OPNsense SSLsplit Plugin: Unterschied zwischen den Versionen
Aus maxTechCorner
Deko (Diskussion | Beiträge) |
Wamu (Diskussion | Beiträge) Keine Bearbeitungszusammenfassung |
||
| Zeile 1: | Zeile 1: | ||
===''' | {{Steckbrief | ||
| gilt_fuer = OPNsense | |||
| bereich = IT-Security | |||
| dauer = ca. 30 Minuten | |||
| rechte = Administrator (OPNsense-WebUI) | |||
| stand = September 2026 | |||
}} | |||
Mit dem '''SSLsplit-Plugin''' lässt sich OPNsense um eine TLS-Inspektion erweitern: SSLsplit terminiert eingehende SSL/TLS-Verbindungen und baut eine eigene Verbindung zum ursprünglichen Ziel auf (Man-in-the-Middle). Der übertragene Traffic wird dabei im Klartext protokolliert und aufgezeichnet – nützlich zur Analyse und Fehlersuche im eigenen Netzwerk. | |||
== | <div class="max-box max-box-warn"><span class="max-box-title">Rechtlicher Hinweis</span> | ||
Das Aufbrechen verschlüsselter Verbindungen (TLS-Interception) greift tief in die Kommunikation ein. Setzen Sie SSLsplit nur in Netzen ein, für die Sie autorisiert sind, und klären Sie datenschutz- und arbeitsrechtliche Aspekte (z. B. Einbindung von Datenschutz und Betriebsrat) vorab. | |||
SSLsplit | </div> | ||
== Traffic auf SSLsplit umleiten == | |||
< | Zunächst muss der Traffic auf den SSLsplit-Dienst umgeleitet werden: | ||
* '''Unverschlüsselter Traffic (HTTP):''' per Port-Forward an der LAN-Seite auf die IP <code>127.0.0.1</code> und den im Plugin festgelegten HTTP-Port (Standard: 8080) weiterleiten. | |||
* '''Verschlüsselter Traffic (HTTPS):''' analog auf den festgelegten HTTPS-Port weiterleiten (Standard: 8443). | |||
Die Ports, an denen der Dienst lauscht, lassen sich in der GUI in den entsprechenden Feldern eintragen. | |||
== Zertifikate einrichten == | |||
SSLsplit benötigt Zertifikate: | |||
# Unter '''System → Trust → Authorities''' eine CA erstellen. | |||
# Unter '''System → Trust → Certificates''' ein zugehöriges Zertifikat anlegen. | |||
# CA und Zertifikat anschließend in der Plugin-Oberfläche im Drop-down-Menü auswählen. | |||
Sobald die Einstellungen gespeichert und der Haken bei „Enable" gesetzt ist, startet der Dienst automatisch. | |||
[[Datei:Doku sslsplit misc | [[Datei:Doku sslsplit misc G1.png|thumb|left|635px|SSLsplit-Plugin: Grundeinstellungen und Zertifikatsauswahl.]] | ||
<br clear="all" /> | |||
== | == Aufgezeichnete Kommunikation auswerten == | ||
Die entschlüsselte Kommunikation wird im Verzeichnis <code>/var/db/sslsplit/</code> im Log- bzw. PCAP-Format abgelegt. Über den Button „Reset" lässt sich der Verzeichnisinhalt löschen, falls sich zu viele ältere Dateien ansammeln. Unter dem Reiter „Content" wird der Inhalt angezeigt (Aktualisierung alle 5 Sekunden). Zur Auswertung (z. B. mit Wireshark) werden die Dateien per SCP auf das gewünschte System übertragen. | |||
[[Datei:Doku sslsplit misc G2.png|thumb|left|645px|SSLsplit-Plugin: Anzeige der aufgezeichneten Dateien unter „Content".]] | |||
[ | <br clear="all" /> | ||
== | == Unterstützung von m.a.x. it == | ||
Sie möchten OPNsense mit Plugins wie SSLsplit professionell einsetzen? m.a.x. it unterstützt Sie mit [https://www.max-it.de/it-services/opnsense/ OPNsense-Firewall-Services]. | |||
== | == Siehe auch == | ||
OPNsense | * [[OPNsense - Plugin-Liste]] | ||
* [[OPNsense - Eine kurze Einführung]] | |||
[[Kategorie: IT-Security]] | == Links und Quellen == | ||
* [https://www.roe.ch/SSLsplit SSLsplit – transparent SSL/TLS interception (roe.ch)] | |||
* [https://github.com/droe/sslsplit SSLsplit – Quellcode auf GitHub] | |||
* [https://www.max-it.de/it-services/opnsense/ m.a.x. it – OPNsense-Firewall-Services] | |||
{{Uebermax}} | |||
[[Kategorie:IT-Security]] | |||
Aktuelle Version vom 15. September 2026, 12:14 Uhr
Auf einen Blick
| Gilt für | OPNsense |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 30 Minuten |
| Rechte | Administrator (OPNsense-WebUI) |
| Stand | September 2026 |
Mit dem SSLsplit-Plugin lässt sich OPNsense um eine TLS-Inspektion erweitern: SSLsplit terminiert eingehende SSL/TLS-Verbindungen und baut eine eigene Verbindung zum ursprünglichen Ziel auf (Man-in-the-Middle). Der übertragene Traffic wird dabei im Klartext protokolliert und aufgezeichnet – nützlich zur Analyse und Fehlersuche im eigenen Netzwerk.
Rechtlicher Hinweis
Das Aufbrechen verschlüsselter Verbindungen (TLS-Interception) greift tief in die Kommunikation ein. Setzen Sie SSLsplit nur in Netzen ein, für die Sie autorisiert sind, und klären Sie datenschutz- und arbeitsrechtliche Aspekte (z. B. Einbindung von Datenschutz und Betriebsrat) vorab.
Traffic auf SSLsplit umleiten
Zunächst muss der Traffic auf den SSLsplit-Dienst umgeleitet werden:
- Unverschlüsselter Traffic (HTTP): per Port-Forward an der LAN-Seite auf die IP
127.0.0.1und den im Plugin festgelegten HTTP-Port (Standard: 8080) weiterleiten. - Verschlüsselter Traffic (HTTPS): analog auf den festgelegten HTTPS-Port weiterleiten (Standard: 8443).
Die Ports, an denen der Dienst lauscht, lassen sich in der GUI in den entsprechenden Feldern eintragen.
Zertifikate einrichten
SSLsplit benötigt Zertifikate:
- Unter System → Trust → Authorities eine CA erstellen.
- Unter System → Trust → Certificates ein zugehöriges Zertifikat anlegen.
- CA und Zertifikat anschließend in der Plugin-Oberfläche im Drop-down-Menü auswählen.
Sobald die Einstellungen gespeichert und der Haken bei „Enable" gesetzt ist, startet der Dienst automatisch.
Aufgezeichnete Kommunikation auswerten
Die entschlüsselte Kommunikation wird im Verzeichnis /var/db/sslsplit/ im Log- bzw. PCAP-Format abgelegt. Über den Button „Reset" lässt sich der Verzeichnisinhalt löschen, falls sich zu viele ältere Dateien ansammeln. Unter dem Reiter „Content" wird der Inhalt angezeigt (Aktualisierung alle 5 Sekunden). Zur Auswertung (z. B. mit Wireshark) werden die Dateien per SCP auf das gewünschte System übertragen.
Unterstützung von m.a.x. it
Sie möchten OPNsense mit Plugins wie SSLsplit professionell einsetzen? m.a.x. it unterstützt Sie mit OPNsense-Firewall-Services.
Siehe auch
Links und Quellen
- SSLsplit – transparent SSL/TLS interception (roe.ch)
- SSLsplit – Quellcode auf GitHub
- m.a.x. it – OPNsense-Firewall-Services
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
