imported>TechCorner-Redaktion: Neuer Artikel: lldpd-Plugin (os-lldpd 1.2), Stand OPNsense 26.7

2026-10-06T00:00:00Z

Neuer Artikel: lldpd-Plugin (os-lldpd 1.2), Stand OPNsense 26.7

Neue Seite

{{Steckbrief
| gilt_fuer = OPNsense 26.1/26.7 mit Plugin os-lldpd 1.2 (lldpd 1.0)
| bereich = IT-Security
| dauer = ca. 10 Minuten
| rechte = Administrator (OPNsense-WebUI), optional Shell-Zugang
| stand = Oktober 2026
}}
'''LLDP''' (''Link Layer Discovery Protocol'', IEEE 802.1AB) ist ein herstellerunabhängiges Protokoll, mit dem Netzwerkgeräte ihren direkten Nachbarn mitteilen, '''wer sie sind und an welchem Port sie hängen'''. Mit dem Plugin '''os-lldpd''' sendet und empfängt die OPNsense LLDP-Informationen: Switches zeigen dann an, an welchem Port die Firewall mit welcher Schnittstelle angeschlossen ist – und umgekehrt sieht man auf der Firewall, an welchem Switch-Port jedes Kabel endet. Das spart bei der Dokumentation und Fehlersuche viel Zeit, besonders in Racks mit vielen Kabeln, bei VLAN-Trunks und in Hochverfügbarkeits-Clustern.

== Was LLDP liefert ==
Jedes Gerät sendet regelmäßig (standardmäßig alle 30 Sekunden) ein kleines Ethernet-Paket an seine direkten Nachbarn mit u. a.:
* '''System Name''' und '''System Description''' (Hostname, Betriebssystem/Version),
* '''Port ID''' und '''Port Description''' (z. B. <code>igc0</code> bzw. ''GigabitEthernet1/0/24''),
* '''Management-Adresse''' (IP), '''Fähigkeiten''' (Router, Bridge, WLAN-AP …),
* optional '''VLAN''', '''MTU''', '''Link-Aggregation''' und '''PoE'''-Informationen.
LLDP-Pakete werden nicht geroutet und von Switches nicht weitergeleitet – sie sehen nur den direkt angeschlossenen Nachbarn.

Neben LLDP kann lldpd auch die herstellerspezifischen Vorläufer sprechen: '''CDP''' (Cisco), '''FDP''' (Foundry/Brocade/Ruckus), '''EDP''' (Extreme) und '''SONMP''' (Nortel/Avaya).

[[Datei:OPNsense-LLDP.png|thumb|center|750px|lldpd auf der OPNsense: Die Firewall tauscht per LLDP Informationen mit den direkt angeschlossenen Switches aus und stellt sie per AgentX dem SNMP-Monitoring bereit; auf dem WAN wird LLDP bewusst ausgeschlossen.]]

== Schritt 1: Plugin installieren ==
'''System → Firmware → Plugins''': '''os-lldpd''' installieren und die Seite neu laden. Die Einstellungen befinden sich unter '''Services → LLDPd'''.

== Schritt 2: Einstellungen ==
{| class="wikitable"
! Feld !! Empfehlung
|-
| '''Enable LLDP Daemon''' || aktivieren
|-
| '''Enable CDP''' || aktivieren, wenn Cisco-Switches/-Telefone im Einsatz sind, die CDP bevorzugen
|-
| '''Enable FDP / EDP / SONMP''' || nur bei entsprechenden Herstellern
|-
| '''Enable AgentX SNMP Integration''' || aktivieren, wenn die LLDP-Nachbarschaft per SNMP abgefragt werden soll (setzt [[OPNsense - Net-SNMP Monitoring per SNMP|os-net-snmp]] mit ''Add AgentX Support'' voraus)
|-
| '''Interface Configuration''' || '''nur interne Schnittstellen''' angeben – siehe unten
|}
'''Save''' – der Dienst startet.

=== Schnittstellen festlegen ===
Standardmäßig nutzt lldpd '''alle''' Schnittstellen – auch das WAN. Dort sollte die Firewall keine Informationen über Hostname, Betriebssystem und Version an den Provider-Router senden. Im Feld '''Interface Configuration''' werden die '''physischen''' Schnittstellennamen (nicht die Bezeichnungen aus der Oberfläche wie ''LAN'') mit Platzhaltern und Ausschlüssen angegeben:
{| class="wikitable"
! Eintrag !! Bedeutung
|-
| <code>igc1,igc2</code> || nur <code>igc1</code> und <code>igc2</code>
|-
| <code>igc*,!igc0</code> || alle <code>igc</code>-Schnittstellen außer <code>igc0</code> (z. B. WAN)
|-
| <code>*,!igb*,!!igb1</code> || alle außer den <code>igb</code>-Schnittstellen, aber <code>igb1</code> doch
|}
Die physischen Namen stehen unter ''Interfaces → Overview''. Ein Syntaxfehler verhindert den Start von lldpd – nach dem Speichern den Dienststatus prüfen.

== Schritt 3: Nachbarn anzeigen ==
=== Auf der OPNsense ===
Das Plugin hat keine eigene Anzeige der Nachbarn; sie werden per Shell (SSH oder Konsole, Option 8) abgefragt:
<syntaxhighlight lang="bash">
lldpcli show neighbors # alle Nachbarn mit Details
lldpcli show neighbors summary # Kurzübersicht: Schnittstelle → Switch und Port
lldpcli show interfaces # welche Schnittstellen lldpd nutzt
lldpcli show statistics # gesendete/empfangene Pakete pro Port
</syntaxhighlight>
Beispielausgabe (gekürzt):
<syntaxhighlight lang="text">
Interface: igc1, via: LLDP
Chassis:
SysName: core-sw01.firma.local
SysDescr: Aruba 6300M Switch
MgmtIP: 192.168.99.2
Port:
PortID: ifname 1/1/24
PortDescr: Uplink Firewall
</syntaxhighlight>

=== Auf dem Switch ===
Je nach Hersteller z. B. <code>show lldp neighbors</code> (Cisco, Aruba, HPE), <code>show lldp neighbor-info</code> (HPE ProCurve) oder in der Weboberfläche unter ''LLDP Neighbors''. Die OPNsense erscheint mit ihrem Hostnamen und dem Schnittstellennamen (z. B. <code>igc1</code>).

== Praxisnutzen ==
* '''Verkabelung dokumentieren und prüfen:''' Welche Firewall-Schnittstelle hängt an welchem Switch-Port? Besonders hilfreich bei LAGG/LACP und CARP-Clustern, wo vertauschte Kabel schwer zu finden sind.
* '''Netzwerk-Monitoring:''' LibreNMS, Observium, Checkmk oder Zabbix lesen LLDP-Daten der Switches (und per AgentX der Firewall) und zeichnen daraus automatisch '''Netzwerkkarten''' (Topologie).
* '''Fehlersuche:''' Falscher Port, falsches VLAN am Port, Duplex-/MTU-Fehler – die LLDP-Informationen des Switches zeigen sofort, wo das Kabel steckt.
* '''VoIP:''' Telefone erhalten über LLDP-MED von Switches das Voice-VLAN (Konfiguration auf dem Switch, nicht auf der Firewall).

== Sicherheitshinweise ==
* LLDP überträgt Informationen '''unverschlüsselt''' an jeden direkt verbundenen Teilnehmer – Hostname, Version und Management-IP helfen auch Angreifern bei der Aufklärung.
* Daher '''nur auf vertrauenswürdigen internen Schnittstellen''' aktivieren (Switch-Uplinks, Management), nicht auf WAN, Gäste- oder DMZ-Netzen mit fremden Geräten.
* Auf Access-Ports von Switches, an denen Clients hängen, LLDP-Empfang/-Versand nach Bedarf einschränken.

== Typische Probleme ==
{| class="wikitable"
! Symptom !! Lösung
|-
| Dienst startet nicht || Syntax in ''Interface Configuration'' prüfen (physische Namen, Kommas, <code>!</code> für Ausschluss).
|-
| Keine Nachbarn sichtbar || LLDP auf dem Switch aktiviert? Zwischengeschaltete Geräte (Medienkonverter, unmanaged Switches) können LLDP filtern; <code>lldpcli show statistics</code> prüfen.
|-
| Firewall erscheint nicht auf dem Switch || Schnittstelle in ''Interface Configuration'' enthalten? Bei Cisco ggf. CDP aktivieren.
|-
| VLAN-Schnittstellen fehlen || LLDP läuft auf der physischen Schnittstelle (Trunk), nicht auf VLAN-Subinterfaces.
|}

== Fazit ==
os-lldpd ist ein kleines Plugin mit großem Nutzen im Alltag: Die Firewall wird für Switches und Monitoring-Systeme sichtbar, Verkabelung und Topologie lassen sich ohne Rätselraten nachvollziehen. Auf internen Schnittstellen aktiviert und vom WAN ferngehalten, ist es eine sinnvolle Standardkonfiguration für jede OPNsense im Unternehmensnetz.

== Unterstützung von m.a.x. it ==
Sie möchten Ihr Netzwerk sauber dokumentieren, Firewall und Switches überwachen oder Ihre Infrastruktur modernisieren? m.a.x. it unterstützt Sie mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it] und einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it].

== Siehe auch ==
* [[OPNsense - Net-SNMP Monitoring per SNMP]]
* [[OPNsense - FreeRADIUS für WLAN, 802.1X und VPN]]
* [[OPNsense - ntopng Traffic-Analyse]]
* [[VLAN]]
* [[OPNsense - Plugin-Liste]]

== Links und Quellen ==
* [https://lldpd.github.io/ lldpd – Projektseite und Dokumentation]
* [https://github.com/opnsense/plugins/tree/master/net-mgmt/lldpd Quellcode des Plugins os-lldpd]
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - LLDP mit lldpd - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: lldpd-Plugin (os-lldpd 1.2), Stand OPNsense 26.7