https://techcorner.max-it.de/index.php?action=history&feed=atom&title=OPNsense_-_Zenarmor_EssentialOPNsense - Zenarmor Essential - Versionsgeschichte2026-10-07T13:47:51ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=OPNsense_-_Zenarmor_Essential&diff=3854&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: Zenarmor Essential (KMU-Lizenz, exklusiv über m.a.x. it in DE/DACH)2026-10-07T00:00:00Z<p>Neuer Artikel: Zenarmor Essential (KMU-Lizenz, exklusiv über m.a.x. it in DE/DACH)</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = OPNsense 26.1/26.7 mit Zenarmor (os-sunnyvalley + os-sensei) und Lizenz „Zenarmor Essential“ von m.a.x. it<br />
| bereich = IT-Security<br />
| dauer = ca. 1–2 Stunden (Aktivierung, TLS Inspection, Richtlinien), plus Einführungsphase<br />
| rechte = Administrator (OPNsense-WebUI), für die CA-Verteilung Zugriff auf GPO/MDM<br />
| stand = Oktober 2026<br />
}}<br />
'''Zenarmor Essential''' ist eine speziell auf '''kleine und mittlere Unternehmen (KMU)''' zugeschnittene Lizenz für Zenarmor, die Next-Generation-Firewall-Erweiterung der OPNsense. m.a.x. it vertreibt diese angepasste Lizenz als zertifizierter Partner '''exklusiv in Deutschland und der DACH-Region'''. Sie schließt die Lücke zwischen der kostenlosen Free Edition und den Business-Tarifen: Unternehmen erhalten die zentralen NGFW-Funktionen – '''Anwendungssteuerung bis Layer 7''', '''Webfilter''', '''kommerzielle Cloud-Threat-Intelligence''', '''TLS Inspection auf allen TCP-Ports''', Analyse-Dashboard, '''REST-API''' und Reporting – zu einem planbaren Preis, der laut m.a.x. it deutlich unter klassischen Lösungen von Sophos oder Fortinet liegt.<br />
<br />
Grundlagen zu Zenarmor, Installation, Einrichtungsassistent, Betriebsmodi und Hardware beschreibt der Artikel [[OPNsense - Zenarmor Next-Generation-Firewall]]. Dieser Artikel konzentriert sich auf die '''Essential-Lizenz''': Leistungsumfang, Aktivierung und die Funktionen, die gegenüber der Free Edition hinzukommen.<br />
<br />
== Für wen ist Zenarmor Essential gedacht? ==<br />
* '''KMU mit hohen Sicherheitsanforderungen''', die Anwendungs- und Webkontrolle sowie Schutz vor aktuellen Bedrohungen benötigen – auch in verschlüsseltem Verkehr.<br />
* Unternehmen, die '''OPNsense''' bereits einsetzen oder von Sophos, Fortinet & Co. auf eine offene Plattform wechseln möchten.<br />
* Organisationen, die '''transparente, planbare Kosten''' statt teurer Enterprise-Pakete wünschen.<br />
* Kunden, die '''Beratung, Support und Service in Deutschland bzw. der DACH-Region''' aus einer Hand erwarten – lokal und DSGVO-orientiert.<br />
<br />
[[Datei:OPNsense-Zenarmor-Essential.png|thumb|center|750px|Zenarmor Essential auf der OPNsense: Gegenüber der Free Edition kommen kommerzielle Cloud-Threat-Intelligence, TLS Inspection auf allen TCP-Ports, REST-API und erweitertes Reporting hinzu; benutzer- und AD-basierte Regeln bleiben der Business-Lizenz vorbehalten.]]<br />
<br />
== Leistungsumfang im Vergleich ==<br />
{| class="wikitable"<br />
! Funktion !! Free Edition !! '''Zenarmor Essential''' (m.a.x. it) !! Business<br />
|-<br />
| Anwendungssteuerung (Layer 7) und Cloud-App-Richtlinien || eingeschränkt (Standardrichtlinie, vordefinierte Profile) || '''ja''' || ja<br />
|-<br />
| Webfilter nach Kategorien || eingeschränkt || '''ja''' || ja<br />
|-<br />
| Analyse-Dashboard (Verkehr, Geräte, Nutzung nahezu in Echtzeit) || ja, Basis || '''ja''' || ja<br />
|-<br />
| Cloud-Threat-Intelligence mit kommerziellen Blocklisten || eingeschränkt || '''ja''' || ja<br />
|-<br />
| TLS Inspection auf allen TCP-Ports || nein || '''ja''' || ja<br />
|-<br />
| REST-API und Reporting || nein || '''ja''' || ja<br />
|-<br />
| Benutzer- und gerätebasierte Regeln || nein || nein || '''ja'''<br />
|-<br />
| Active-Directory-Integration (Richtlinien nach AD-Benutzern) || nein || nein || '''ja'''<br />
|-<br />
| Support || Community-Forum || '''m.a.x. it, DE/DACH''' || Hersteller/Partner<br />
|}<br />
Der genaue Lizenzumfang (z. B. Anzahl der Geräte bzw. Benutzer und Laufzeit) wird individuell vereinbart – m.a.x. it erstellt dazu ein Angebot. Wer Richtlinien je Benutzer, Gruppe oder Gerät bzw. eine Active-Directory-Anbindung benötigt, wählt die Business-Lizenz.<br />
<br />
== Schritt 1: Voraussetzungen und Installation ==<br />
# Hardware passend dimensionieren (RAM, CPU, Netzwerkkarten mit netmap-Unterstützung) – siehe Tabelle im Artikel [[OPNsense - Zenarmor Next-Generation-Firewall]]. Für TLS Inspection zusätzliche CPU-Reserven einplanen, da die Entschlüsselung rechenintensiv ist.<br />
# Unter '''Interfaces → Settings''' das Hardware-Offloading (CRC, TSO, LRO) deaktivieren.<br />
# Unter '''System → Firmware → Plugins''' zuerst '''os-sunnyvalley''', dann '''os-sensei''' installieren.<br />
<br />
== Schritt 2: Essential-Lizenz aktivieren ==<br />
* '''Neuinstallation:''' Im Einrichtungsassistenten (''Zenarmor → Dashboard'') im Schritt ''Activate Subscription'' die Option '''„I already have my subscription key“''' wählen und den von m.a.x. it erhaltenen Lizenzschlüssel eintragen.<br />
* '''Bestehende Installation (Free Edition):''' '''Zenarmor → Settings → Subscription''' öffnen, im Bereich ''Update Subscription'' den Schlüssel einfügen und mit '''Submit''' bestätigen. Die Engine schaltet die Funktionen nach wenigen Sekunden frei.<br />
Lizenzen sind an eine Firewall gebunden. Wird ein Schlüssel auf einer neuen Firewall aktiviert, wird er auf der alten automatisch abgemeldet – praktisch beim Hardwaretausch, aber Vorsicht bei Test- und Produktivsystemen.<br />
<br />
{{Hinweis|Wer eine '''entfernte Elasticsearch-Datenbank''' für zentrale Berichte nutzen möchte, sollte die Lizenz '''vor''' dem Abschluss des Einrichtungsassistenten aktivieren – die Wahl der Berichtsdatenbank lässt sich nachträglich nicht ändern.}}<br />
<br />
== Schritt 3: Sicherheits- und Threat-Intelligence-Richtlinien ==<br />
Unter '''Zenarmor → Policies''' (Bereich ''Security'') die Kategorien der kommerziellen Cloud-Threat-Intelligence aktivieren, z. B.:<br />
* Malware, Phishing, Spyware/Adware,<br />
* Botnetz- und Command-and-Control-Ziele,<br />
* Krypto-Mining,<br />
* neu registrierte und verdächtige Domains.<br />
Diese Sperren sind risikoarm und sollten als Erstes eingeführt werden. Treffer erscheinen im Dashboard und in den Berichten.<br />
<br />
== Schritt 4: Anwendungs- und Webkontrolle ==<br />
* '''App Controls:''' Unerwünschte Anwendungen und Kategorien sperren, etwa P2P/Filesharing, nicht freigegebene Fernwartungstools, Anonymisierungs- und VPN-Dienste oder private Cloud-Speicher. Mit '''Cloud-App-Richtlinien''' lassen sich auch Funktionen innerhalb von Cloud-Diensten steuern.<br />
* '''Web Controls:''' Kategorien wie Erwachsenenseiten, Glücksspiel, Proxy/Anonymisierer und Malware-Hosting sperren; Safe Search erzwingen.<br />
* '''Exclusions:''' Geschäftskritische Ziele (z. B. Update-Server, Partner- und Behördenportale) gezielt ausnehmen.<br />
Vorgehen: zunächst einige Tage beobachten, dann schrittweise sperren – abgestimmt mit der IT-Nutzungsrichtlinie, dem Datenschutz und ggf. dem Betriebsrat.<br />
<br />
== Schritt 5: TLS Inspection einführen ==<br />
Die meisten Angriffe kommen heute verschlüsselt. Mit '''TLS Inspection''' entschlüsselt Zenarmor die Verbindungen, prüft sie und verschlüsselt sie wieder – über '''alle TCP-Ports''', nicht nur HTTPS. Dadurch werden u. a. Malware-Downloads und Phishing-Inhalte erkennbar, die ohne Entschlüsselung verborgen blieben.<br />
<br />
=== CA erzeugen und verteilen ===<br />
# '''Zenarmor → Settings → TLS Inspection''' öffnen. Über '''Manage''' neben dem Zertifikat gelangt man zur Zertifikatsverwaltung, in der eine '''interne CA''' erzeugt oder eine vorhandene CA (z. B. aus der eigenen PKI) importiert wird.<br />
# Das '''CA-Zertifikat herunterladen''' und auf allen Clients als vertrauenswürdige Stammzertifizierungsstelle verteilen:<br />
#* Windows: per '''Gruppenrichtlinie''' (''Computerkonfiguration → Richtlinien → Windows-Einstellungen → Sicherheitseinstellungen → Richtlinien für öffentliche Schlüssel → Vertrauenswürdige Stammzertifizierungsstellen'') oder per Intune,<br />
#* macOS, iOS, Android: per MDM-Profil,<br />
#* Firefox und Java-Anwendungen: ggf. separat (eigene Zertifikatsspeicher).<br />
# Ohne verteilte CA zeigen Browser Zertifikatsfehler – daher die Verteilung '''vor''' dem Aktivieren abschließen.<br />
<br />
=== Schrittweise aktivieren ===<br />
# In der Richtlinie die TLS Inspection zunächst nur für eine '''Testgruppe bzw. ein Test-Netz''' aktivieren.<br />
# '''Ausnahmen''' pflegen: Zenarmor nimmt bekannte Ziele mit Zertifikats-Pinning bereits automatisch aus. Zusätzlich sollten Online-Banking, Gesundheits- und Behördenportale, Update-Dienste und Anwendungen mit eigenem Zertifikats-Pinning global ausgenommen werden.<br />
# Funktionen wie Videokonferenzen, Updates, Cloud-Anwendungen und Fachsoftware testen, dann auf weitere Netze ausrollen.<br />
<br />
{{Hinweis|TLS Inspection macht Inhalte verschlüsselter Verbindungen auf der Firewall sichtbar. Vor der Einführung sind eine '''Datenschutz-Folgenabschätzung''', eine klare '''Regelung zur privaten Nutzung''' und ggf. eine '''Betriebsvereinbarung''' erforderlich. Besonders schützenswerte Kategorien (Banking, Gesundheit) sollten grundsätzlich ausgenommen werden.}}<br />
<br />
== Schritt 6: Berichte und REST-API ==<br />
* Das '''Analyse-Dashboard''' zeigt Verkehr, Geräte und Nutzung nahezu in Echtzeit; Berichte lassen sich nach Anwendungen, Kategorien, Zielen und Sicherheitsereignissen auswerten.<br />
* Über die '''REST-API''' lassen sich Berichte und Steuerung automatisieren, etwa für regelmäßige Auswertungen oder die Anbindung an Ticket- und Monitoring-Systeme.<br />
* Sicherheitsereignisse zusätzlich an ein SIEM weiterleiten, z. B. ein [https://www.max-it.de/it-services/siem-open-source/ Open-Source-SIEM auf Wazuh-Basis] – dort lassen sie sich mit Ereignissen von Endgeräten und Servern korrelieren.<br />
<br />
== Zenarmor Essential im Vergleich zu klassischen NGFW-Appliances ==<br />
{| class="wikitable"<br />
! Kriterium !! OPNsense + Zenarmor Essential !! Klassische NGFW (z. B. Sophos, Fortinet)<br />
|-<br />
| Plattform || Offene OPNsense auf eigener Hardware, VM oder Cloud || Hersteller-Appliance bzw. -Software<br />
|-<br />
| NGFW-Funktionen || App Control, Webfilter, Threat Intelligence, TLS Inspection || ähnlich, je nach Lizenzpaket<br />
|-<br />
| Kosten || planbare Essential-Lizenz, laut m.a.x. it deutlich günstiger || Hardware plus Abo-Bundles, oft höher<br />
|-<br />
| Abhängigkeit || Firewall-Basis Open Source, Lizenz nur für Zenarmor || Plattform und Lizenz aus einer Hand<br />
|-<br />
| Benutzer-/AD-basierte Regeln || mit Business-Lizenz || meist enthalten<br />
|}<br />
<br />
== Typische Probleme ==<br />
{| class="wikitable"<br />
! Symptom !! Lösung<br />
|-<br />
| Lizenz wird nicht angenommen || Schlüssel vollständig kopiert? Ausgehende Verbindung der Firewall zum Hersteller möglich? Bei Wechsel der Hardware wird die alte Aktivierung automatisch beendet.<br />
|-<br />
| Zertifikatsfehler im Browser nach Aktivieren der TLS Inspection || CA nicht oder nicht in allen Zertifikatsspeichern (z. B. Firefox) verteilt.<br />
|-<br />
| Einzelne Anwendungen funktionieren nicht mehr || Zertifikats-Pinning – Anwendung bzw. Ziel von der TLS Inspection ausnehmen.<br />
|-<br />
| Spürbar langsamere Verbindungen || CPU-Auslastung prüfen; TLS Inspection schrittweise ausrollen, Hardware ggf. erweitern.<br />
|-<br />
| Benutzer- oder AD-Gruppen lassen sich nicht auswählen || Diese Funktionen sind der Business-Lizenz vorbehalten.<br />
|}<br />
<br />
== Fazit ==<br />
Zenarmor Essential macht die OPNsense für den Mittelstand zu einer vollwertigen Next-Generation-Firewall: Anwendungs- und Webkontrolle, kommerzielle Threat Intelligence und TLS Inspection auf allen TCP-Ports zu planbaren Kosten – mit Beratung und Support in Deutschland. Wer zusätzlich Richtlinien je Benutzer oder Active-Directory-Gruppe benötigt, ergänzt auf die Business-Lizenz.<br />
<br />
== Unterstützung von m.a.x. it ==<br />
m.a.x. it vertreibt die '''Zenarmor-Essential-Lizenz exklusiv in Deutschland und der DACH-Region''' und unterstützt Sie bei Auswahl, Dimensionierung, Installation, TLS Inspection und Richtliniendesign – auf Wunsch auch im laufenden Betrieb. Informationen und ein individuelles Angebot erhalten Sie unter [https://www.max-it.de/en/it-services/opnsense-zenarmor/ OPNsense Zenarmor Essential von m.a.x. it]. Ergänzend bieten wir [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services] und eine [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it] an.<br />
<br />
== Siehe auch ==<br />
* [[OPNsense - Zenarmor Next-Generation-Firewall]]<br />
* [[OPNsense - Q-Feeds Threat Intelligence]]<br />
* [[OPNsense SSLsplit Plugin]]<br />
* [[OPNsense - Wazuh-Agent]]<br />
* [[Zertifikatsverwaltung via privacyIDEA]]<br />
* [[Zero Trust]]<br />
* [[Malware]]<br />
* [[Phishing]]<br />
<br />
== Links und Quellen ==<br />
* [https://www.max-it.de/en/it-services/opnsense-zenarmor/ m.a.x. it – OPNsense Zenarmor Essential]<br />
* [https://www.zenarmor.com/docs/opnsense/configuring/managing-zenarmor-subscriptions Zenarmor-Doku – Lizenz aktivieren]<br />
* [https://www.zenarmor.com/docs/opnsense/configuring/managing-tls-inspection Zenarmor-Doku – TLS Inspection verwalten]<br />
* [https://www.zenarmor.com/docs/guides/best-practices-for-tls-inspection Zenarmor-Doku – Best Practices für TLS Inspection]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion