https://techcorner.max-it.de/index.php?action=history&feed=atom&title=OPNsense_-_Net-SNMP_Monitoring_per_SNMPOPNsense - Net-SNMP Monitoring per SNMP - Versionsgeschichte2026-10-06T21:35:39ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=OPNsense_-_Net-SNMP_Monitoring_per_SNMP&diff=3821&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Net-SNMP-Plugin (os-net-snmp 1.7), SNMPv3, Stand OPNsense 26.72026-10-06T00:00:00Z<p>Neuer Artikel: Net-SNMP-Plugin (os-net-snmp 1.7), SNMPv3, Stand OPNsense 26.7</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = OPNsense 26.1/26.7 mit Plugin os-net-snmp 1.7 (Net-SNMP 5.9)<br />
| bereich = IT-Security<br />
| dauer = ca. 15 Minuten<br />
| rechte = Administrator (OPNsense-WebUI), Zugriff auf das Monitoring-System<br />
| stand = Oktober 2026<br />
}}<br />
Mit dem Plugin '''os-net-snmp''' stellt die OPNsense ihre Betriebsdaten per '''[[SNMP]]''' (Simple Network Management Protocol) bereit. Zentrale Monitoring-Systeme wie '''Zabbix, LibreNMS, Checkmk, PRTG, Observium''' oder '''Icinga''' fragen dann regelmäßig Schnittstellen-Durchsatz, Fehler, CPU-Last, Speicher, Datenträger, Uptime und Systeminformationen ab, zeichnen Langzeit-Graphen auf und alarmieren bei Problemen. Das Plugin unterstützt '''SNMPv2c''' (Community) und das verschlüsselte '''SNMPv3''' mit Benutzern.<br />
<br />
== SNMP in Kürze ==<br />
* Das Monitoring-System (''Manager'') fragt den ''Agent'' auf der Firewall per '''UDP 161''' ab.<br />
* Werte werden über '''OIDs''' adressiert, deren Bedeutung in '''MIBs''' beschrieben ist (z. B. IF-MIB für Schnittstellen, HOST-RESOURCES-MIB für CPU/Speicher/Datenträger).<br />
* '''SNMPv2c''' authentifiziert nur über eine '''Community''' (eine Art Passwort), die im Klartext übertragen wird.<br />
* '''SNMPv3''' bietet Benutzer mit '''Authentifizierung''' (Integrität) und '''Verschlüsselung''' (Vertraulichkeit) – die empfohlene Variante.<br />
<br />
[[Datei:OPNsense-Net-SNMP.png|thumb|center|750px|Net-SNMP auf der OPNsense: Das zentrale Monitoring-System fragt die Firewall per SNMPv3 (UDP 161) über die Management-Adresse ab, zeichnet Langzeitdaten auf und alarmiert.]]<br />
<br />
== Schritt 1: Plugin installieren ==<br />
'''System → Firmware → Plugins''': '''os-net-snmp''' installieren und die Seite neu laden. Die Einstellungen befinden sich unter '''Services → Net-SNMP''' mit den Reitern ''General'' und ''Users''.<br />
<br />
== Schritt 2: Allgemeine Einstellungen ==<br />
{| class="wikitable"<br />
! Feld !! Empfehlung<br />
|-<br />
| '''Enable SNMP Service''' || aktivieren<br />
|-<br />
| '''SNMP Community''' || '''leer lassen''', wenn ausschließlich SNMPv3 verwendet wird. Nur falls ein Monitoring-System v2c erzwingt: langen, zufälligen Wert verwenden – '''niemals''' <code>public</code>.<br />
|-<br />
| '''SNMP Location''' || Standort, z. B. ''Rechenzentrum Kassel, Rack 3''<br />
|-<br />
| '''SNMP Contact''' || Kontaktadresse, z. B. ''it@example.com''<br />
|-<br />
| '''Listen IPs''' || '''unbedingt setzen''': nur die LAN- bzw. Management-Adresse der Firewall, z. B. <code>192.168.10.1</code>. Leer = alle IPv4-Adressen (inkl. WAN!) und IPv6-Loopback.<br />
|-<br />
| '''Layer 3 Visibility''' || aktivieren – die Firewall meldet sich als Router (Layer 3); hilft Monitoring-Systemen bei der korrekten Einordnung<br />
|-<br />
| '''Display Version in OID''' || optional – liefert die OPNsense-Version über eine eigene OID<br />
|-<br />
| '''Add Observium Support''' || bei Observium/LibreNMS aktivieren – liefert Distribution, Hardware, Hersteller und Seriennummer<br />
|-<br />
| '''Add AgentX Support''' || nur bei Bedarf, z. B. wenn FRR (Plugin os-frr) Routing-Informationen (BGP/OSPF) per SNMP bereitstellen soll<br />
|}<br />
<br />
{{Hinweis|Eine gesetzte Community wird vom Plugin als ''rocommunity'' '''ohne Einschränkung der Quell-Adresse''' eingetragen. Wer die Community kennt und den Agent erreicht, kann alle Werte lesen – inklusive Schnittstellen, Routen und ARP-Tabelle. Deshalb immer '''Listen IPs''' einschränken, eine Firewall-Regel auf das Monitoring-System begrenzen und bevorzugt SNMPv3 nutzen.}}<br />
<br />
== Schritt 3: SNMPv3-Benutzer anlegen ==<br />
Reiter '''Users''' → '''+''':<br />
{| class="wikitable"<br />
! Feld !! Wert<br />
|-<br />
| '''Enabled''' || aktiv<br />
|-<br />
| '''Username''' || z. B. <code>monitoring</code><br />
|-<br />
| '''Password''' || mindestens 8 Zeichen, besser 20+ zufällige Zeichen (Authentifizierung)<br />
|-<br />
| '''Encryption Key''' || mindestens 8 Zeichen, ein '''anderer''' zufälliger Wert (Verschlüsselung)<br />
|-<br />
| '''Allow Write Access''' || '''aus''' – Monitoring benötigt nur Lesezugriff<br />
|}<br />
Das Plugin legt den Benutzer mit '''SHA''' als Authentifizierungs- und '''AES''' (128 Bit) als Verschlüsselungsverfahren an – im Monitoring-System entsprechend ''authPriv'', ''SHA'', ''AES'' wählen.<br />
<br />
'''Apply''' bzw. '''Save''' – der Dienst startet.<br />
<br />
== Schritt 4: Firewall-Regel ==<br />
'''Firewall → Rules''', Interface ''LAN'' (bzw. Management-Interface): Pass, Protokoll '''UDP''', Quelle = IP des Monitoring-Systems, Ziel ''This Firewall'' (bzw. die Listen-IP), Port '''161'''. Auf dem WAN keine Freigabe.<br />
<br />
== Schritt 5: Abfrage testen ==<br />
Vom Monitoring-Server (Linux mit Paket ''snmp''/''net-snmp-utils''):<br />
<syntaxhighlight lang="bash"><br />
# SNMPv3 – Systeminformationen<br />
snmpget -v3 -l authPriv -u monitoring -a SHA -A 'AuthPasswort' -x AES -X 'PrivSchluessel' \<br />
192.168.10.1 SNMPv2-MIB::sysDescr.0 SNMPv2-MIB::sysUpTime.0<br />
<br />
# Schnittstellen auflisten<br />
snmpwalk -v3 -l authPriv -u monitoring -a SHA -A 'AuthPasswort' -x AES -X 'PrivSchluessel' \<br />
192.168.10.1 IF-MIB::ifName<br />
<br />
# OPNsense-Version (bei aktivierter Option "Display Version in OID")<br />
snmpwalk -v3 -l authPriv -u monitoring -a SHA -A 'AuthPasswort' -x AES -X 'PrivSchluessel' \<br />
192.168.10.1 NET-SNMP-EXTEND-MIB::nsExtendOutputFull<br />
</syntaxhighlight><br />
<br />
== Schritt 6: Im Monitoring-System einbinden ==<br />
{| class="wikitable"<br />
! System !! Vorgehen (Kurzfassung)<br />
|-<br />
| '''Zabbix''' || Host mit SNMP-Interface (192.168.10.1:161, SNMPv3 authPriv) anlegen; Template z. B. ''Network Generic Device by SNMP'' (oder ein OPNsense-Community-Template) verknüpfen; Low-Level-Discovery erkennt alle Schnittstellen.<br />
|-<br />
| '''LibreNMS / Observium''' || Gerät hinzufügen, SNMPv3-Zugangsdaten eintragen; mit ''Add Observium Support'' werden Hardware und Seriennummer korrekt erkannt.<br />
|-<br />
| '''Checkmk''' || Host anlegen, ''SNMP v3'' als Datenquelle wählen, Service-Erkennung starten.<br />
|-<br />
| '''PRTG''' || Gerät mit SNMPv3-Zugangsdaten anlegen, Sensoren ''SNMP Traffic'', ''SNMP CPU Load'', ''SNMP Memory'', ''SNMP Disk Free'' hinzufügen.<br />
|}<br />
Typische Überwachungen: Durchsatz und Fehler/Drops pro Schnittstelle (z. B. WAN, VLANs), CPU-Last, Speicher- und Swap-Nutzung, freier Plattenplatz, Uptime (erkennt unbemerkte Neustarts) sowie die Erreichbarkeit per Ping.<br />
<br />
== Was SNMP nicht liefert ==<br />
SNMP liefert Systemwerte, aber keine OPNsense-spezifischen Zustände wie Gateway-Status, CARP-Rolle, VPN-Tunnel oder Firmware-Updates. Dafür eignen sich zusätzlich:<br />
* der '''Zabbix-Agent''' (Plugin ''os-zabbix-agent'') bzw. ''os-zabbix-proxy'' für zentrale Zabbix-Umgebungen,<br />
* die '''OPNsense-API''' für eigene Checks,<br />
* '''Monit''' auf der Firewall (''Services → Monit''), z. B. für die [[Überwachung von IPsec]],<br />
* '''Syslog'''-Weiterleitung an ein SIEM.<br />
<br />
== Sicherheitsempfehlungen ==<br />
* '''Nur SNMPv3 mit authPriv''', Community leer lassen.<br />
* '''Listen IPs''' auf das Management-Netz und eine '''Firewall-Regel''' auf das Monitoring-System beschränken.<br />
* '''Kein Schreibzugriff''' für Monitoring-Benutzer.<br />
* Passwörter und Schlüssel im Passwortmanager dokumentieren und bei Personalwechsel ändern.<br />
<br />
== Typische Probleme ==<br />
{| class="wikitable"<br />
! Symptom !! Lösung<br />
|-<br />
| Timeout bei Abfragen || Dienst aktiv? Listen IPs enthält die abgefragte Adresse? Firewall-Regel für UDP 161 vom Monitoring-System?<br />
|-<br />
| ''Authentication failure'' / ''Decryption error'' || Benutzername, Passwort, Schlüssel oder Verfahren (SHA/AES) stimmen nicht; Sicherheitsstufe ''authPriv'' wählen.<br />
|-<br />
| Gerät wird als Server statt Router erkannt || ''Layer 3 Visibility'' aktivieren.<br />
|-<br />
| Hardware/Seriennummer fehlen in LibreNMS/Observium || ''Add Observium Support'' aktivieren.<br />
|}<br />
<br />
== Fazit ==<br />
Mit os-net-snmp wird die OPNsense in wenigen Minuten Teil des zentralen Monitorings: Langzeitgraphen, Kapazitätsplanung und Alarmierung laufen dort zusammen, wo auch Switches, Server und USV-Anlagen überwacht werden. Richtig konfiguriert – SNMPv3, eingeschränkte Listen-Adresse, gezielte Firewall-Regel – ist das sicher und ressourcenschonend. Für die Echtzeit-Analyse auf der Firewall selbst ergänzt [[OPNsense - Netdata Echtzeit-Monitoring|Netdata]] das Bild.<br />
<br />
== Unterstützung von m.a.x. it ==<br />
Sie möchten Ihre Firewalls, Switches und Server zentral überwachen und bei Störungen frühzeitig alarmiert werden? m.a.x. it unterstützt Sie mit einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it] inklusive Monitoring sowie [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it].<br />
<br />
== Siehe auch ==<br />
* [[OPNsense - Netdata Echtzeit-Monitoring]]<br />
* [[OPNsense - Maltrail Erkennung von Schadverkehr]]<br />
* [[SNMP]]<br />
* [[Monitoring]]<br />
* [[Überwachung von IPsec]]<br />
* [[Zabbix-Proxy unter Debian 8 integrieren]]<br />
* [[Grafana]]<br />
<br />
== Links und Quellen ==<br />
* [http://www.net-snmp.org/docs/ Net-SNMP – Dokumentation]<br />
* [https://github.com/opnsense/plugins/tree/master/net-mgmt/net-snmp Quellcode des Plugins os-net-snmp]<br />
* [https://www.max-it.de/it-services/managed-firewall/ m.a.x. it – Managed Firewall]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion