imported>TechCorner-Redaktion: Neuer Artikel: Zabbix-Proxy-Plugin (os-zabbix-proxy 1.17, Varianten 6.0/7.0/7.4), Stand OPNsense 26.7

2026-10-06T00:00:00Z

Neuer Artikel: Zabbix-Proxy-Plugin (os-zabbix-proxy 1.17, Varianten 6.0/7.0/7.4), Stand OPNsense 26.7

Neue Seite

{{Steckbrief
| gilt_fuer = OPNsense 26.1/26.7 mit Plugin os-zabbix7-proxy, os-zabbix74-proxy oder os-zabbix6-proxy (Plugin 1.17), Zabbix-Server gleicher Hauptversion
| bereich = IT-Security
| dauer = ca. 30 Minuten
| rechte = Administrator (OPNsense-WebUI), Zabbix-Frontend mit Administratorrechten
| stand = Oktober 2026
}}
Ein '''Zabbix-Proxy''' sammelt Monitoring-Daten stellvertretend für den zentralen Zabbix-Server: Er fragt Geräte in seinem Netz ab (Agents, SNMP, ICMP, HTTP, IPMI, VMware), puffert die Werte und überträgt sie gebündelt und verschlüsselt an die Zentrale. Mit dem Plugin '''os-zabbix-proxy''' läuft der Proxy direkt auf der OPNsense – ideal für '''Außenstellen, Kundennetze und DMZ-Segmente''': Statt viele Ports von der Zentrale in jedes Netz zu öffnen, baut nur die Firewall '''eine ausgehende Verbindung''' zum Zabbix-Server auf, und bei Leitungsausfällen gehen keine Messwerte verloren.

Die Überwachung der Firewall selbst übernimmt der [[OPNsense - Zabbix-Agent|Zabbix-Agent]], der sich mit dem Proxy auf derselben OPNsense kombinieren lässt.

== Wann lohnt sich ein Proxy auf der Firewall? ==
* '''Außenstellen und Filialen:''' Switches, Drucker, USV, Server und Telefone eines Standorts werden lokal abgefragt; nur der Proxy spricht mit der Zentrale.
* '''Netze hinter NAT oder ohne VPN:''' Im aktiven Modus verbindet sich der Proxy selbst zum Server – keine Portfreigaben am Standort nötig.
* '''Entlastung des Servers:''' Der Proxy übernimmt Abfragen, Discovery und Vorverarbeitung.
* '''Ausfallsicherheit:''' Fällt die Verbindung zur Zentrale aus, puffert der Proxy die Daten (''Proxy Offline Buffer'') und sendet sie nach.
* '''Mandantentrennung:''' Dienstleister überwachen Kundennetze über je einen Proxy, ohne direkten Zugriff in die Netze.

[[Datei:OPNsense-Zabbix.png|thumb|center|750px|Zabbix-Proxy auf der OPNsense einer Außenstelle: Er fragt Switches, Drucker, USV und Server lokal ab, puffert die Werte in einer SQLite-Datenbank und überträgt sie per PSK verschlüsselt an den zentralen Zabbix-Server.]]

== Aktiver oder passiver Proxy? ==
{| class="wikitable"
! Modus !! Verbindungsaufbau !! Einsatz
|-
| '''Aktiv''' (Standard) || Proxy → Server, TCP '''10051''' || Empfohlen: keine eingehenden Freigaben am Standort nötig, funktioniert hinter NAT und dynamischen IPs
|-
| '''Passiv''' || Server → Proxy, TCP '''10051''' || Nur wenn der Server keine eingehenden Verbindungen annehmen darf (z. B. strenge Zonenkonzepte)
|}

== Schritt 1: Passende Plugin-Variante installieren ==
{| class="wikitable"
! Plugin !! Zabbix-Proxy
|-
| '''os-zabbix7-proxy''' || 7.0 LTS
|-
| '''os-zabbix74-proxy''' || 7.4
|-
| '''os-zabbix6-proxy''' || 6.0 LTS
|}
Der Proxy muss zur '''Hauptversion des Zabbix-Servers''' passen (z. B. Server 7.0 → Proxy 7.0). '''System → Firmware → Plugins''': passende Variante installieren und die Seite neu laden. Einstellungen unter '''Services → Zabbix Proxy → Settings''', Protokoll unter ''Log File''. Der Proxy speichert seine Daten in einer lokalen '''SQLite'''-Datenbank unter <code>/var/db/zabbix/</code>.

== Schritt 2: Proxy im Zabbix-Frontend anlegen ==
# '''Administration → Proxies → Create proxy'''.
# '''Proxy name:''' eindeutiger Name, z. B. <code>proxy-filiale-nord</code> – muss exakt dem ''Hostname'' im Plugin entsprechen.
# '''Proxy mode:''' ''Active''.
# Reiter '''Encryption:''' ''Connections from proxy'' = ''PSK'' (bei passivem Proxy ''Connections to proxy''), '''PSK identity''' und '''PSK''' festlegen. PSK erzeugen z. B. mit <code>openssl rand -hex 32</code>.
# Speichern.
Ab Zabbix 7.0 lassen sich mehrere Proxys zu '''Proxy groups''' zusammenfassen; fällt ein Proxy aus, übernehmen die anderen die Hosts automatisch.

== Schritt 3: Proxy auf der OPNsense konfigurieren ==
'''Services → Zabbix Proxy → Settings''':
{| class="wikitable"
! Feld !! Empfehlung
|-
| '''Enable''' || aktivieren
|-
| '''Proxy Mode''' || nicht anhaken = aktiv (Standard); nur für passiven Betrieb aktivieren
|-
| '''Enable Remote Commands''' || aus (Standard) – nur aktivieren, wenn Zabbix über den Proxy Befehle auf Hosts ausführen soll
|-
| '''Server''' || IP oder DNS-Name des Zabbix-Servers, z. B. <code>zabbix.firma.de</code>
|-
| '''Server Port''' || leer = 10051
|-
| '''Hostname''' || exakt wie im Frontend, z. B. <code>proxy-filiale-nord</code> (Standard „Zabbix proxy“ unbedingt ändern)
|-
| '''Listen IP''' / '''Listen Port''' || LAN-Adresse der Firewall, Port leer = 10051 – hier melden sich aktive Agents des Standorts
|-
| '''Source IP''' || optional, z. B. für Verbindungen über ein bestimmtes Interface oder VPN
|-
| '''Proxy Offline Buffer''' || Stunden, die Daten bei Verbindungsausfall gepuffert werden (1–720), z. B. <code>24</code>
|-
| '''Config Frequency''' / '''Data Sender Frequency''' || Standardwerte; kürzere Intervalle für schnellere Übernahme von Konfigurationsänderungen
|-
| '''PSK based encryption''' / '''PSK Identity''' / '''PSK''' || '''aktivieren''', gleiche Werte wie im Frontend
|-
| Poller- und Cache-Einstellungen || Standard für kleine Standorte; bei vielen Hosts ''Start Pollers'', ''Start Agent Pollers'', ''Cache Size'' und ''History Cache Size'' erhöhen
|-
| VMware-Parameter || nur wenn der Proxy vCenter/ESXi abfragen soll (''Start VMware Collectors'' > 0)
|}
'''Save''' bzw. '''Apply''' – im Frontend unter ''Administration → Proxies'' erscheint nach kurzer Zeit ''Last seen (age)'' und die Version.

== Schritt 4: Firewall-Regeln ==
* '''Aktiver Proxy:''' Die OPNsense verbindet sich selbst zum Server auf TCP 10051 – Verkehr der Firewall selbst ist erlaubt; ggf. auf der '''zentralen''' Firewall TCP 10051 vom Standort zum Zabbix-Server freigeben.
* '''Aktive Agents am Standort:''' ''Firewall → Rules'', Interface ''LAN'': TCP '''10051''' von den Geräten auf ''This Firewall''.
* '''Abfragen in die Netze:''' Für passive Agents (TCP 10050), SNMP (UDP 161) oder ICMP verbindet sich die Firewall selbst – keine zusätzlichen Regeln nötig, solange keine Regeln für ausgehenden Firewall-Verkehr bestehen.
* '''Passiver Proxy:''' Auf dem WAN bzw. VPN-Interface TCP 10051 '''nur''' von der IP des Zabbix-Servers erlauben.

== Schritt 5: Hosts dem Proxy zuweisen ==
# Für jedes Gerät des Standorts unter '''Data collection → Hosts''' im Feld '''Monitored by''' ''Proxy'' und den Proxy (bzw. die Proxy-Gruppe) auswählen.
# Agents des Standorts mit '''Server''' / '''ServerActive''' = LAN-Adresse der OPNsense konfigurieren.
# SNMP-Geräte mit SNMP-Interface und passendem Template anlegen – der Proxy fragt sie lokal ab.
# Die Firewall selbst: Zabbix-Agent auf der OPNsense mit ''Zabbix Servers'' = <code>127.0.0.1</code> bzw. LAN-IP und ''Active Check Servers'' = <code>127.0.0.1</code>; Host ebenfalls über diesen Proxy überwachen.
'''Network discovery''' (''Data collection → Discovery'') kann über den Proxy ganze Subnetze des Standorts nach neuen Geräten durchsuchen.

== Betrieb und Überwachung des Proxys ==
* Das Zabbix-Template '''Zabbix proxy health''' (interne Checks) auf den Proxy-Host anwenden – es zeigt Queue, Cache-Auslastung und Pollerauslastung. Für entfernte Statistikabfragen die IP unter ''Stats Allowed IP'' eintragen.
* '''Speicherplatz:''' Bei langen Offline-Puffern und vielen Items wächst die SQLite-Datenbank – freien Platz auf der Firewall im Blick behalten.
* '''Updates:''' Bei einem Upgrade des Zabbix-Servers auf eine neue Hauptversion das Plugin auf die passende Variante umstellen (alte Variante entfernen, neue installieren, Einstellungen bleiben erhalten).

== Sicherheitsempfehlungen ==
* '''PSK-Verschlüsselung''' zwischen Proxy und Server sowie zu den Agents.
* '''Aktiven Modus''' bevorzugen – keine eingehenden Ports am Standort.
* '''Listen IP''' auf interne Adressen beschränken.
* '''Remote Commands''' deaktiviert lassen, sofern nicht bewusst benötigt.
* Proxy-Name und PSK pro Standort eindeutig vergeben und dokumentieren.

== Typische Probleme ==
{| class="wikitable"
! Symptom !! Lösung
|-
| Proxy im Frontend ''Last seen: never'' || Server/Port falsch, Verbindung TCP 10051 zur Zentrale blockiert, Hostname weicht vom Proxy-Namen ab, PSK passt nicht – ''Log File'' prüfen.
|-
| ''proxy "…" not found'' im Server-Log || Proxy-Name im Frontend und Hostname im Plugin stimmen nicht exakt überein (Groß-/Kleinschreibung).
|-
| Proxy verbindet, aber Hosts liefern keine Daten || Hosts nicht dem Proxy zugewiesen (''Monitored by''); Agents erlauben die Proxy-IP nicht.
|-
| Verzögerte Konfigurationsänderungen || ''Config Frequency'' verkürzen oder im Server ''Reload config cache'' auslösen.
|-
| Hohe Queue im Frontend || Poller und Caches erhöhen, Item-Intervalle prüfen, Firewall-Ressourcen beachten.
|-
| Proxy startet nach Upgrade nicht || Plugin-Variante passt nicht zur Server-Hauptversion.
|}

== Fazit ==
Ein Zabbix-Proxy auf der OPNsense macht jede Außenstelle mit minimalem Aufwand monitoringfähig: eine ausgehende, verschlüsselte Verbindung zur Zentrale, lokale Abfragen aller Geräte, Pufferung bei Leitungsausfall. Zusammen mit dem Zabbix-Agent auf derselben Firewall entsteht so ein schlanker, sicherer Monitoring-Knoten pro Standort – ohne zusätzliche Hardware.

== Unterstützung von m.a.x. it ==
Sie möchten mehrere Standorte oder Kundennetze zentral mit Zabbix überwachen und Proxys auf Ihren OPNsense-Firewalls betreiben? m.a.x. it unterstützt Sie mit einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it] inklusive Monitoring sowie [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it].

== Siehe auch ==
* [[OPNsense - Zabbix-Agent]]
* [[Zabbix-Proxy unter Debian 8 integrieren]]
* [[OPNsense - Net-SNMP Monitoring per SNMP]]
* [[OPNsense - LLDP mit lldpd]]
* [[OPNsense - IPsec Site-to-Site route-based]]
* [[Monitoring]]

== Links und Quellen ==
* [https://www.zabbix.com/documentation/7.0/en/manual/distributed_monitoring/proxies Zabbix-Doku – Proxies]
* [https://github.com/opnsense/plugins/tree/master/net-mgmt/zabbix-proxy Quellcode und Changelog des Plugins os-zabbix-proxy]
* [https://www.max-it.de/it-services/managed-firewall/ m.a.x. it – Managed Firewall]

{{Uebermax}}
[[Kategorie:IT-Security]]

OPNsense - Zabbix-Proxy - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Zabbix-Proxy-Plugin (os-zabbix-proxy 1.17, Varianten 6.0/7.0/7.4), Stand OPNsense 26.7