imported>TechCorner-Redaktion: Neuer Artikel: Proxy-Arten, Installation, Puffer, Verschlüsselung, Proxy-Gruppen mit Failover

2026-10-17T00:00:00Z

Neuer Artikel: Proxy-Arten, Installation, Puffer, Verschlüsselung, Proxy-Gruppen mit Failover

Neue Seite

{{Steckbrief
| gilt_fuer = Zabbix-Proxy 7.0 LTS bzw. 7.4 (Version gleich dem Server) auf Debian 13 bzw. als Container; Proxy-Gruppen ab 7.0; Agent 2 ab 7.0 für aktive Checks über Proxy-Gruppen
| bereich = Server-Software
| dauer = je Proxy ca. 30 Minuten; Proxy-Gruppe ca. 15 Minuten
| rechte = Zabbix-Administrator; Root auf dem Proxy-Host; Firewall-Regeln zwischen Standort und Zentrale
| stand = Oktober 2026
}}
'''Zabbix-Proxys''' sammeln Monitoring-Daten stellvertretend für den zentralen Server – in Außenstellen, Rechenzentren, Kundennetzen oder der DMZ. Sie fragen die Geräte vor Ort ab, puffern die Werte bei Leitungsausfall und übertragen sie gebündelt und verschlüsselt an die Zentrale. Statt viele Ports in jedes Netz zu öffnen, genügt eine Verbindung zwischen Proxy und Server. Seit Zabbix 7.0 lassen sich mehrere Proxys zu '''Proxy-Gruppen''' zusammenfassen, die die Hosts automatisch verteilen und bei Ausfall eines Proxys übernehmen. Diese Anleitung zeigt Einrichtung, Puffer, Verschlüsselung und Ausfallsicherheit.

[[Datei:Zabbix-Proxy.png|thumb|center|750px|Zabbix-Proxys: Standort mit Proxy, der Agenten, SNMP-Geräte und Dienste vor Ort abfragt und Daten an den Zabbix-Server in der Zentrale überträgt; aktiver Proxy baut die Verbindung zum Server auf Port 10051 auf (nur ausgehend vom Standort), passiver Proxy wird vom Server abgefragt; Puffer im Speicher, auf Platte (SQLite) oder hybrid; Verschlüsselung mit PSK oder Zertifikat; Proxy-Gruppe aus zwei oder mehr Proxys mit Failover-Zeit (Standard 1 Minute) und Mindestanzahl Online-Proxys, Hosts werden automatisch verteilt; Proxy auch auf der OPNsense möglich.]]

== Wann ein Proxy? ==
* '''Standorte''': Außenstellen über VPN – bei Leitungsausfall gehen keine Daten verloren, der Proxy liefert nach.
* '''Getrennte Netze''': DMZ, Produktionsnetz, Kundennetze – nur eine Verbindung durch die Firewall.
* '''Entlastung''': Bei sehr vielen Geräten übernehmen Proxys die Abfragen, der Server verarbeitet nur noch die Ergebnisse.
* '''Ausfallsicherheit''': Proxy-Gruppen verteilen Hosts auf mehrere Proxys.
Den Proxy direkt auf der Firewall betreiben beschreibt [[OPNsense - Zabbix-Proxy]]. Der Artikel [[Zabbix-Proxy unter Debian 8 integrieren]] beschreibt eine veraltete Version (Zabbix 3.0) und sollte nicht mehr verwendet werden.

== Aktiv oder passiv? ==
{| class="wikitable"
! Modus !! Verbindung !! Empfehlung
|-
| '''Aktiv''' (<code>ProxyMode=0</code>) || Proxy → Server, Port 10051 || Standard; nur ausgehende Verbindung vom Standort
|-
| '''Passiv''' (<code>ProxyMode=1</code>) || Server → Proxy, Port 10051 || wenn der Proxy in einem Netz steht, aus dem keine Verbindungen in die Zentrale erlaubt sind
|}

== Schritt 1: Proxy installieren ==
Auf einer kleinen VM am Standort (Repository wie beim Server einbinden):
<syntaxhighlight lang="bash">
sudo apt install zabbix-proxy-sqlite3 zabbix-sql-scripts
sudo mkdir -p /var/lib/zabbix && sudo chown zabbix:zabbix /var/lib/zabbix
openssl rand -hex 32 | sudo tee /etc/zabbix/zabbix_proxy.psk
sudo chown zabbix:zabbix /etc/zabbix/zabbix_proxy.psk && sudo chmod 600 /etc/zabbix/zabbix_proxy.psk
</syntaxhighlight>
<code>/etc/zabbix/zabbix_proxy.conf</code>:
<syntaxhighlight lang="ini">
ProxyMode=0
Server=zabbix.firma.de
Hostname=proxy-hamburg
DBName=/var/lib/zabbix/zabbix_proxy.db
ProxyBufferMode=hybrid
ProxyMemoryBufferSize=64M
ProxyOfflineBuffer=24
TLSConnect=psk
TLSPSKIdentity=proxy-hamburg
TLSPSKFile=/etc/zabbix/zabbix_proxy.psk
StartSNMPPollers=5
</syntaxhighlight>
* '''SQLite''' reicht für die meisten Proxys; die Datenbank wird beim ersten Start angelegt. Für sehr große Proxys PostgreSQL bzw. MySQL verwenden.
* '''Puffer''' (seit 7.0): <code>disk</code> (Datenbank), <code>memory</code> (nur Arbeitsspeicher, schnell, bei Neustart verloren) oder <code>hybrid</code> (Speicher, bei Bedarf Datenbank) – ''hybrid'' ist ein guter Standard.
* <code>ProxyOfflineBuffer</code>: wie viele Stunden Daten bei Verbindungsabbruch aufbewahrt werden.
* '''Version''': Proxy und Server müssen dieselbe Hauptversion haben (z. B. beide 7.0).

== Schritt 2: Proxy in Zabbix anlegen ==
# ''Administration › Proxies › Create proxy'': Name exakt wie <code>Hostname</code> in der Proxy-Konfiguration, Modus ''Active''.
# Reiter ''Encryption'': ''Connections from proxy'' = PSK, Identität und Schlüssel eintragen.
# <code>sudo systemctl enable --now zabbix-proxy</code> – nach kurzer Zeit zeigt die Proxy-Liste ''Last seen''.
# Hosts des Standorts unter ''Monitored by'' auf den Proxy umstellen; Agenten zeigen mit <code>Server</code> und <code>ServerActive</code> auf den Proxy, siehe [[Zabbix: Agent 2 auf Linux und Windows ausrollen]].
* In der Firewall nur Port 10051 vom Proxy zum Server (bzw. umgekehrt bei passivem Proxy) freigeben.

== Schritt 3: Proxy-Gruppen für Ausfallsicherheit ==
# Mindestens zwei Proxys am Standort bzw. im Netzsegment einrichten.
# ''Administration › Proxy groups › Create proxy group'': Name, '''Failover period''' (Standard 1 Minute, 10 s bis 15 min) und '''Minimum number of proxies''' (z. B. 1 bei zwei Proxys).
# Beide Proxys der Gruppe zuordnen.
# Hosts unter ''Monitored by'' auf die '''Proxy-Gruppe''' umstellen (auch per Massenänderung).
'''So funktioniert es:''' Der Server verteilt die Hosts auf die Proxys der Gruppe. Meldet sich ein Proxy innerhalb der Failover-Zeit nicht, übernehmen die anderen seine Hosts sofort. Die Lastverteilung beginnt nach dem Zehnfachen der Failover-Zeit und gleicht deutliche Ungleichgewichte aus.

'''Voraussetzungen und Grenzen:'''
* Proxys ab Version 7.0. Für '''aktive Checks''' müssen Agenten ab 7.0 laufen und in <code>ServerActive</code> alle Proxys der Gruppe kennen (oder einen, von dem sie die Liste lernen); für passive Checks alle Proxys in <code>Server</code> eintragen.
* Agenten müssen '''alle''' Proxys der Gruppe durch die Firewall erreichen.
* '''SNMP-Traps''' werden in Proxy-Gruppen nicht unterstützt – Traps an einen festen Proxy senden.
* Per Netzwerkerkennung angelegte Hosts bleiben an einen einzelnen Proxy gebunden; automatisch registrierte Hosts landen in der Gruppe.
* Externe Prüfskripte und ODBC-Einstellungen müssen auf allen Proxys der Gruppe gleich sein.

== Überwachung der Proxys ==
* Jeden Proxy selbst als Host mit der Vorlage ''Zabbix proxy health'' überwachen: Warteschlange, Puffer, Prozessauslastung.
* ''Administration › Queue'' zeigt verspätete Werte – ein guter Hinweis auf überlastete Proxys oder Leitungsprobleme.
* Trigger „Proxy hat sich seit X Minuten nicht gemeldet“ auf dem Server anlegen.

== Hinweise ==
* '''Container''': Offizielle Images <code>zabbix/zabbix-proxy-sqlite3</code> mit Umgebungsvariablen wie <code>ZBX_SERVER_HOST</code> und <code>ZBX_HOSTNAME</code>.
* '''Zertifikate''' statt PSK für viele Proxys mit vorhandener PKI.
* Bei Monitoring-Konzepten für Standorte, Kundennetze und DMZ unterstützt Sie das Team [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it] – auch mit Zabbix-Proxys direkt auf der OPNsense.

== Siehe auch ==
* [[Zabbix]] – Überblick und alle Artikel der Reihe
* [[OPNsense - Zabbix-Proxy]]
* [[Zabbix: Netzwerkgeräte per SNMP überwachen]]
* [[Zabbix: Backup, Updates und Umstieg auf 8.0 LTS]]

== Links und Quellen ==
* [https://www.zabbix.com/documentation/7.0/en/manual/distributed_monitoring/proxies/ha Zabbix-Dokumentation: Proxy load balancing and high availability]
* [https://www.max-it.de/it-services/managed-firewall/ Managed Firewall von m.a.x. it]

{{Uebermax}}
[[Kategorie:Server-Software]]

Zabbix: Proxys und Proxy-Gruppen für Standorte - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Proxy-Arten, Installation, Puffer, Verschlüsselung, Proxy-Gruppen mit Failover