https://techcorner.max-it.de/index.php?action=history&feed=atom&title=OPNsense_-_ntopng_Traffic-AnalyseOPNsense - ntopng Traffic-Analyse - Versionsgeschichte2026-10-07T23:04:05ZVersionsgeschichte dieser Seite in maxTechCornerMediaWiki 1.43.9https://techcorner.max-it.de/index.php?title=OPNsense_-_ntopng_Traffic-Analyse&diff=3836&oldid=previmported>TechCorner-Redaktion: Neuer Artikel: ntopng-Plugin (os-ntopng 1.3, Community Edition), Stand OPNsense 26.72026-10-06T00:00:00Z<p>Neuer Artikel: ntopng-Plugin (os-ntopng 1.3, Community Edition), Stand OPNsense 26.7</p>
<p><b>Neue Seite</b></p><div>{{Steckbrief<br />
| gilt_fuer = OPNsense 26.1/26.7 mit Plugin os-ntopng 1.3 und os-redis (ntopng Community Edition)<br />
| bereich = IT-Security<br />
| dauer = ca. 20 Minuten<br />
| rechte = Administrator (OPNsense-WebUI)<br />
| stand = Oktober 2026<br />
}}<br />
'''ntopng''' ist ein Werkzeug zur '''Netzwerk-Traffic-Analyse''' in Echtzeit: Es zeigt, '''welche Hosts mit wem über welche Anwendungen wie viel Datenverkehr''' erzeugen – von Microsoft 365 und Teams über Netflix, YouTube und Windows-Updates bis zu BitTorrent oder auffälligen Verbindungen. Dafür nutzt ntopng '''Deep Packet Inspection''' (Bibliothek ''nDPI''), die mehrere Hundert Protokolle und Anwendungen erkennt. Mit dem Plugin '''os-ntopng''' läuft ntopng direkt auf der OPNsense und wertet den Verkehr der gewählten Schnittstellen aus.<br />
<br />
== Wofür ntopng auf der Firewall? ==<br />
* '''Bandbreitenfresser finden:''' Welcher Rechner lastet gerade die Internetleitung aus – und womit?<br />
* '''Anwendungen erkennen:''' Verkehr nach Anwendung und Kategorie (Cloud, Streaming, Social Media, Updates, VPN, P2P), auch bei verschlüsseltem Verkehr über TLS-Servernamen und Verhaltensmuster.<br />
* '''Sicherheitsauffälligkeiten:''' ntopng meldet verdächtiges Verhalten, z. B. Verbindungen zu bekannten Schad-IPs, Scans, ungewöhnliche DNS-Anfragen, unverschlüsselte Anmeldungen oder veraltete TLS-Versionen.<br />
* '''Historie und Berichte:''' Zeitverläufe pro Host, Schnittstelle und Anwendung.<br />
<br />
Die OPNsense bringt unter ''Reporting → Insight'' bereits eine NetFlow-basierte Auswertung mit. ntopng geht mit Deep Packet Inspection, Echtzeit-Ansichten und Sicherheitsmeldungen deutlich weiter, benötigt dafür aber mehr Ressourcen.<br />
<br />
[[Datei:OPNsense-ntopng.png|thumb|center|750px|ntopng auf der OPNsense: Der Verkehr der internen Schnittstellen wird per Deep Packet Inspection nach Hosts, Anwendungen und Auffälligkeiten ausgewertet; die Weboberfläche ist nur aus dem Management-Netz erreichbar.]]<br />
<br />
== Lizenz und Editionen ==<br />
Über das Plugin wird die '''Community Edition''' von ntopng installiert (Open Source, GPLv3). Erweiterte Funktionen wie SNMP-Geräteüberwachung, umfangreiche Berichte, Langzeit-Flow-Speicherung mit ClickHouse oder bestimmte Alarm-Integrationen gehören zu den kostenpflichtigen Editionen '''Pro''' und '''Enterprise''' des Herstellers ntop. Für die Analyse auf einer einzelnen Firewall reicht die Community Edition in aller Regel aus.<br />
<br />
== Schritt 1: Redis und ntopng installieren ==<br />
ntopng speichert Einstellungen und Zwischenstände in '''Redis''' – das Plugin setzt deshalb das Redis-Plugin voraus (die Oberfläche zeigt einen Hinweis, wenn es fehlt).<br />
# '''System → Firmware → Plugins''': '''os-redis''' und '''os-ntopng''' installieren, Seite neu laden.<br />
# '''Services → Redis''': '''Enable Redis''' aktivieren und '''Apply'''.<br />
<br />
== Schritt 2: ntopng konfigurieren ==<br />
'''Services → Ntopng''':<br />
{| class="wikitable"<br />
! Feld !! Standard !! Empfehlung<br />
|-<br />
| '''Enable ntopng''' || aus || aktivieren<br />
|-<br />
| '''Interfaces''' || leer || die '''internen''' Schnittstellen wählen (z. B. LAN, VLANs) – dort sind die Quell-IPs der eigenen Geräte sichtbar. Auf dem WAN erscheinen wegen NAT alle Verbindungen mit der öffentlichen Adresse. Leer = Auswahl in der ntopng-Oberfläche.<br />
|-<br />
| '''HTTP Port''' || <code>3000</code> || Standard<br />
|-<br />
| '''HTTPS Port''' / '''Certificate''' || leer || '''HTTPS aktivieren''': Port z. B. <code>3443</code> und ein Zertifikat aus ''System → Trust'' wählen – HTTP wird dann auf HTTPS umgeleitet<br />
|-<br />
| '''DNS Mode''' || – || ''Decode DNS responses and resolve only local numeric IPs'' – zeigt interne Hostnamen, ohne für jede externe IP Rückwärtsabfragen zu erzeugen<br />
|}<br />
'''Save''' – der Dienst startet. Die ersten Daten erscheinen nach wenigen Sekunden.<br />
<br />
== Schritt 3: Zugriff absichern ==<br />
ntopng lauscht mit seiner Weboberfläche auf allen Adressen der Firewall. Daher:<br />
* '''Firewall → Rules''': Zugriff auf den ntopng-Port (3000 bzw. 3443) nur aus dem '''Management-Netz''' bzw. von Admin-PCs erlauben; auf dem WAN und in Gäste-/IoT-Netzen nicht freigeben (bei Bedarf explizit blockieren).<br />
* '''Erste Anmeldung:''' <code><nowiki>https://192.168.10.1:3443</nowiki></code> aufrufen, mit dem Standardkonto '''admin''' / '''admin''' anmelden – ntopng verlangt dabei, das Passwort sofort zu ändern. Ein langes, eigenes Passwort vergeben.<br />
* Unter ''Settings → Preferences'' bei Bedarf weitere Benutzer mit eingeschränkten Rechten anlegen und die Sitzungsdauer begrenzen.<br />
<br />
== Schritt 4: Mit ntopng arbeiten ==<br />
{| class="wikitable"<br />
! Ansicht !! Nutzen<br />
|-<br />
| '''Dashboard''' || Top-Hosts, Top-Anwendungen, aktueller Durchsatz<br />
|-<br />
| '''Hosts''' || Alle aktiven Geräte mit Traffic, Anwendungen, Kontaktpartnern, Geolokation und Score; Klick auf einen Host zeigt Details und Historie<br />
|-<br />
| '''Flows''' || Einzelne Verbindungen mit Quelle, Ziel, Port, erkannter Anwendung (nDPI) und Datenmenge – filterbar nach Host, Protokoll oder Anwendung<br />
|-<br />
| '''Applications''' || Verteilung des Verkehrs nach Anwendung und Kategorie<br />
|-<br />
| '''Alerts''' || Sicherheits- und Verhaltensmeldungen, z. B. Verbindung zu Blocklist-IP, Netzwerk-Scan, verdächtige DNS-Aktivität, unsicheres TLS<br />
|-<br />
| '''Interfaces''' || Durchsatz und Paketverteilung pro Schnittstelle<br />
|}<br />
'''Praxisbeispiel – Leitung ausgelastet:''' Im Dashboard den Host mit dem höchsten aktuellen Durchsatz anklicken, unter ''Flows'' die Verbindungen ansehen – z. B. ''Windows Update'' oder ''OneDrive'' – und anschließend gezielt mit Traffic Shaping (''Firewall → Shaper'') oder Richtlinien reagieren.<br />
<br />
== Ressourcen und Datenschutz ==<br />
* '''Leistung:''' Deep Packet Inspection und Flow-Verwaltung benötigen CPU und Arbeitsspeicher; bei hohem Durchsatz (mehrere Hundert Mbit/s bis Gbit/s) und vielen Hosts spürbar. Auf kleinen Appliances nur temporär zur Analyse aktivieren und nur die nötigen Schnittstellen auswählen.<br />
* '''Speicher:''' Daten liegen unter <code>/var/db/ntopng</code>; der Platzbedarf wächst mit der Anzahl von Hosts und der Aufbewahrungsdauer.<br />
* '''Datenschutz:''' ntopng macht sichtbar, welche Person bzw. welches Gerät welche Dienste nutzt. Einsatz mit Datenschutzbeauftragten und ggf. Betriebsrat abstimmen, Zugriff auf wenige Administratoren beschränken und Aufbewahrungszeiten festlegen.<br />
<br />
== Alternativen und Ergänzungen ==<br />
* '''Reporting → Insight''' (OPNsense-intern, NetFlow) – ressourcenschonende Langzeitstatistik ohne DPI.<br />
* '''NetFlow-Export''' (''Reporting → NetFlow'') an einen externen Kollektor, z. B. eine separate ntopng-Instanz oder ein SIEM – entlastet die Firewall.<br />
* '''Zenarmor''' (Plugin, kommerziell mit freier Basisversion) – Anwendungserkennung mit Blockiermöglichkeit.<br />
* '''Netdata''' für Systemmetriken in Echtzeit, '''Maltrail''' zur Erkennung von Schadverkehr.<br />
<br />
== Typische Probleme ==<br />
{| class="wikitable"<br />
! Symptom !! Lösung<br />
|-<br />
| Hinweis „No Redis plugin found“ || os-redis installieren und den Redis-Dienst aktivieren.<br />
|-<br />
| ntopng startet nicht || Redis läuft nicht; HTTPS-Port ohne Zertifikat gesetzt (beides oder keines angeben).<br />
|-<br />
| Weboberfläche nicht erreichbar || Firewall-Regel für den Port fehlt; bei HTTPS den HTTPS-Port verwenden.<br />
|-<br />
| Alle Verbindungen zeigen die WAN-IP || Nur WAN ausgewählt – interne Schnittstellen hinzufügen.<br />
|-<br />
| Hohe CPU-Last || Weniger Schnittstellen auswählen, DNS-Auflösung reduzieren oder auf NetFlow-Export ausweichen.<br />
|}<br />
<br />
== Fazit ==<br />
ntopng macht den Datenverkehr im Netz greifbar: Wer verbraucht die Bandbreite, welche Anwendungen laufen, wo gibt es Auffälligkeiten? Als Analysewerkzeug auf der OPNsense ist es mit wenigen Klicks eingerichtet – mit Redis als Voraussetzung, abgesicherter HTTPS-Oberfläche und bewusster Auswahl der Schnittstellen. Für den Dauerbetrieb auf großen Leitungen lohnt der NetFlow-Export an eine separate Instanz.<br />
<br />
== Unterstützung von m.a.x. it ==<br />
Sie möchten Engpässe und Auffälligkeiten in Ihrem Netz analysieren, Traffic Shaping einführen oder ein Monitoring- und Analysekonzept aufbauen? m.a.x. it unterstützt Sie mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services von m.a.x. it] und einer [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it]. Sicherheitsmeldungen lassen sich zudem in ein [https://www.max-it.de/it-services/siem-open-source/ Open-Source-SIEM auf Wazuh-Basis] übernehmen.<br />
<br />
== Siehe auch ==<br />
* [[OPNsense - Netdata Echtzeit-Monitoring]]<br />
* [[OPNsense - Maltrail Erkennung von Schadverkehr]]<br />
* [[OPNsense - Net-SNMP Monitoring per SNMP]]<br />
* [[OPNsense - LLDP mit lldpd]]<br />
* [[NetFlow]]<br />
* [[Monitoring]]<br />
* [[Redis]]<br />
<br />
== Links und Quellen ==<br />
* [https://www.ntop.org/products/traffic-analysis/ntop/ ntopng – Produktseite des Herstellers]<br />
* [https://www.ntop.org/guides/ntopng/ ntopng – Benutzerhandbuch]<br />
* [https://github.com/opnsense/plugins/tree/master/net/ntopng Quellcode des Plugins os-ntopng]<br />
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services]<br />
<br />
{{Uebermax}}<br />
[[Kategorie:IT-Security]]<br />
</div>imported>TechCorner-Redaktion