imported>TechCorner-Redaktion: Neuer Artikel: Zabbix-Agent-Plugin (os-zabbix-agent 1.19, Varianten 6.0/7.0/7.4), Stand OPNsense 26.7

2026-10-06T00:00:00Z

Neuer Artikel: Zabbix-Agent-Plugin (os-zabbix-agent 1.19, Varianten 6.0/7.0/7.4), Stand OPNsense 26.7

Neue Seite

{{Steckbrief
| gilt_fuer = OPNsense 26.1/26.7 mit Plugin os-zabbix7-agent, os-zabbix74-agent oder os-zabbix6-agent (Plugin 1.19), Zabbix-Server 6.0/7.0/7.4
| bereich = IT-Security
| dauer = ca. 20 Minuten (Anbindung), eigene Kennzahlen je 10 Minuten
| rechte = Administrator (OPNsense-WebUI), Zabbix-Frontend mit Rechten zum Anlegen von Hosts
| stand = Oktober 2026
}}
'''Zabbix''' ist eine der verbreitetsten Open-Source-Lösungen für '''Monitoring''' von Servern, Netzwerken und Anwendungen. Mit dem Plugin '''os-zabbix-agent''' läuft der Zabbix-Agent direkt auf der OPNsense: Er liefert CPU-, Speicher-, Datenträger- und Schnittstellenwerte, überwacht Dienste und Logdateien und kann über '''User Parameters''' beliebige OPNsense-spezifische Kennzahlen bereitstellen – etwa den Gateway-Status, die CARP-Rolle oder die Anzahl der Firewall-States. Gegenüber reinem SNMP ist der Agent flexibler, unterstützt '''aktive Checks''' (die Firewall meldet sich selbst beim Server) und verschlüsselt die Kommunikation per '''PSK'''.

Für Standorte mit vielen Geräten hinter der Firewall ergänzt der [[OPNsense - Zabbix-Proxy|Zabbix-Proxy]] auf der OPNsense das Bild.

== Agent, SNMP oder beides? ==
{| class="wikitable"
! Kriterium !! Zabbix-Agent (os-zabbix-agent) !! SNMP ([[OPNsense - Net-SNMP Monitoring per SNMP|os-net-snmp]])
|-
| Systemwerte (CPU, RAM, Disk, Schnittstellen) || ja (Template ''FreeBSD by Zabbix agent'') || ja
|-
| Eigene Kennzahlen (Gateways, CARP, States, Dienste) || ja, per User Parameter || nur eingeschränkt
|-
| Logdateien überwachen || ja (aktive Checks) || nein
|-
| Richtung || passiv (Server fragt) und/oder aktiv (Agent meldet) || nur passiv
|-
| Verschlüsselung || PSK (TLS) || SNMPv3
|}
In der Praxis bewährt sich der Agent für alles Systemnahe und Individuelle; SNMP ist sinnvoll, wenn ein Monitoring-System ausschließlich SNMP spricht.

[[Datei:OPNsense-Zabbix.png|thumb|center|750px|Zabbix auf der OPNsense: Der Agent liefert System- und OPNsense-Kennzahlen an den Zabbix-Server bzw. an den lokalen Zabbix-Proxy; der Proxy sammelt zusätzlich Daten von Switches, Druckern und Servern hinter der Firewall und überträgt sie verschlüsselt an die Zentrale.]]

== Schritt 1: Passende Plugin-Variante installieren ==
Das Plugin gibt es in Varianten passend zur Zabbix-Version:
{| class="wikitable"
! Plugin !! Zabbix-Agent !! Hinweis
|-
| '''os-zabbix7-agent''' || 7.0 LTS || empfohlen für Zabbix-Server 7.0/7.4
|-
| '''os-zabbix74-agent''' || 7.4 || aktuelle Standard-Release
|-
| '''os-zabbix6-agent''' || 6.0 LTS || für ältere Zabbix-Server 6.0
|}
Der Agent darf älter, aber nicht neuer als der Zabbix-Server sein. '''System → Firmware → Plugins''': passende Variante installieren und die Seite neu laden. Die Einstellungen befinden sich unter '''Services → Zabbix Agent → Settings''' (Bereiche ''Main'', ''Features'', ''Tuning'' sowie die Reiter ''User Parameters'' und ''Item Key Aliases''), das Protokoll unter ''Log File''.

== Schritt 2: Grundeinstellungen (Main) ==
{| class="wikitable"
! Feld !! Standard !! Empfehlung
|-
| '''Enabled''' || aus || aktivieren
|-
| '''Hostname''' || – || exakt der Hostname, unter dem die Firewall im Zabbix-Frontend angelegt wird, z. B. <code>fw-zentrale</code> – Pflicht für aktive Checks
|-
| '''Listen Port''' || 10050 || Standard
|-
| '''Listen IPs''' || 0.0.0.0 (alle) || '''auf die LAN- bzw. Management-Adresse einschränken''', z. B. <code>192.168.10.1</code>
|-
| '''Zabbix Servers''' || 127.0.0.1 || IP des Zabbix-Servers bzw. -Proxys, z. B. <code>192.168.10.20</code> (CIDR erlaubt) – nur diese dürfen passive Abfragen stellen
|-
| '''Log to syslog''' || aus || optional, dann landen Meldungen im OPNsense-Systemlog
|-
| '''Enable sudo root permissions''' || aus || nur aktivieren, wenn User Parameters Root-Rechte brauchen (siehe unten)
|}

== Schritt 3: Aktive Checks und Verschlüsselung (Features) ==
{| class="wikitable"
! Feld !! Empfehlung
|-
| '''Enable Active Checks''' || an (Standard) – nötig für Logüberwachung und wenn die Firewall nicht direkt vom Server erreichbar ist
|-
| '''Active Check Servers''' || <code>192.168.10.20</code> bzw. <code>zabbix.firma.local:10051</code>
|-
| '''Enable Remote Commands''' || '''aus''' (Standard) – sonst darf der Server über <code>system.run</code> Befehle auf der Firewall ausführen
|-
| '''PSK based encryption''' || '''an'''
|-
| '''PSK Identity''' || frei wählbar, z. B. <code>PSK-fw-zentrale</code>
|-
| '''PSK''' || mindestens 32 Byte als Hex, z. B. erzeugt mit <code>openssl rand -hex 32</code>
|}
'''Save''' bzw. '''Apply''' – der Agent startet.

== Schritt 4: Firewall-Regeln ==
* '''Passive Checks:''' ''Firewall → Rules'', Interface ''LAN'' (bzw. Management): TCP '''10050''' vom Zabbix-Server/-Proxy auf ''This Firewall''.
* '''Aktive Checks:''' Die Firewall verbindet sich selbst zum Server auf TCP '''10051''' – Verkehr der Firewall selbst ist standardmäßig erlaubt.
* Nicht auf dem WAN freigeben.

== Schritt 5: Host im Zabbix-Frontend anlegen ==
# '''Data collection → Hosts → Create host''' (Zabbix 7.x; in 6.0 ''Configuration → Hosts'').
# '''Host name:''' genau wie im Plugin (z. B. <code>fw-zentrale</code>).
# '''Templates:''' ''FreeBSD by Zabbix agent'' (offizielles Template ab Zabbix 7.0; bei rein aktiver Anbindung die Items des Templates auf den Typ ''Zabbix agent (active)'' umstellen bzw. eine angepasste Kopie verwenden).
# '''Interfaces:''' ''Agent'' mit IP <code>192.168.10.1</code>, Port 10050.
# Reiter '''Encryption:''' ''Connections to host'' = PSK, ''Connections from host'' = PSK, gleiche PSK-Identität und PSK wie im Plugin.
# Bei Bedarf unter ''Monitored by'' den zuständigen Zabbix-Proxy wählen.
Nach wenigen Minuten wird das Agent-Symbol (''ZBX'') grün, und unter ''Latest data'' erscheinen Werte.

== Schritt 6: OPNsense-spezifische Kennzahlen (User Parameters) ==
Über den Reiter '''User Parameters''' werden eigene Item-Keys definiert, die ein Shell-Kommando ausführen. Beispiele:
{| class="wikitable"
! Key !! Command !! Liefert
|-
| <code>opnsense.version</code> || <code>/usr/local/sbin/opnsense-version -v</code> || installierte OPNsense-Version (Text)
|-
| <code>opnsense.gateways</code> || <code>/usr/local/sbin/pluginctl -r return_gateways_status</code> || Gateway-Status als JSON – in Zabbix per abhängigen Items (JSONPath) auswerten, z. B. Status, Latenz und Paketverlust je Gateway
|-
| <code>opnsense.carp.master</code> || <code><nowiki>/sbin/ifconfig | grep -c "carp: MASTER"</nowiki></code> || Anzahl der CARP-Adressen im Zustand MASTER – Trigger bei Rollenwechsel
|-
| <code>opnsense.pf.states</code> || <code><nowiki>sudo /sbin/pfctl -si | awk '/current entries/ {print $3}'</nowiki></code> || aktuelle Anzahl der Firewall-States (benötigt sudo, siehe unten)
|}
Mit '''Accept Parameters''' lassen sich flexible Keys mit Parametern definieren (''key[*]'', Zugriff im Kommando per <code>$1</code>, <code>$2</code> …). Unter '''Item Key Aliases''' können vorhandene Keys unter einem eigenen Namen bereitgestellt werden.

Im Zabbix-Frontend werden die Keys als Items vom Typ ''Zabbix agent'' bzw. ''Zabbix agent (active)'' angelegt – am besten in einem eigenen Template ''OPNsense Erweiterungen'', das allen Firewalls zugewiesen wird.

{{Hinweis|'''Enable sudo root permissions''' erlaubt dem Zabbix-Benutzer, Befehle mit <code>sudo</code> als root auszuführen. Das ist nur für einzelne Kennzahlen wie die pf-States nötig und erweitert die Angriffsfläche: Wer die Agent-Konfiguration ändern kann, erhält Root-Rechte. Nur aktivieren, wenn wirklich erforderlich, und dann nur lesende Befehle in User Parameters verwenden.}}

== Logdateien überwachen ==
Mit aktiven Checks kann Zabbix Logdateien der Firewall auswerten, z. B. per Item-Key <code>log[/var/log/system/latest.log,"error|failed"]</code>. Für sicherheitsrelevante Ereignisse (Anmeldungen, Konfigurationsänderungen, Angriffe) ist ein SIEM wie Wazuh allerdings besser geeignet – siehe [[OPNsense - Wazuh-Agent]].

== Alternative: Template „OPNsense by SNMP“ ==
Zabbix 7.0 bringt ein offizielles Template '''OPNsense by SNMP''' mit, das u. a. pf-Statistiken auswertet. Es setzt den FreeBSD-eigenen SNMP-Dienst ''bsnmpd'' mit den Modulen ''hostres'' und ''pf'' voraus, der manuell per Shell eingerichtet werden muss – solche Änderungen außerhalb der Oberfläche sind nicht update-sicher und werden vom OPNsense-Support nicht abgedeckt. Für die meisten Umgebungen sind Agent plus User Parameters oder das Plugin [[OPNsense - Net-SNMP Monitoring per SNMP|os-net-snmp]] die pflegeleichtere Wahl.

== Sicherheitsempfehlungen ==
* '''PSK-Verschlüsselung''' immer aktivieren; eigene PSK pro Firewall.
* '''Listen IPs''' auf das Management-Netz beschränken, '''Zabbix Servers''' nur auf Server/Proxy setzen.
* '''Remote Commands''' und '''sudo root''' nur bei echtem Bedarf.
* Agent-Variante passend zum Server wählen und mit der OPNsense-Firmware aktuell halten.

== Typische Probleme ==
{| class="wikitable"
! Symptom !! Lösung
|-
| ZBX-Symbol rot, ''Get value from agent failed'' || Firewall-Regel TCP 10050 fehlt, falsche Listen IP, Server-IP nicht in ''Zabbix Servers''.
|-
| ''TLS handshake'' / ''PSK identity mismatch'' || PSK-Identität oder PSK zwischen Plugin und Frontend stimmen nicht überein.
|-
| Aktive Checks liefern nichts || ''Hostname'' weicht vom Hostnamen im Frontend ab; Active Check Servers falsch.
|-
| ''Unsupported item key'' || User Parameter nicht aktiviert/gespeichert oder Key falsch geschrieben; Agent neu starten.
|-
| User Parameter liefert leeren Wert || Kommando benötigt Root – sudo-Option und <code>sudo</code> im Kommando; Pfade vollständig angeben.
|}

== Fazit ==
Mit os-zabbix-agent wird die OPNsense ein vollwertiger Zabbix-Host: Systemwerte über das FreeBSD-Template, OPNsense-spezifische Kennzahlen per User Parameter, verschlüsselte Übertragung und aktive Checks auch hinter NAT. Zusammen mit dem Zabbix-Proxy auf derselben Firewall lassen sich ganze Außenstellen sauber in ein zentrales Monitoring einbinden.

== Unterstützung von m.a.x. it ==
Sie möchten Ihre Firewalls, Standorte und Server zentral mit Zabbix überwachen oder eigene OPNsense-Templates aufbauen? m.a.x. it unterstützt Sie mit einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it] inklusive Monitoring sowie [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it].

== Siehe auch ==
* [[OPNsense - Zabbix-Proxy]]
* [[OPNsense - Net-SNMP Monitoring per SNMP]]
* [[OPNsense - Netdata Echtzeit-Monitoring]]
* [[OPNsense - Wazuh-Agent]]
* [[Zabbix-Proxy unter Debian 8 integrieren]]
* [[Monitoring]]

== Links und Quellen ==
* [https://www.zabbix.com/documentation/7.0/en/manual/concepts/agent Zabbix-Doku – Zabbix-Agent]
* [https://www.zabbix.com/documentation/7.0/en/manual/config/items/userparameters Zabbix-Doku – User Parameters]
* [https://github.com/opnsense/plugins/tree/master/net-mgmt/zabbix-agent Quellcode und Changelog des Plugins os-zabbix-agent]
* [https://www.max-it.de/it-services/managed-firewall/ m.a.x. it – Managed Firewall]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - Zabbix-Agent - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Zabbix-Agent-Plugin (os-zabbix-agent 1.19, Varianten 6.0/7.0/7.4), Stand OPNsense 26.7