Einen Netzwerk-Firewall-Check (Appliance) konfigurieren

Den Netzwerk-Firewall-Check für OPNsense-, WatchGuard-, Sophos-, FortiGate-, SonicWall-, Securepoint- oder Check-Point-Appliances per REST oder SNMP einrichten.

Einen Netzwerk-Firewall-Check (Appliance) konfigurieren

Der Netzwerk-Firewall-Check (Appliance) überwacht eine Perimeter-Firewall — ihre Erreichbarkeit, den Firmware-Stand, den Lizenz-/Feature-Key-Status und Sicherheitssignale. octoja erreicht sie über eine von zehn Hersteller-Oberflächen: Check Point (SNMP), FortiGate (REST-API), FortiGate (SNMP), OPNsense, Securepoint UTM (SNMP), Sophos XG / XGS (lokal), Sophos XG / XGS (SNMP), WatchGuard (REST), WatchGuard (SNMP) und SonicWall (SNMP). Die REST- und lokalen API-Oberflächen verfolgen Firmware- und Lizenzstatus; die SNMP-Oberflächen lesen Live-Messwerte — Interface-Status sowie, je nach Hersteller, CPU, Sessions, Speicher, Disk, VPN-Tunnel, HA-Status und Lizenzablauf.

Welche Hersteller-Oberfläche?

Hersteller	Wie octoja sie erreicht	Agent-Platzierung
Check Point (SNMP)	SNMP v2c oder v3 auf dem Gateway (Standard-UDP-Port 161, Check-Point- + Interface-MIBs)	octoja-Agent auf einem Host, der das Gateway per SNMP erreichen kann
FortiGate (REST-API)	FortiOS REST-API auf der Appliance (HTTPS, Bearer-Token, Standardport 443)	octoja-Agent auf einem Host, der den Verwaltungs-Port der Appliance erreichen kann
FortiGate (SNMP)	SNMP v2c oder v3 auf der Appliance (Standard-UDP-Port 161, FortiGate- + Interface-MIBs)	octoja-Agent auf einem Host, der die Appliance per SNMP erreichen kann
OPNsense	OPNsense REST-API auf der Appliance (HTTPS, HTTP-Basic mit API-Key + Secret)	octoja-Agent auf einem Host, der die OPNsense-Management-Adresse erreichen kann
Securepoint UTM (SNMP)	SNMP v2c oder v3 auf der Appliance (Standard-UDP-Port 161, Securepoint- + Interface-MIBs)	octoja-Agent auf einem Host, der die Appliance per SNMP erreichen kann
Sophos XG / XGS (lokal)	Sophos XML-API auf der Appliance (HTTPS, Standardport 4444)	octoja-Agent auf einem Host, der den API-Port der Appliance erreichen kann
Sophos XG / XGS (SNMP)	SNMP v2c oder v3 auf der Appliance (Standard-UDP-Port 161, Sophos-SFOS- + Interface-MIBs)	octoja-Agent auf einem Host, der die Appliance per SNMP erreichen kann
WatchGuard (REST)	WatchGuard Cloud-REST-API (OAuth2-Client-Credentials + API-Key)	octoja-Agent auf einem beliebigen Internet-verbundenen Gerät — die Appliance muss nicht lokal sein
WatchGuard (SNMP)	SNMP v2c oder v3 auf der Firebox (Standard-UDP-Port 161)	octoja-Agent auf einem Host, der die Appliance per SNMP erreichen kann
SonicWall (SNMP)	SNMP v2c oder v3 auf der Appliance (Standard-UDP-Port 161)	octoja-Agent auf einem Host, der die Appliance per SNMP erreichen kann

Voraussetzungen

Eine verwaltete OPNsense-, WatchGuard-, Sophos-XG/XGS-, FortiGate-, SonicWall-, Securepoint-UTM- oder Check-Point-Appliance
Der octoja-Agent ist auf einem Gerät installiert, das die Appliance (alle Oberflächen außer WatchGuard REST) oder die WatchGuard-Cloud (WatchGuard REST) erreichen kann
API-Zugangsdaten für den gewählten Hersteller oder — bei jeder SNMP-Oberfläche — eine SNMP-Community oder ein SNMPv3-Benutzer (siehe Hersteller-Abschnitte unten)
Alternativ: die Firewall ist in octoja als Netzwerkgerät angelegt — dann liefert octoja ihre IP automatisch an den Check

Schritte

Gehe zu Geräte und öffne das Gerät, auf dem der octoja-Agent installiert ist — oder öffne die Firewall selbst, wenn sie als Netzwerkgerät angelegt ist.
Klicke auf den Tab Checks → Check hinzufügen → Netzwerk-Firewall (Appliance).
Wähle einen Hersteller. Das Formular ordnet sich um und zeigt die relevanten Felder.
Fülle die herstellerspezifischen Felder aus (siehe unten).
Passe Lizenz-Warnung (Tage) an, falls 30 Tage nicht genug Vorlaufzeit für deinen Erneuerungsprozess bieten (WatchGuard, FortiGate, Securepoint UTM und Check Point).
Lasse TLS-Zertifikat prüfen aus, es sei denn, deine Appliance präsentiert ein Zertifikat einer vertrauenswürdigen CA — die meisten Perimeter-Firewalls tun das nicht. Das Feld erscheint bei den Oberflächen OPNsense, Sophos XG / XGS (lokal) und FortiGate (REST-API).
Klicke auf Check hinzufügen.

Den Check auf einem Netzwerkgerät anlegen. Wenn die Firewall selbst als Netzwerkgerät angelegt ist, statt den octoja-Agent zu betreiben, erscheint das Feld Host / IP nicht — octoja trägt bei jedem Lauf die IP des Geräts ein. Dasselbe gilt für diesen Check, wenn du ihn über ein Konfigurationspaket verteilst: Ein Paket deckt damit jede Firewall der Gruppe ab.

OPNsense

Feld	Beschreibung
Host / IP	Management-Hostname oder IP der Appliance (ohne Schema), z. B. `192.168.1.1`
API-Port	Port der Management-API. Standard `443` entspricht einer Standard-OPNsense-Installation
API-Key	API-Key des OPNsense-Benutzers, dem die Zugangsdaten gehören
API-Secret	API-Secret, das zum Key gehört

Wo bekomme ich einen OPNsense-API-Key/-Secret? octoja benötigt einen API-Key und das passende Secret eines OPNsense-Benutzers mit Lesezugriff auf Status- und Firmware-Informationen. Erzeuge das Key/Secret-Paar in der OPNsense-Weboberfläche und trage beides in die Felder oben ein — die genauen Schritte findest du in der Dokumentation deines Firewall-Herstellers.

WatchGuard (REST)

Feld	Beschreibung
Region-Basis-URL	Basis-URL aus der WatchGuard-Cloud-Seite Managed Access. EU-Kunden verwenden `https://api.deu.cloud.watchguard.com` (Standard); US-Kunden verwenden die entsprechende `usa`-URL
WatchGuard-API-Key	API-Key, der deinem MSP-Account von Administration → Managed Access ausgestellt wurde
Client-ID (Read-only-Zugang) / Client-Secret	OAuth2-Client-Credentials aus derselben Managed Access-Seite — fordere einen Read-only-Client an
Account-ID	Account-Identifikator, der in WatchGuard-Cloud-API-Pfaden erscheint, z. B. `WGC-1-XXXXXXXX` oder `ACC-XXXXXXXX`
Soll-Fireware-Version	Optional. Setze auf die Fireware-Version, auf der die Appliances sein sollen. Leer lassen, um die Aktualitätsprüfung zu überspringen (die WatchGuard-Cloud-API stellt keine zuverlässige „latest“-Version bereit)

Sophos XG / XGS (lokal)

Feld	Beschreibung
Host / IP	Hostname oder IP der Appliance (ohne Schema)
API-Port	XML-API-Port. Standard `4444` entspricht dem Sophos-Standard. Sophos stellt einen anderen Port bereit, wenn du den WebAdmin-Port verschoben hast
Admin-Benutzer	Ein Admin-Benutzer mit API-Zugriff auf der Appliance. Wie du den API-Zugriff aktivierst, findest du in der Dokumentation deines Firewall-Herstellers
Admin-Passwort	Passwort des Admin-Benutzers
Soll-Firmware-Version	Optional. Setze auf die Sophos-Firmware-Version, auf der das Gerät sein soll (z. B. `21.0.0 GA`). Leer lassen, um die Aktualitätsprüfung zu überspringen — die lokale Sophos-XML-API kennt die veröffentlichten Versionen nicht

FortiGate (REST-API)

Die REST-API-Oberfläche verfolgt den Firmware-Stand und den FortiGuard-Lizenzstatus. Wähle sie, wenn du Firmware- und Lizenzüberwachung möchtest.

Feld	Beschreibung
Host / IP	Hostname oder IP der Appliance (ohne Schema)
REST-API-Token	Token eines Nur-Lese-REST-API-Administrators auf der Appliance. Wie du es erstellst, findest du in der Dokumentation deines Firewall-Herstellers
Verwaltungs-Port	HTTPS-Verwaltungs-Port. Standard `443` entspricht einer Standard-FortiGate-Installation

FortiGate (SNMP)

Die SNMP-Oberfläche liest Live-Messwerte per SNMP: CPU-, Speicher- und Disk-Auslastung (jeweils mit eigenem Warn- und Kritisch-Schwellwert), die Anzahl aktiver Sessions, VPN-Tunnel, HA-Cluster-Knoten sowie Interface-Status mit Fehlerzählern. Aktiviere vor der Konfiguration des Checks SNMP auf der Appliance und lege eine v2c-Community oder einen SNMPv3-Benutzer mit Lesezugriff an — siehe die Dokumentation deines Firewall-Herstellers.

Feld	Beschreibung
Host / IP	Hostname oder IP der Appliance (ohne Schema)
SNMP-Version	`v2c` oder `v3`. Standard `v2c`
SNMP-Port	UDP-Port, auf dem die FortiGate SNMP entgegennimmt. Standard `161`
Community (v2c)	Die Lese-Community. Standard `public`. Wird nur bei SNMP-Version `v2c` angezeigt
SNMPv3-Benutzer	Der SNMPv3-Benutzername. Wird nur bei SNMP-Version `v3` angezeigt
Auth-Protokoll (v3)	Authentifizierungsprotokoll für SNMPv3: `Keine`, `SHA-1` oder `SHA-256`. Standard `SHA-1`
Auth-Passwort (v3)	Authentifizierungs-Passwort. Wird angezeigt, wenn ein anderes Auth-Protokoll als `Keine` gewählt ist
Privacy-Protokoll (v3)	Verschlüsselungsprotokoll für SNMPv3: `Keine`, `AES-128`, `AES-192` oder `AES-256`. Standard `AES-128`
Privacy-Passwort (v3)	Privacy-Passwort. Wird angezeigt, wenn ein anderes Privacy-Protokoll als `Keine` gewählt ist
CPU-Warnung (%) / CPU-Kritisch (%)	Schwellwerte für die CPU-Auslastung. Standard `85` / `95`
RAM-Warnung (%) / RAM-Kritisch (%)	Schwellwerte für die Speicherauslastung. Standard `85` / `95`
Disk-Warnung (%) / Disk-Kritisch (%)	Schwellwerte für die Disk-Auslastung. Standard `85` / `95`
Interfaces einbeziehen (IF-MIB)	Interface-Status und Fehlerzähler erfassen. Standardmäßig an
Interfaces, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Interfaces. Ist ein ausgewähltes Interface betrieblich down, wird Critical gemeldet
Warnen, wenn ein Interface down ist	Warnung, wenn ein Interface, das up sein sollte, betrieblich down ist. Standardmäßig aus
VPN-Tunnel einbeziehen	VPN-Tunnel-Status erfassen. Standardmäßig an
VPN-Tunnel, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Tunneln. Ist ein ausgewählter Tunnel down oder fehlend, wird Critical gemeldet
Warnen, wenn ein VPN-Tunnel down ist	Warnung, wenn ein erkannter Tunnel down ist. Standardmäßig aus
HA einbeziehen	HA-Cluster-Knoten-Informationen erfassen. Standardmäßig an
HA Soll-Cluster-Knoten (0 = aus)	Critical, wenn weniger HA-Knoten sichtbar sind als hier angegeben (ausgefallener Peer). `0` schaltet den HA-Alarm aus

WatchGuard (SNMP)

Die WatchGuard-SNMP-Oberfläche liest Live-Messwerte von der Firebox per SNMP: CPU-Auslastung, die Anzahl aktiver Sessions, Interface-Status und HA-Cluster-Knoten. Sie verfolgt außerdem den Ablauf des Feature-Keys und den Firmware-Stand. Aktiviere zuerst SNMP auf der Firebox und lege eine v2c-Community oder einen SNMPv3-Benutzer mit Lesezugriff an — siehe die Dokumentation deines Firewall-Herstellers.

Feld	Beschreibung
Host / IP	Hostname oder IP der Firebox (ohne Schema)
SNMP-Version	`v2c` oder `v3`. Standard `v2c`
SNMP-Port	UDP-Port, auf dem die Appliance SNMP entgegennimmt. Standard `161`
Community (v2c)	Die Lese-Community. Standard `public`. Wird nur bei SNMP-Version `v2c` angezeigt
SNMPv3-Benutzer	Der SNMPv3-Benutzername. Wird nur bei SNMP-Version `v3` angezeigt
Auth-Protokoll (v3)	Authentifizierungsprotokoll für SNMPv3: `Keine`, `SHA-1` oder `SHA-256`. Standard `SHA-1`
Auth-Passwort (v3)	Authentifizierungs-Passwort. Wird angezeigt, wenn ein anderes Auth-Protokoll als `Keine` gewählt ist
Privacy-Protokoll (v3)	Verschlüsselungsprotokoll für SNMPv3: `Keine`, `AES-128`, `AES-192` oder `AES-256`. Standard `AES-128`
Privacy-Passwort (v3)	Privacy-Passwort. Wird angezeigt, wenn ein anderes Privacy-Protokoll als `Keine` gewählt ist
CPU-Warnung (%) / CPU-Kritisch (%)	Schwellwerte für die CPU-Auslastung. Standard `85` / `95`
Interfaces einbeziehen (IF-MIB)	Interface-Status und Fehlerzähler erfassen. Standardmäßig an
Interfaces, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Interfaces. Ist ein ausgewähltes Interface betrieblich down, wird Critical gemeldet
Warnen, wenn ein Interface down ist	Warnung, wenn ein Interface, das up sein sollte, betrieblich down ist. Standardmäßig aus
HA einbeziehen	HA-Cluster-Knoten-Informationen erfassen. Standardmäßig an
HA Soll-Cluster-Knoten (0 = aus)	Critical, wenn weniger HA-Knoten sichtbar sind als hier angegeben (ausgefallener Peer). `0` schaltet den HA-Alarm aus
Soll-Fireware-Version	Optional. Setze auf die Fireware-Version, gegen die die Aktualität geprüft werden soll. Leer lassen, um zu überspringen
Lizenz-Warnung (Tage)	Ein Feature-Key, der innerhalb dieser Tage abläuft, löst eine Warnung aus. Standard `30`

SonicWall (SNMP)

Die SonicWall-SNMP-Oberfläche liest Live-Messwerte von der Appliance per SNMP: CPU- und Speicherauslastung, die Anzahl aktiver Sessions, Interface-Status und VPN-Tunnel. Aktiviere zuerst SNMP auf der Appliance und lege eine v2c-Community oder einen SNMPv3-Benutzer mit Lesezugriff an — siehe die Dokumentation deines Firewall-Herstellers.

Feld	Beschreibung
Host / IP	Hostname oder IP der Appliance (ohne Schema)
SNMP-Version	`v2c` oder `v3`. Standard `v2c`
SNMP-Port	UDP-Port, auf dem die Appliance SNMP entgegennimmt. Standard `161`
Community (v2c)	Die Lese-Community. Standard `public`. Wird nur bei SNMP-Version `v2c` angezeigt
SNMPv3-Benutzer	Der SNMPv3-Benutzername. Wird nur bei SNMP-Version `v3` angezeigt
Auth-Protokoll (v3)	Authentifizierungsprotokoll für SNMPv3: `Keine`, `SHA-1` oder `SHA-256`. Standard `SHA-1`
Auth-Passwort (v3)	Authentifizierungs-Passwort. Wird angezeigt, wenn ein anderes Auth-Protokoll als `Keine` gewählt ist
Privacy-Protokoll (v3)	Verschlüsselungsprotokoll für SNMPv3: `Keine`, `AES-128`, `AES-192` oder `AES-256`. Standard `AES-128`
Privacy-Passwort (v3)	Privacy-Passwort. Wird angezeigt, wenn ein anderes Privacy-Protokoll als `Keine` gewählt ist
CPU-Warnung (%) / CPU-Kritisch (%)	Schwellwerte für die CPU-Auslastung. Standard `85` / `95`
RAM-Warnung (%) / RAM-Kritisch (%)	Schwellwerte für die Speicherauslastung. Standard `85` / `95`
Interfaces einbeziehen (IF-MIB)	Interface-Status und Fehlerzähler erfassen. Standardmäßig an
Interfaces, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Interfaces. Ist ein ausgewähltes Interface betrieblich down, wird Critical gemeldet
Warnen, wenn ein Interface down ist	Warnung, wenn ein Interface, das up sein sollte, betrieblich down ist. Standardmäßig aus
VPN-Tunnel einbeziehen	VPN-Tunnel-Status erfassen. Standardmäßig an
VPN-Tunnel, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Tunneln. Ist ein ausgewählter Tunnel down oder fehlend, wird Critical gemeldet
Soll-SonicOS-Version	Optional. Setze auf die SonicOS-Version, gegen die die Aktualität geprüft werden soll. Leer lassen, um zu überspringen

Sophos XG / XGS (SNMP)

Die Sophos-SNMP-Oberfläche liest Live-Messwerte von der Appliance per SNMP: Speicher- und Disk-Auslastung (jeweils mit eigenem Warn- und Kritisch-Schwellwert), IPsec-VPN-Verbindungen sowie Interface-Status mit Fehlerzählern. Wähle sie statt Sophos XG / XGS (lokal), wenn du Live-Messwerte statt der Gateway-Signale der XML-API möchtest. Aktiviere zuerst SNMP auf der Appliance und lege eine v2c-Community oder einen SNMPv3-Benutzer mit Lesezugriff an — siehe die Dokumentation deines Firewall-Herstellers.

Feld	Beschreibung
Host / IP	Hostname oder IP der Appliance (ohne Schema)
SNMP-Version	`v2c` oder `v3`. Standard `v2c`
SNMP-Port	UDP-Port, auf dem die Appliance SNMP entgegennimmt. Standard `161`
Community (v2c)	Die Lese-Community. Standard `public`. Wird nur bei SNMP-Version `v2c` angezeigt
SNMPv3-Benutzer	Der SNMPv3-Benutzername. Wird nur bei SNMP-Version `v3` angezeigt
Auth-Protokoll (v3)	Authentifizierungsprotokoll für SNMPv3: `Keine`, `SHA-1` oder `SHA-256`. Standard `SHA-1`
Auth-Passwort (v3)	Authentifizierungs-Passwort. Wird angezeigt, wenn ein anderes Auth-Protokoll als `Keine` gewählt ist
Privacy-Protokoll (v3)	Verschlüsselungsprotokoll für SNMPv3: `Keine`, `AES-128`, `AES-192` oder `AES-256`. Standard `AES-128`
Privacy-Passwort (v3)	Privacy-Passwort. Wird angezeigt, wenn ein anderes Privacy-Protokoll als `Keine` gewählt ist
RAM-Warnung (%) / RAM-Kritisch (%)	Schwellwerte für die Speicherauslastung. Standard `85` / `95`
Disk-Warnung (%) / Disk-Kritisch (%)	Schwellwerte für die Disk-Auslastung. Standard `85` / `95`
Interfaces einbeziehen (IF-MIB)	Interface-Status und Fehlerzähler erfassen. Standardmäßig an
Interfaces, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Interfaces. Ist ein ausgewähltes Interface betrieblich down, wird Critical gemeldet
Warnen, wenn ein Interface down ist	Warnung, wenn ein Interface, das up sein sollte, betrieblich down ist. Standardmäßig aus
VPN-Tunnel einbeziehen	Status der IPsec-VPN-Verbindungen erfassen. Standardmäßig an. Eine Verbindung gilt nur als up, wenn sie vollständig aktiv ist — teilweise aktiv bedeutet, dass einzelne Tunnel down sind
VPN-Tunnel, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Tunneln. Ist ein ausgewählter Tunnel down oder fehlend, wird Critical gemeldet
Warnen, wenn ein VPN-Tunnel down ist	Warnung, wenn ein erkannter Tunnel down ist. Standardmäßig aus
Soll-Firmware-Version	Optional. Setze auf die Sophos-Firmware-Version, auf der das Gerät sein soll (z. B. `21.0.0 GA`). Leer lassen, um die Aktualitätsprüfung zu überspringen — die Appliance meldet die neueste verfügbare Version nicht. Eine genauere Version erfüllt die Vorgabe: `21.0.0 GA` erfüllt die Vorgabe `21.0.0`

Securepoint UTM (SNMP)

Die Securepoint-UTM-SNMP-Oberfläche liest Live-Messwerte von der Appliance per SNMP: CPU- und Speicherauslastung, die Anzahl der Verbindungen, VPN-Tunnel — IPsec, OpenVPN und WireGuard —, Interface-Status und den Sync-Status des HA-Clusters. Sie liest außerdem den Firmware-Stand und die verbleibenden Lizenztage, die die Appliance selbst meldet, und braucht daher keine Soll-Version. Aktiviere zuerst SNMP auf der Appliance und lege eine v2c-Community oder einen SNMPv3-Benutzer mit Lesezugriff an — siehe die Dokumentation deines Firewall-Herstellers.

Feld	Beschreibung
Host / IP	Hostname oder IP der Appliance (ohne Schema)
SNMP-Version	`v2c` oder `v3`. Standard `v2c`
SNMP-Port	UDP-Port, auf dem die Appliance SNMP entgegennimmt. Standard `161`
Community (v2c)	Die Lese-Community. Standard `public`. Wird nur bei SNMP-Version `v2c` angezeigt
SNMPv3-Benutzer	Der SNMPv3-Benutzername. Wird nur bei SNMP-Version `v3` angezeigt
Auth-Protokoll (v3)	Authentifizierungsprotokoll für SNMPv3: `Keine`, `SHA-1` oder `SHA-256`. Standard `SHA-1`
Auth-Passwort (v3)	Authentifizierungs-Passwort. Wird angezeigt, wenn ein anderes Auth-Protokoll als `Keine` gewählt ist
Privacy-Protokoll (v3)	Verschlüsselungsprotokoll für SNMPv3: `Keine`, `AES-128`, `AES-192` oder `AES-256`. Standard `AES-128`
Privacy-Passwort (v3)	Privacy-Passwort. Wird angezeigt, wenn ein anderes Privacy-Protokoll als `Keine` gewählt ist
CPU-Warnung (%) / CPU-Kritisch (%)	Schwellwerte für die CPU-Auslastung. Standard `85` / `95`
RAM-Warnung (%) / RAM-Kritisch (%)	Schwellwerte für die Speicherauslastung. Standard `85` / `95`
Interfaces einbeziehen (IF-MIB)	Interface-Status und Fehlerzähler erfassen. Standardmäßig an
Interfaces, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Interfaces. Ist ein ausgewähltes Interface betrieblich down, wird Critical gemeldet
Warnen, wenn ein Interface down ist	Warnung, wenn ein Interface, das up sein sollte, betrieblich down ist. Standardmäßig aus
VPN-Tunnel einbeziehen	VPN-Tunnel-Status über IPsec, OpenVPN und WireGuard erfassen. Standardmäßig an
VPN-Tunnel, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Tunneln. Ist ein ausgewählter Tunnel down oder fehlend, wird Critical gemeldet
Warnen, wenn ein VPN-Tunnel down ist	Warnung, wenn ein erkannter Tunnel down ist. Standardmäßig aus
HA einbeziehen	Cluster-Informationen erfassen. Standardmäßig an. Ein nicht synchronisierter Cluster löst eine Warnung aus, bei einem gemeldeten Sync-Fehler Critical
Lizenz-Warnung (Tage)	Eine Lizenz, die innerhalb dieser Tage abläuft, löst eine Warnung aus. Standard `30`

Check Point (SNMP)

Die Check-Point-SNMP-Oberfläche liest Live-Messwerte vom Gateway per SNMP: CPU-, Speicher- und Disk-Auslastung, die Anzahl aktiver Verbindungen, VPN-Tunnel, Interface-Status und HA-Status. Sie liest außerdem den Gesamtstatus des Gateways und den Ablauf seiner aktiven Lizenz-Blades. Aktiviere zuerst SNMP auf dem Gateway und lege eine v2c-Community oder einen SNMPv3-Benutzer mit Lesezugriff an — siehe die Dokumentation deines Firewall-Herstellers.

Feld	Beschreibung
Host / IP	Hostname oder IP des Gateways (ohne Schema)
SNMP-Version	`v2c` oder `v3`. Standard `v2c`
SNMP-Port	UDP-Port, auf dem das Gateway SNMP entgegennimmt. Standard `161`
Community (v2c)	Die Lese-Community. Standard `public`. Wird nur bei SNMP-Version `v2c` angezeigt
SNMPv3-Benutzer	Der SNMPv3-Benutzername. Wird nur bei SNMP-Version `v3` angezeigt
Auth-Protokoll (v3)	Authentifizierungsprotokoll für SNMPv3: `Keine`, `SHA-1` oder `SHA-256`. Standard `SHA-1`
Auth-Passwort (v3)	Authentifizierungs-Passwort. Wird angezeigt, wenn ein anderes Auth-Protokoll als `Keine` gewählt ist
Privacy-Protokoll (v3)	Verschlüsselungsprotokoll für SNMPv3: `Keine`, `AES-128`, `AES-192` oder `AES-256`. Standard `AES-128`
Privacy-Passwort (v3)	Privacy-Passwort. Wird angezeigt, wenn ein anderes Privacy-Protokoll als `Keine` gewählt ist
CPU-Warnung (%) / CPU-Kritisch (%)	Schwellwerte für die CPU-Auslastung. Standard `85` / `95`
RAM-Warnung (%) / RAM-Kritisch (%)	Schwellwerte für die Speicherauslastung. Standard `85` / `95`
Disk-Warnung (%) / Disk-Kritisch (%)	Schwellwerte für die Disk-Auslastung. Standard `85` / `95`
Interfaces einbeziehen (IF-MIB)	Interface-Status und Fehlerzähler erfassen. Standardmäßig an
Interfaces, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Interfaces. Ist ein ausgewähltes Interface betrieblich down, wird Critical gemeldet
Warnen, wenn ein Interface down ist	Warnung, wenn ein Interface, das up sein sollte, betrieblich down ist. Standardmäßig aus
VPN-Tunnel einbeziehen	VPN-Tunnel-Status erfassen, gruppiert nach Gegenstelle. Standardmäßig an
VPN-Tunnel, die up sein müssen	Auswahl aus den beim letzten Lauf erkannten Tunneln. Ist ein ausgewählter Tunnel down oder fehlend, wird Critical gemeldet
Warnen, wenn ein VPN-Tunnel down ist	Warnung, wenn ein erkannter Tunnel down ist. Standardmäßig aus
HA einbeziehen	Cluster-Informationen erfassen. Standardmäßig an. Meldet das Gateway ein HA-Problem, wird eine Warnung ausgelöst, bei HA-Status down Critical
Soll-Gaia-Version	Optional. Setzen, um die Aktualität gegen diese Gaia-Version zu prüfen (z. B. `R81.20`). Leer lassen, um zu überspringen
Lizenz-Warnung (Tage)	Ein aktives Lizenz-Blade, das innerhalb dieser Tage abläuft, löst eine Warnung aus. Standard `30`

Was löst einen Alarm aus?

Bedingung	Schweregrad
Konfiguration ist unvollständig (fehlende Host-, Zugangsdaten- oder Account-Felder)	Fehler
Authentifizierung gegen Appliance/Cloud fehlgeschlagen	Fehler
Appliance ist nicht erreichbar	Kritisch (mit Code `offline`)
Firmware passt nicht zur Latest-/Soll-Version (OPNsense, Sophos, FortiGate, WatchGuard, SonicWall, Securepoint UTM oder Check Point)	Warnung (`outdated`)
OPNsense hat nach dem Upgrade-Check ausstehende Paket-Upgrades	Warnung (`pending-updates`)
OPNsense meldet needs reboot	Warnung (`needs-reboot`)
OPNsense-Update-Mirror nicht erreichbar (Aktualitätsverdikt unzuverlässig)	Warnung (`update-check-unavailable`)
Sophos-Gateway ist offline	Warnung (`gateway-down`)
Check Point (SNMP): Das Gateway meldet ein Problem in seinem Gesamtstatus	Warnung (`health-not-ok`)
WatchGuard-Inventar liefert keine Fireboxes	Warnung (`no-devices`)
WatchGuard-Feature-Key, FortiGate-Lizenz, Securepoint-UTM-Lizenz oder Check-Point-Lizenz-Blade bereits abgelaufen	Kritisch (`license-expired`)
WatchGuard-Feature-Key, FortiGate-Lizenz, Securepoint-UTM-Lizenz oder Check-Point-Lizenz-Blade läuft innerhalb des Warnfensters ab	Warnung (`license-expiring`)
WatchGuard-ThreatSync meldet offene Vorfälle	Kritisch (`open-incidents`)
Eine SNMP-Oberfläche meldet CPU-, Speicher- oder Disk-Auslastung auf oder über dem Kritisch-Schwellwert	Kritisch (`cpu-high` / `ram-high` / `disk-high`)
Eine SNMP-Oberfläche meldet CPU-, Speicher- oder Disk-Auslastung auf oder über dem Warn-Schwellwert	Warnung (`cpu-high` / `ram-high` / `disk-high`)
Eine SNMP-Oberfläche: ein erforderlicher VPN-Tunnel ist down oder nicht gefunden	Kritisch (`vpn-required-down` / `vpn-required-missing`)
FortiGate, Sophos, Securepoint UTM oder Check Point (SNMP): ein erkannter VPN-Tunnel ist down (wenn die Warnung aktiviert ist)	Warnung (`vpn-any-down`)
Eine SNMP-Oberfläche: ein erforderliches Interface ist down oder nicht gefunden	Kritisch (`if-required-down` / `if-required-missing`)
Eine SNMP-Oberfläche: ein Interface, das up sein sollte, ist down (wenn die Warnung aktiviert ist)	Warnung (`if-any-down`)
FortiGate (SNMP) oder WatchGuard (SNMP): weniger HA-Cluster-Knoten sichtbar als erwartet	Kritisch (`ha-degraded`)
Securepoint UTM (SNMP) oder Check Point (SNMP): der Cluster meldet ein Sync- oder HA-Problem	Warnung, bei Sync-Fehler oder HA-Status down Kritisch (`ha-degraded`)
Alle Dimensionen sauber	OK

Tipps

Der Check läuft standardmäßig alle 15 Minuten — kurz genug, um einen Perimeter-Ausfall schnell zu erkennen, ohne die Management-Ebene der Appliance zu überlasten.
Verwende einen dedizierten Read-only-API-Benutzer, wo der Hersteller das erlaubt. Die OPNsense- und Sophos-APIs akzeptieren Zugangsdaten mit nur lesenden Berechtigungen für Status- und Firmware-Abfragen.
Für WatchGuard ist der ThreatSync-Vorfalls-Check best-effort — Accounts ohne ThreatSync-Abo geben einen Nicht-Erfolgs-Code zurück, und octoja überspringt diese Dimension still.
Wähle bei einer FortiGate die Oberfläche, die zu deinem Überwachungsziel passt: FortiGate (REST-API) für Firmware- und FortiGuard-Lizenzstatus oder FortiGate (SNMP) für Live-Messwerte zu CPU, Speicher, Disk, Sessions, VPN, HA und Interfaces. Du kannst beide Checks gegen dieselbe Appliance konfigurieren, wenn du beide Signalgruppen möchtest.
Bei Sophos XG / XGS hast du dieselbe Wahl: Sophos XG / XGS (lokal) für Firmware- und Gateway-Status über die XML-API oder Sophos XG / XGS (SNMP) für Live-Messwerte zu Speicher, Disk, VPN und Interfaces.
Die Auswahllisten Interfaces, die up sein müssen und VPN-Tunnel, die up sein müssen füllen sich aus dem, was der vorherige SNMP-Lauf erkannt hat. Führe den Check einmal aus und wähle danach die Namen aus, die du voraussetzen möchtest.
Wenn du mehrere Appliances desselben Herstellers schützt, konfiguriere einen Check pro Appliance. Alle lokalen API- und SNMP-Oberflächen sind appliance-lokal; nur die WatchGuard-(REST)-Oberfläche ist account-weit (ein Check deckt jede Firebox im Account ab).

Nach dem ersten Check-Intervall siehst du das Ergebnis im Checks-Tab des Geräts mit Online-Status, Firmware-Stand, Lizenzablauf (WatchGuard), offenen Vorfällen (WatchGuard) und einer Problemliste.

Siehe auch: Netzwerk-Firewall-Check-Referenz (Appliance)