Julian Boldt
79783d6d62
Geplante Wartung: Fehler zeigen sich sofort statt erst um 3 Uhr nachts, und der Master lässt sich unbeaufsichtigt aktualisieren. Auf einem Test-Cluster live geprüft (Neustart und ein echtes Update mit Umschaltung), siehe Handbuch „Geplante Wartung“. - **Rollenprüfung beim Einplanen:** Ein Host, der in einem Cluster gerade CARP-MASTER ist, lässt sich nicht mehr einplanen (Neustart/Update/Major-Upgrade). Bisher wurde der Plan angenommen und scheiterte erst zur Uhrzeit. Der Planungsdialog zeigt den Grund an und sperrt den Button. Ist die Rolle nicht feststellbar (Host gerade nicht erreichbar), wird weiter angenommen; die volle Prüfung läuft wie bisher zum Zündzeitpunkt. - **Benachrichtigung „Geplante Wartung nicht ausgeführt“:** Eine fehlgeschlagene geplante Wartung meldet sich per Webhook/E-Mail (einzeln schaltbar in den Einstellungen, standardmäßig an). Offen für drei Tage nach dem geplanten Zeitpunkt, dann ohne „behoben“-Meldung geschlossen. Neue Spalte `notification_settings.scheduled_maintenance_failed_enabled` (Migration `0006`). - **Automatische CARP-Umschaltung (Option pro Plan, standardmäßig aus):** Ein geplanter Neustart, Update oder Major-Upgrade auf dem MASTER schaltet vorher auf den Partner um, prüft die Übernahme, führt die Aktion aus, wartet auf die Rückkehr des Hosts und schaltet zurück. Fehler vor dem Start der Aktion stellen den Normalbetrieb wieder her; danach bleibt der Host bewusst im Wartungsmodus (Partner trägt den Verkehr) und es kommt eine Benachrichtigung. Der Ablauf steht in der Datenbank und überlebt einen Neustart des Backends. Neue Spalten an `scheduled_maintenance` (Migration `0007`). - **Backup vor geplantem Update:** Ein geplantes Update oder Major-Upgrade zieht unmittelbar vor dem Start selbst ein Konfigurationsbackup (nur lesend auf der Firewall). Bisher scheiterte jeder Plan, der mehr als 24 Stunden in der Zukunft lag, an der Backup-Aktualität. Schlägt das Backup fehl, wird nicht aktualisiert.
5.9 KiB
OPNexus
Alle OPNsense-Firewalls. Eine Konsole. Zentrale Verwaltung mehrerer OPNsense-Firewalls: Regeln, Aliase, NAT, VPN, Zertifikate, Logs und Updates — per OPNsense-API ausgerollt, mit Vorschau, Bestätigung und automatischem Rollback.
Website · Changelog · Handbuch · English
Stand:
1.17.0ist die aktuelle stabile Version. Entwickelt und getestet wurde gegen echte OPNsense-Instanzen; eine frische Installation aus dem Release-Bundle sowie Updates und Rollbacks sind durchgängig geprüft. Ecken und Kanten bitte melden.
Funktionen
- Flotte & Hochverfügbarkeit — Live-Status aller Hosts, CARP-Rollen nebeneinander, Ereignis-Historie, Alarm bei Split-Brain oder fehlendem MASTER, Wartungsmodus mit optionalem Auto-Revert-Timer.
- Regeln, Aliase & NAT — zentral gepflegt, gezielt auf Hosts oder Gerätegruppen ausgerollt; Port-Forward, 1:1- und Outbound-NAT mit Drift-Erkennung zwischen Cluster-Knoten.
- Sichere Änderungen — jede Änderung läuft Prüfen → Ausrollen → Bestätigen; bleibt die Bestätigung im Zeitfenster aus, rollt OPNexus zurück.
- Hierarchische Policies — Pre-/Post-Rulebases mit Vererbung über Gruppenbäume.
- VPN — IPsec-Site-to-Site, OpenVPN und WireGuard, einmal definiert und ausgerollt.
- Netzwerk — Schnittstellen, VLANs, virtuelle IPs, Gateways, Routen, LAGG/Bridge/GRE, DNS und DHCP je Firewall, dazu Tunables, Cron, Syslog, Snapshots und Diagnose (Ping, Traceroute, Port-Prüfung, DNS), ein Abgleich der Cluster-Knoten, mit Diff-Vorschau, Backup vor jeder Änderung und Schutz davor, die eigene Verbindung zu kappen; von Hand angelegte Regeln lassen sich übernehmen.
- Zertifikate — Trust-Store für alle Firewalls und Ausstellung per ACME / Let's Encrypt.
- Logs & Audit — zentrale Log-Suche mit Korrelation, Dashboards und lückenloser Deploy-Verlauf.
- Update-Center — Firmware-Updates für die Flotte, mit Blick auf HA-Reihenfolge und Wartungsmodus.
- Einrichtungsassistent — geführter Erststart nach der Installation: eigenes Passwort, Zwei-Faktor und die erste Firewall verbinden.
- Selbst-Update — OPNexus aktualisiert sich auf Wunsch aus der eigenen Oberfläche, mit Fortschritt und automatischem Rollback (optional).
- Zugang — HTTPS mit gepinnten Firewall-Zertifikaten, optionale Zwei-Faktor-Anmeldung, Rollen (Admin / Nur-Lesen), Tastaturbedienung, Dark Mode, Oberfläche auf Deutsch und Englisch.
Alle Screenshots zeigen fiktive Beispieldaten.
Ratgeber
- OPNsense-Firewalls zentral verwalten – wann sich zentrale Verwaltung lohnt und wie sie funktioniert
- OPNsense-HA-Cluster mit CARP verwalten – Rollen, Alarme, geordnete Updates, Abgleich beider Knoten
- OPNsense-Regeln sicher ausrollen – Vorschau, Bestätigungsfenster und automatischer Rollback
- Das Kommandozeilen-Werkzeug
opnexus– Installation aktualisieren, zurückrollen und sichern
Schnellstart
Voraussetzung: Docker mit Compose-Plugin.
git clone https://git.opnexus.dev/opnexus/opnexus.git
cd opnexus
cp .env.example .env # POSTGRES_PASSWORD (und ADMIN_PASSWORD) setzen
docker compose up -d --build
Die Oberfläche läuft dann unter http://localhost:3100. Ohne ADMIN_PASSWORD wird beim ersten Start ein zufälliges Admin-Passwort erzeugt und einmalig im Backend-Log ausgegeben. Verloren oder nie gesehen? Dieses Kommando setzt ein neues Zufallspasswort und zeigt es an (im Repo-Checkout scripts/opnexus, im Release-Bundle ./opnexus):
scripts/opnexus password
Nach der ersten Anmeldung öffnet sich von selbst ein kurzer Einrichtungsassistent: eigenes Passwort setzen, optional Zwei-Faktor-Anmeldung einschalten, die erste Firewall verbinden (samt Anleitung für den API-Key in OPNsense). Er lässt sich überspringen und jederzeit unter System › Einrichtung wieder öffnen.
Für den Zugriff von anderen Rechnern und den Produktivbetrieb mit TLS (mitgelieferter Caddy-Proxy) siehe das Handbuch.
Fertige Images (amd64) liegen in der Registry dieses Gitea. In der .env:
OPNEXUS_IMAGE_REPO=git.opnexus.dev/opnexus
OPNEXUS_VERSION=1.17.0
docker compose pull && docker compose up -d --no-build
Aktualisiert wird danach mit scripts/opnexus update / rollback (erst ziehen, vor Migrationen ein Datenbank-Backup, automatisches Zurückrollen, wenn die Dienste nicht gesund werden).
Datenschutz
OPNexus wird selbst betrieben und hat keine Telemetrie. Es verbindet sich nur mit deinen Firewalls und mit Benachrichtigungszielen, die du selbst einrichtest. Der optionale Hinweis auf neue Versionen (UPDATE_CHECK_URL=https://updates.opnexus.dev/latest.json) ist aus, solange du ihn nicht setzt; eingeschaltet geht höchstens alle 12 Stunden ein einfaches GET mit dem User-Agent OPNexus/<Version> hinaus — ohne Instanz- oder Nutzerdaten.
Lizenz
OPNexus ist quelloffen einsehbar (source-available) unter der PolyForm Shield License 1.0.0 — es ist keine Open-Source-Software im Sinne der OSI. Du darfst den Code herunterladen, lesen, verändern und nutzen, auch in einem Unternehmen für die eigenen Firewalls. Nicht erlaubt ist, damit ein konkurrierendes Produkt anzubieten (etwa Weiterverkauf oder Betrieb als gehosteter Dienst). Maßgeblich ist der Lizenztext.
Sicherheit
Sicherheitslücken bitte vertraulich an [email protected] melden, siehe SECURITY.md.
OPNexus ist ein unabhängiges Projekt und steht in keiner Verbindung zu Deciso B.V. oder dem OPNsense®-Projekt. OPNsense® ist eine Marke von Deciso B.V.