OPNsense `config.xml` anonymisieren

Entfernt Passwörter, private Schlüssel und weitere schutzbedürftige Angaben aus einer OPNsense-Konfigurationsdatei. Das Ergebnis bleibt gültiges XML und ist weiterhin mit dem Auswertungswerkzeug opnsense_audit.py analysierbar.

Läuft vollständig im Browser – die Datei wird nicht übertragen

1. Konfigurationsdatei wählen

Datei hierher ziehen oder klicken Erwartet wird eine aus OPNsense exportierte config.xml

2. Umfang festlegen

Geheimnisse

Passwörter, Schlüssel und sonstige Geheimnisse Passwort-Hashes, private Schlüssel, IPsec-Pre-Shared-Keys, WireGuard-Schlüssel, OpenVPN-TLS-Schlüssel, TOTP-Seeds, API-Schlüssel, SNMP-Communities, hinterlegte SSH-Public-Keys, RADIUS- und LDAP-Zugangsdaten. Passwort-Hashes behalten ihr Algorithmus-Präfix, damit die Prüfung auf veraltete Hash-Verfahren weiterhin greift.

Identifizierende Angaben

Hostnamen, Domänen und E-Mail-Adressen Ersetzt durch example.invalid und fortlaufende Platzhalter – konsistent über die gesamte Datei, auch innerhalb von Beschreibungen.

Öffentliche IP-Adressen Abbildung auf die Dokumentationsbereiche nach RFC 5737 (192.0.2.0/24, 198.51.100.0/24, 203.0.113.0/24). Netzstruktur bleibt erhalten.

Private IP-Adressen Bildet jedes /16 konsistent auf einen 10.x-Bereich ab und behält die letzten beiden Oktette. Subnetz- und DHCP-Bereichsprüfungen bleiben dadurch gültig. Standardmäßig aus, weil RFC-1918-Adressen selten schutzbedürftig sind und die Befunde ohne sie leichter nachvollziehbar bleiben.

MAC-Adressen Konsistente Abbildung auf 02:00:00:xx:xx:xx (lokal verwaltete Adressen).

Benutzer- und Gruppennamen Ersetzt durch benutzer1, gruppe1 … einschließlich aller Verweise. Nachteil: Befunde lassen sich dann keiner Person mehr zuordnen. root, admins und wheel bleiben erhalten, da Prüfungen darauf aufbauen.

Beschreibungen und Kommentare Leert selbst gepflegte Regel- und Objektbeschreibungen, in denen häufig Kunden-, Projekt- oder Personennamen stehen. Nachteil: die Beurteilung des Regelwerks verliert deutlich an Aussagekraft, und alle Regeln erscheinen als undokumentiert.

Zertifikate

Zertifikate vollständig entfernen Die öffentlichen Zertifikate selbst enthalten keine Geheimnisse (die privaten Schlüssel werden ohnehin immer entfernt), wohl aber Organisations- und Hostnamen. Nachteil: Ablaufdatum, Schlüssellänge und Signaturverfahren sind dann nicht mehr prüfbar.