Zabbix: Proxys und Proxy-Gruppen für Standorte

Auf einen Blick

Gilt für	Zabbix-Proxy 7.0 LTS bzw. 7.4 (Version gleich dem Server) auf Debian 13 bzw. als Container; Proxy-Gruppen ab 7.0; Agent 2 ab 7.0 für aktive Checks über Proxy-Gruppen
Bereich	Server-Software
Dauer	je Proxy ca. 30 Minuten; Proxy-Gruppe ca. 15 Minuten
Rechte	Zabbix-Administrator; Root auf dem Proxy-Host; Firewall-Regeln zwischen Standort und Zentrale
Stand	Oktober 2026

Zabbix-Proxys sammeln Monitoring-Daten stellvertretend für den zentralen Server – in Außenstellen, Rechenzentren, Kundennetzen oder der DMZ. Sie fragen die Geräte vor Ort ab, puffern die Werte bei Leitungsausfall und übertragen sie gebündelt und verschlüsselt an die Zentrale. Statt viele Ports in jedes Netz zu öffnen, genügt eine Verbindung zwischen Proxy und Server. Seit Zabbix 7.0 lassen sich mehrere Proxys zu Proxy-Gruppen zusammenfassen, die die Hosts automatisch verteilen und bei Ausfall eines Proxys übernehmen. Diese Anleitung zeigt Einrichtung, Puffer, Verschlüsselung und Ausfallsicherheit.

Zabbix-Proxys: Standort mit Proxy, der Agenten, SNMP-Geräte und Dienste vor Ort abfragt und Daten an den Zabbix-Server in der Zentrale überträgt; aktiver Proxy baut die Verbindung zum Server auf Port 10051 auf (nur ausgehend vom Standort), passiver Proxy wird vom Server abgefragt; Puffer im Speicher, auf Platte (SQLite) oder hybrid; Verschlüsselung mit PSK oder Zertifikat; Proxy-Gruppe aus zwei oder mehr Proxys mit Failover-Zeit (Standard 1 Minute) und Mindestanzahl Online-Proxys, Hosts werden automatisch verteilt; Proxy auch auf der OPNsense möglich.

Wann ein Proxy?

• Standorte: Außenstellen über VPN – bei Leitungsausfall gehen keine Daten verloren, der Proxy liefert nach.
• Getrennte Netze: DMZ, Produktionsnetz, Kundennetze – nur eine Verbindung durch die Firewall.
• Entlastung: Bei sehr vielen Geräten übernehmen Proxys die Abfragen, der Server verarbeitet nur noch die Ergebnisse.
• Ausfallsicherheit: Proxy-Gruppen verteilen Hosts auf mehrere Proxys.

Den Proxy direkt auf der Firewall betreiben beschreibt OPNsense - Zabbix-Proxy. Der Artikel Zabbix-Proxy unter Debian 8 integrieren beschreibt eine veraltete Version (Zabbix 3.0) und sollte nicht mehr verwendet werden.

Aktiv oder passiv?

Modus	Verbindung	Empfehlung
Aktiv (ProxyMode=0)	Proxy → Server, Port 10051	Standard; nur ausgehende Verbindung vom Standort
Passiv (ProxyMode=1)	Server → Proxy, Port 10051	wenn der Proxy in einem Netz steht, aus dem keine Verbindungen in die Zentrale erlaubt sind

Schritt 1: Proxy installieren

Auf einer kleinen VM am Standort (Repository wie beim Server einbinden):

sudo apt install zabbix-proxy-sqlite3 zabbix-sql-scripts
sudo mkdir -p /var/lib/zabbix && sudo chown zabbix:zabbix /var/lib/zabbix
openssl rand -hex 32 | sudo tee /etc/zabbix/zabbix_proxy.psk
sudo chown zabbix:zabbix /etc/zabbix/zabbix_proxy.psk && sudo chmod 600 /etc/zabbix/zabbix_proxy.psk

/etc/zabbix/zabbix_proxy.conf:

ProxyMode=0
Server=zabbix.firma.de
Hostname=proxy-hamburg
DBName=/var/lib/zabbix/zabbix_proxy.db
ProxyBufferMode=hybrid
ProxyMemoryBufferSize=64M
ProxyOfflineBuffer=24
TLSConnect=psk
TLSPSKIdentity=proxy-hamburg
TLSPSKFile=/etc/zabbix/zabbix_proxy.psk
StartSNMPPollers=5

• SQLite reicht für die meisten Proxys; die Datenbank wird beim ersten Start angelegt. Für sehr große Proxys PostgreSQL bzw. MySQL verwenden.
• Puffer (seit 7.0): disk (Datenbank), memory (nur Arbeitsspeicher, schnell, bei Neustart verloren) oder hybrid (Speicher, bei Bedarf Datenbank) – hybrid ist ein guter Standard.
• ProxyOfflineBuffer: wie viele Stunden Daten bei Verbindungsabbruch aufbewahrt werden.
• Version: Proxy und Server müssen dieselbe Hauptversion haben (z. B. beide 7.0).

Schritt 2: Proxy in Zabbix anlegen

1. Administration › Proxies › Create proxy: Name exakt wie Hostname in der Proxy-Konfiguration, Modus Active.
2. Reiter Encryption: Connections from proxy = PSK, Identität und Schlüssel eintragen.
3. sudo systemctl enable --now zabbix-proxy – nach kurzer Zeit zeigt die Proxy-Liste Last seen.
4. Hosts des Standorts unter Monitored by auf den Proxy umstellen; Agenten zeigen mit Server und ServerActive auf den Proxy, siehe Zabbix: Agent 2 auf Linux und Windows ausrollen.

• In der Firewall nur Port 10051 vom Proxy zum Server (bzw. umgekehrt bei passivem Proxy) freigeben.

Schritt 3: Proxy-Gruppen für Ausfallsicherheit

1. Mindestens zwei Proxys am Standort bzw. im Netzsegment einrichten.
2. Administration › Proxy groups › Create proxy group: Name, Failover period (Standard 1 Minute, 10 s bis 15 min) und Minimum number of proxies (z. B. 1 bei zwei Proxys).
3. Beide Proxys der Gruppe zuordnen.
4. Hosts unter Monitored by auf die Proxy-Gruppe umstellen (auch per Massenänderung).

So funktioniert es: Der Server verteilt die Hosts auf die Proxys der Gruppe. Meldet sich ein Proxy innerhalb der Failover-Zeit nicht, übernehmen die anderen seine Hosts sofort. Die Lastverteilung beginnt nach dem Zehnfachen der Failover-Zeit und gleicht deutliche Ungleichgewichte aus.

Voraussetzungen und Grenzen:

• Proxys ab Version 7.0. Für aktive Checks müssen Agenten ab 7.0 laufen und in ServerActive alle Proxys der Gruppe kennen (oder einen, von dem sie die Liste lernen); für passive Checks alle Proxys in Server eintragen.
• Agenten müssen alle Proxys der Gruppe durch die Firewall erreichen.
• SNMP-Traps werden in Proxy-Gruppen nicht unterstützt – Traps an einen festen Proxy senden.
• Per Netzwerkerkennung angelegte Hosts bleiben an einen einzelnen Proxy gebunden; automatisch registrierte Hosts landen in der Gruppe.
• Externe Prüfskripte und ODBC-Einstellungen müssen auf allen Proxys der Gruppe gleich sein.

Überwachung der Proxys

• Jeden Proxy selbst als Host mit der Vorlage Zabbix proxy health überwachen: Warteschlange, Puffer, Prozessauslastung.
• Administration › Queue zeigt verspätete Werte – ein guter Hinweis auf überlastete Proxys oder Leitungsprobleme.
• Trigger „Proxy hat sich seit X Minuten nicht gemeldet“ auf dem Server anlegen.

Hinweise

• Container: Offizielle Images zabbix/zabbix-proxy-sqlite3 mit Umgebungsvariablen wie ZBX_SERVER_HOST und ZBX_HOSTNAME.
• Zertifikate statt PSK für viele Proxys mit vorhandener PKI.
• Bei Monitoring-Konzepten für Standorte, Kundennetze und DMZ unterstützt Sie das Team Managed Firewall von m.a.x. it – auch mit Zabbix-Proxys direkt auf der OPNsense.

Siehe auch

• Zabbix – Überblick und alle Artikel der Reihe
• OPNsense - Zabbix-Proxy
• Zabbix: Netzwerkgeräte per SNMP überwachen
• Zabbix: Backup, Updates und Umstieg auf 8.0 LTS

Links und Quellen

• Zabbix-Dokumentation: Proxy load balancing and high availability
• Managed Firewall von m.a.x. it

Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen