OPNsense SSLsplit Plugin
Auf einen Blick
| Gilt für | OPNsense |
|---|---|
| Bereich | IT-Security |
| Dauer | ca. 30 Minuten |
| Rechte | Administrator (OPNsense-WebUI) |
| Stand | September 2026 |
Mit dem SSLsplit-Plugin lässt sich OPNsense um eine TLS-Inspektion erweitern: SSLsplit terminiert eingehende SSL/TLS-Verbindungen und baut eine eigene Verbindung zum ursprünglichen Ziel auf (Man-in-the-Middle). Der übertragene Traffic wird dabei im Klartext protokolliert und aufgezeichnet – nützlich zur Analyse und Fehlersuche im eigenen Netzwerk.
Das Aufbrechen verschlüsselter Verbindungen (TLS-Interception) greift tief in die Kommunikation ein. Setzen Sie SSLsplit nur in Netzen ein, für die Sie autorisiert sind, und klären Sie datenschutz- und arbeitsrechtliche Aspekte (z. B. Einbindung von Datenschutz und Betriebsrat) vorab.
Traffic auf SSLsplit umleiten
Zunächst muss der Traffic auf den SSLsplit-Dienst umgeleitet werden:
- Unverschlüsselter Traffic (HTTP): per Port-Forward an der LAN-Seite auf die IP
127.0.0.1und den im Plugin festgelegten HTTP-Port (Standard: 8080) weiterleiten. - Verschlüsselter Traffic (HTTPS): analog auf den festgelegten HTTPS-Port weiterleiten (Standard: 8443).
Die Ports, an denen der Dienst lauscht, lassen sich in der GUI in den entsprechenden Feldern eintragen.
Zertifikate einrichten
SSLsplit benötigt Zertifikate:
- Unter System → Trust → Authorities eine CA erstellen.
- Unter System → Trust → Certificates ein zugehöriges Zertifikat anlegen.
- CA und Zertifikat anschließend in der Plugin-Oberfläche im Drop-down-Menü auswählen.
Sobald die Einstellungen gespeichert und der Haken bei „Enable" gesetzt ist, startet der Dienst automatisch.
Aufgezeichnete Kommunikation auswerten
Die entschlüsselte Kommunikation wird im Verzeichnis /var/db/sslsplit/ im Log- bzw. PCAP-Format abgelegt. Über den Button „Reset" lässt sich der Verzeichnisinhalt löschen, falls sich zu viele ältere Dateien ansammeln. Unter dem Reiter „Content" wird der Inhalt angezeigt (Aktualisierung alle 5 Sekunden). Zur Auswertung (z. B. mit Wireshark) werden die Dateien per SCP auf das gewünschte System übertragen.
Unterstützung von m.a.x. it
Sie möchten OPNsense mit Plugins wie SSLsplit professionell einsetzen? m.a.x. it unterstützt Sie mit OPNsense-Firewall-Services.
Siehe auch
Links und Quellen
- SSLsplit – transparent SSL/TLS interception (roe.ch)
- SSLsplit – Quellcode auf GitHub
- m.a.x. it – OPNsense-Firewall-Services
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
