnden Adressen ist das nur bedingt zuverlässig.<br />
* '''MAC-Aliase''' werden periodisch aus ARP/NDP-Tabellen aufgelöst. MAC-Adressen lassen sich fälschen – als Sicherheitsmerkmal also nicht stärker als IP-Adressen.<br />
* '''Dynamic IPv6 Host''': Das Suffix (beginnend mit <code>::</code>) wird mit den oberen 64 Bit der gewählten Schnittstelle kombiniert – Regeln für Server bleiben gültig, wenn der Provider das Präfix wechselt.<br />
* '''OpenVPN group''': enthält die Tunneladressen der angemeldeten Benutzer einer Gruppe (Common Name des Zertifikats = Benutzername) – damit lassen sich im [[OPNsense - OpenVPN Site-to-Site und Client-VPN|OpenVPN]] Rechte pro Benutzergruppe vergeben.<br />
<br />
== Import, Export und API ==<br />
* '''Export/Import''': Über die Schaltflächen im Tabellenfuß werden alle Aliase als JSON heruntergeladen bzw. Aliase importiert. Importierte Daten werden validiert; bei Fehlern wird nichts übernommen. Praktisch für Migrationen und Massenänderungen im Texteditor.<br />
* '''API''': Über die Endpunkte von ''alias_util'' (z. B. <code>/api/firewall/alias_util/add/MeinAlias</code>) lassen sich Einträge von Skripten oder anderen Systemen hinzufügen und entfernen – unterstützt für Host-, Network- und External-Aliase. Bei External-Aliasen sind solche Einträge nicht neustartfest, was für schnell wechselnde Sperrlisten gewollt sein kann.<br />
<br />
== Diagnose und Grenzen ==<br />
* '''Firewall → Diagnostics → Aliases''': aktueller Inhalt jedes Alias (pf-Tabelle), Suche nach Adressen, Einträge testweise hinzufügen/entfernen. '''Flush''' leert eine Tabelle nur vorübergehend – nicht-externe Aliase werden wieder befüllt.<br />
* In der Alias-Übersicht zeigen '''Loaded#''' (geladene Einträge) und '''Last updated''' den Zustand; der Balken oben zeigt die Auslastung von ''Current Table Entries / Firewall Maximum Table Entries''.<br />
* Nach Änderungen an Aliasen, die in Regeln mit States verwendet werden, ggf. bestehende States löschen (''Firewall → Diagnostics → States''), damit die neue Regel greift.<br />
{| class="wikitable"<br />
! Symptom !! Ursache und Lösung<br />
|-<br />
| Alias leer || URL nicht erreichbar, falsches Format, Zertifikatsprüfung oder Authentifizierung schlägt fehl; DNS-Name nicht auflösbar – Inhalt unter ''Diagnostics → Aliases'' prüfen, Log ansehen.<br />
|-<br />
| Regeln werden nach Änderungen nicht geladen || Tabellengrenze überschritten (große GeoIP-/Blocklisten) – ''Firewall Maximum Table Entries'' erhöhen bzw. Listen verkleinern.<br />
|-<br />
| GeoIP-Alias funktioniert nicht || Keine Quelle unter ''GeoIP settings'' hinterlegt oder Download fehlgeschlagen.<br />
|-<br />
| DNS-Alias trifft nicht alle Adressen || CDN liefert wechselnde Adressen – Auflöseintervall verkürzen oder ASN-/JSON-Alias des Anbieters verwenden.<br />
|-<br />
| Eigene Adresse durch Blockliste gesperrt || Ausschluss-Alias mit <code>!</code> in einer Network group ergänzen.<br />
|}<br />
<br />
== Fazit ==<br />
Aliase machen das Regelwerk der OPNsense übersichtlich, wartbar und automatisierbar: Ein gepflegter Satz an Host-, Netz- und Port-Aliasen, ergänzt um URL-Tabellen, JSON-Quellen, GeoIP und BGP ASN, ersetzt dutzende Einzelregeln und hält Freigaben und Sperren automatisch aktuell. Verschachtelung und Ausschlüsse bilden auch komplexe Anforderungen ab, und über Import/Export und API lassen sich Aliase in Automatisierungen einbinden.<br />
<br />
== Unterstützung von m.a.x. it ==<br />
Sie möchten Ihr Regelwerk mit Aliasen strukturieren, Blocklisten und Threat-Intelligence einbinden oder Freigaben für Cloud-Dienste automatisieren? m.a.x. it unterstützt Sie als OPNsense-Gold-Partner mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it] und einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[OPNsense - Firewall-Regeln]]<br />
* [[OPNsense - NAT und Portweiterleitungen]]<br />
* [[OPNsense - Mit GeoIP-Filter]]<br />
* [[OPNsense - Q-Feeds Threat Intelligence]]<br />
* [[OPNsense - CrowdSec]]<br />
* [[Autonomes System]]<br />
<br />
== Links und Quellen ==<br />
* [https://docs.opnsense.org/manual/aliases.html OPNsense-Doku – Aliases]<br />
* [https://docs.opnsense.org/manual/how-tos/drop.html OPNsense-Doku – Spamhaus DROP]<br />
* [https://www.spamhaus.org/drop/ Spamhaus – DROP-Listen]<br />
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion