Häufig gestellte Fragen
Schnelle Antworten zu Installation, Erkennung, Funktionen, Lizenzierung und Fehlersuche.
Erste Schritte
Welche Betriebssysteme unterstützt Osprey?
Osprey läuft unter Linux (amd64). Debian-Pakete stehen für Debian 12 (Bookworm), Debian 13 (Trixie) und Ubuntu 24.04 LTS bereit.
Was sind die Mindestanforderungen an das System?
Mindestens 2 GB RAM (4 GB empfohlen), ein Linux-Server mit amd64-Architektur und Netzwerkzugriff auf Ihre Router über GRE-Tunnel oder SNMP. PostgreSQL 15+ wird benötigt und vom Paket automatisch installiert.
Wie installiere ich Osprey?
Fügen Sie das APT-Repository unter
deb.wijnberg.net hinzu und führen Sie anschließend sudo apt install osprey aus. Das Paket konfiguriert PostgreSQL, NATS, nginx, TLS-Zertifikate und alle Osprey-Dienste automatisch. Eine Schritt-für-Schritt-Anleitung finden Sie auf der Download-Seite. Wie lauten die Standard-Anmeldedaten?
Benutzername
admin, Passwort admin. Bei der ersten Anmeldung müssen Sie das Standardpasswort ändern, bevor Sie irgendeine andere Funktion nutzen können. Konfiguriert das Installationsprogramm alles automatisch?
Ja. Das Debian-Paket installiert alle Abhängigkeiten (PostgreSQL, nginx, Message Bus), legt die Datenbank an, erzeugt TLS-Zertifikate und Secrets, führt die Migrationen aus und startet alle Dienste. Direkt nach der Installation können Sie sich anmelden.
Topologie-Erkennung
Worin unterscheiden sich Erkennung über GRE und über SNMP?
Die Erkennung über einen GRE-Tunnel bildet eine echte IGP-Nachbarschaft (OSPF oder IS-IS) — Osprey erhält die vollständige LSDB beziehungsweise LSP-Datenbank und sieht Änderungen in dem Moment, in dem sie geschehen. Die Erkennung über SNMP fragt die Router in Intervallen ab und läuft dabei die Tabellen der OSPF-MIB, OSPFv3-MIB oder ISIS-MIB durch. GRE liefert sofortige Updates; SNMP kommt ohne Tunnelkonfiguration auf der Router-Seite aus.
Injiziert Osprey Routen in mein Netzwerk?
Nein. Osprey ist strikt passiv. Selbst bei GRE-Tunneln werden die OSPF-Kosten hoch gesetzt (Standard 1000) und die Priorität auf null, sodass Osprey niemals Designated Router wird. IS-IS-GRE-Tunnel verwenden die maximale Wide Metric (16777215), um eine Nutzung als Transit zu verhindern. Die BGP-Transparenz ist über BMP (RFC 7854) rein empfangend.
Kann ich GRE und SNMP in derselben Area gleichzeitig nutzen?
Ja. Eine Area kann gleichzeitig einen GRE-Collector und einen SNMP-Collector betreiben. Das ist nützlich, um Echtzeit-Updates über GRE mit SNMP-basierten Traffic-Statistiken zu kombinieren.
Kann Osprey mein gesamtes Netzwerk von einem einzigen Router aus erkennen?
Mit der SNMP-Erkennung ja — setzen Sie auf einem Seed-Gerät den Haken bei "Crawl multi-area (BFS through ABR neighbors)", und Osprey arbeitet sich über die ABRs nach außen vor, bis die gesamte OSPF-Domäne erfasst ist. Für IS-IS gibt es das Gegenstück "Crawl multi-level (BFS through L1L2 neighbors)". Mit GRE brauchen Sie einen Tunnel je Area.
Welche Routing-Protokolle werden unterstützt?
OSPFv2 (IPv4), OSPFv3 (IPv6, einschließlich der IPv4-Adressfamilien-Erweiterungen nach RFC 5838), IS-IS (ISO 10589, sowohl L1 als auch L2, mit den Adressfamilien CLNS, IPv4 und IPv6), EIGRP (passiv über SNMP, IPv4 und IPv6) sowie BGP (über BMP, RFC 7854). Zusätzlich zur gerouteten Topologie erkennt Osprey MPLS-Dienste (TE-Tunnel, L3VPNs und L2VPN-Pseudowires) über SNMP sowie EVPN-Instanzen über BMP. Ein Gerät, auf dem mehrere davon laufen, wird protokollübergreifend automatisch korreliert. Teilen sich mehrere Protokolle eine physische Verbindung, verschmelzen die Kanten auf dem Canvas zu einer Ansicht mit Registerkarten je Protokoll.
Unterstützt Osprey EIGRP?
Ja, nur lesend. EIGRP hat keine synchronisierte Link-State-Datenbank, in die hinein sich eine Nachbarschaft aufbauen ließe. Osprey liest es deshalb vollständig passiv aus der
CISCO-EIGRP-MIB über den vorhandenen SNMP-Poller — was zugleich bedeutet, dass die EIGRP-Erkennung auf Cisco-Plattformen beschränkt ist. Sie erhalten Nachbarn und Interface-Status für IPv4 und IPv6, klassischen und Named Mode, je VRF und je AS. Da es keine gemeinsame Datenbank gibt, wird die Topologie aus den Nachbartabellen rekonstruiert, genauso wie bei Layer 2, und auf das LLDP/CDP-Gefüge aufgesetzt. Pfade folgen dem installierten Successor jedes Routers und melden die echte zusammengesetzte Metrik (FD) statt einer geliehenen IGP-Metrik, wobei gleichwertige Geschwister als Varianten gezeigt werden. Administrative Distanz, Alarmierung bei ausgefallenen Nachbarn und ein EIGRP-Recorder, den Sie wie jedes andere Protokoll hinzufügen und einschalten, sind ebenfalls enthalten, und eine EIGRP-Domäne nimmt in beide Richtungen an der AS-übergreifenden Pfadanalyse teil. Unterstützt Osprey IS-IS?
Ja. Die IS-IS-Erkennung läuft über GRE (echte Nachbarschaft mit NET-Adressierung) oder über SNMP (ISIS-MIB, RFC 4444, mit Rückfall auf die Cisco-ISIS-MIB für ältere IOS-Versionen). Level-1-, Level-2- und L1/L2-Router werden vollständig unterstützt, standardmäßig mit Wide Metrics (bis 16.777.215). Für IS-IS-Pfade über IPv4/IPv6 lassen sich SR-MPLS-Label-Stacks über TLV 242 auslesen.
Überwacht Osprey BGP?
Ja, passiv über BMP (BGP Monitoring Protocol, RFC 7854). Ihre Router senden Peer-Status und RIB-Updates an den BMP-Server von Osprey auf TCP-Port 11019 — ohne Polling. Osprey unterstützt die Modi
loc_rib (Best Paths des Routers), adj_rib_in_post (alle empfangenen Routen nach Policy) sowie reines Peer-Monitoring. BGP-Routen lassen sich nach exaktem Präfix, Longest Match oder abgedeckten Präfixen durchsuchen, und die ECMP-Analyse ist eingebaut. Die BGP-AS-Flow-Ansicht animiert auf einer Zeitachse, wie Routen zwischen autonomen Systemen wandern, mit Movers-Diff und Detailansicht je AS, und die Best-Path-Historie jedes einzelnen Präfixes lässt sich Schritt für Schritt wiedergeben. Ist die Aufzeichnung der Historie aktiviert, zeigt Time Travel echte Best Paths und Peer-Sitzungen genau zum gewählten Zeitpunkt. Bei Routern, die kein BMP exportieren können, werden die BGP-Sitzungen über SNMP erkannt. Unterstützt Osprey MPLS?
Ja. MPLS-TE-Tunnel (RFC 3812), L3VPNs (RFC 4364/4382) und L2VPN-Pseudowires (RFC 5601, einschließlich des vorstandardisierten Cisco-Dialekts) werden über SNMP im normalen Poll-Zyklus erkannt — ohne Konfiguration über den SNMP-Zugriff hinaus. VRFs je PE werden nach Route-Target zu L3VPNs zusammengefasst und als Full Mesh oder Hub-and-Spoke klassifiziert, Pseudowires zu VPWS-Verbindungen und VPLS-Instanzen. Die Auswahl eines Dienstes hebt seine Mitglieder auf dem Canvas hervor. Die Erkennung wird je Netzwerk mit einem Schalter auto / an / aus gesteuert; Tunnel-Reroutes sowie ausgefallene VRFs und Pseudowires fließen in die Incident-Korrelation ein.
Unterstützt Osprey EVPN?
Ja. Wenn Ihre Fabric EVPN fährt, erfasst Osprey es ohne zusätzliche Konfiguration aus demselben BMP-Feed: E-LAN- und EVPN-VPWS-Instanzen (RFC 7432), VXLAN- oder MPLS-Kapselung, MAC-/IP-Zähler je PE und Ethernet Segments. MAC-Mobilität (ein Host wechselt zwischen PEs) und das Ausscheiden eines PE aus einer Instanz erscheinen als korrelierte Incident-Symptome — abgesichert gegen Stürme, damit ein Broadcast-Sturm nie zu einer Ereignisflut wird.
Kann Osprey Pfade über AS-Grenzen hinweg berechnen?
Ja. Liegen Quelle und Ziel in verschiedenen AS oder Mandantennetzen, setzt das Pfadwerkzeug die IGP-Segmente entlang der BGP-AS-Kette zusammen — jedes Segment mit eigenen Kosten und einer Verlässlichkeitsstufe (aufgelöst, abgeleitet oder undurchsichtig), und die eBGP-Übergänge werden auf dem Canvas gezeichnet. Die administrative Distanz wird protokollübergreifend genau so berücksichtigt, wie Ihre Router sie berücksichtigen. Innerhalb einer Domäne ist der Pfad eine Hop-für-Hop-Weiterleitungskette: Jeder Hop ist die Entscheidung aus der Routing-Tabelle des jeweiligen Routers statt ein von der Quelle aus berechneter kürzester Pfad, mit Metrik, Routentyp und der vollständigen installierten Equal-Cost-Menge — dazu Erklärungen je Hop, CLNS-Traceroute für IS-IS und SR-MPLS-Label-Stacks. Stellen Sie eine IPv6-Frage, erhalten Sie eine IPv6-Antwort oder eine Erklärung, warum es keinen IPv6-Pfad gibt — niemals einen IPv4-Pfad, der als IPv6-Pfad ausgegeben wird.
Erkennt Osprey Layer 2?
Ja. LLDP- und CDP-Nachbarn werden über SNMP-Walks automatisch erkannt. Osprey gleicht L2-Nachbarn mit der L3-Topologie über eine fünfstufige Identitätskaskade ab (Chassis-ID, Management-IP, Router-ID, Interface-IP, Hostname). Ein zuschaltbares L2-Overlay zeigt Switches und Layer-2-Verbindungen neben der IGP-Topologie auf dem Canvas. Das Switch-Crawling arbeitet mit BFS und filtert nach Plattform, um Access Points, Telefone und Fabric-Interconnects auszuschließen.
Welche SNMP-Versionen werden unterstützt?
SNMPv2c und SNMPv3. Bei v3 werden alle Sicherheitsstufen unterstützt: noAuthNoPriv, authNoPriv und authPriv. Zur Authentifizierung stehen MD5 und die vollständige SHA-2-Familie zur Verfügung (SHA-1, SHA-224, SHA-256, SHA-384, SHA-512), zur Verschlüsselung DES sowie AES-128, AES-192 und AES-256 — Sie werden also nicht auf veraltete Verfahren zurückgeworfen.
Funktionen
Was ist Time Travel?
Mit Time Travel spulen Sie über einen Zeitachsenregler durch die Topologie-Historie zurück. Sie sehen genau, wie Ihr Netzwerk zu einem beliebigen Zeitpunkt aussah — welche Geräte liefen, welche Verbindungen aktiv waren und welche IGP-Metriken galten. Ist die Aufzeichnung der BGP-Historie aktiviert, zeigt dieselbe Zeitachse echte BGP-Best-Paths und Peer-Sitzungen genau zu diesem Zeitpunkt — Osprey gibt niemals Live-BGP-Daten als historische aus. Nützlich für die Analyse nach einem Vorfall.
Welche Diagnosen bietet Osprey?
Topologie-Gesundheit, IP-Konflikte (doppelte Router-IDs / IPs / Präfixe / externe Konflikte), Single Points of Failure (Artikulationspunkte und Brücken-Links), Routing-Stabilität (flappende Links und instabile Geräte), Congestion-Trend, Timer-Konsistenz (OSPF und IS-IS — paarweise Abweichungen und einheitliche, aber vom Standard abweichende Timer), MTU-Abweichungen, OSPF-Best-Practices und Abhängigkeitsanalyse (Peer-AS, kritische Paare, SRLG-Ausfallwirkung). Alle Berichte sind durchsuchbar, sortierbar und als CSV exportierbar.
Was ist der Engineering Mode?
Der Engineering Mode ist die What-if-Simulation von Osprey. Sie können Links und Knoten ausfallen lassen, IGP-Metriken ändern, hypothetische Router und Links hinzufügen und SRLG-Ausfallgruppen modellieren — alles, ohne Ihr Produktivnetz anzufassen. SPF wird serverseitig neu berechnet, mit einem nach RFC 2328 korrekten Multi-Area-Dijkstra (OSPF) beziehungsweise einem nach ISO 10589 korrekten Multi-Level-Dijkstra (IS-IS). Die Stapelbewertung geht jeden Link oder Knoten durch, um Ihre kritischsten Ausfallpunkte zu finden. Szenarien lassen sich speichern und wieder laden, und der Modus lässt sich mit Time Travel kombinieren, um vergangene Ausfälle mit vorgeschlagenen Korrekturen erneut durchzuspielen. Die Simulation deckt OSPF und IS-IS ab; EIGRP bleibt bewusst außen vor, weil sich die zusammengesetzte Metrik von DUAL aus dem, was SNMP offenlegt, nicht neu berechnen lässt. Statt zu raten, zeigt Osprey den Pfad, den die Router tatsächlich gewählt haben, und sagt klar, dass es für diesen Bereich keine What-if-Antwort gibt.
Kann ich die Topologie exportieren?
Ja. Osprey exportiert nach Visio (.vsdx), SVG und PNG. Sie können außerdem eigene Symbolpakete hochladen, um herstellerspezifische Gerätesymbole in Ihren Exporten zu verwenden.
Wie funktioniert die Alarmierung?
Osprey erzeugt Alarme für Topologieänderungen (Gerät verfügbar/ausgefallen, Änderungen an Links, Änderungen an Metriken) und fasst zusammengehörige Ereignisse zu Incidents zusammen. Fällt zum Beispiel ein Router aus und reißt fünf Verbindungen mit, sehen Sie einen Incident statt sechs einzelner Alarme.
Kann ich mich aus Osprey heraus per SSH auf Geräte verbinden?
Ja. Osprey bringt ein SSH-Terminal im Browser mit. Klicken Sie mit der rechten Maustaste auf ein Gerät auf dem Canvas und wählen Sie "SSH to …", um direkt eine Sitzung zu öffnen. Telnet steht für Altgeräte als Rückfallebene bereit, ist aber standardmäßig deaktiviert — ein Administrator muss es erst freischalten.
Überwacht Osprey Traffic und Bandbreite?
Ja, über SNMP-Polling. Osprey erfasst Interface-Statistiken (Traffic, Fehler, Auslastung) und stellt sie auf dem Topologie-Canvas dar. Verbindungen lassen sich nach Auslastungsgrad einfärben.
Authentifizierung und Zugriff
Können sich Benutzer über unseren vorhandenen Identity Provider anmelden?
Ja — auf drei Wegen. OpenID Connect (Entra ID, Okta, Keycloak oder jeder OIDC-konforme Provider) nutzt einen serverseitigen Authorization-Code-Flow mit verpflichtendem PKCE. SAML 2.0 wird als Service Provider unterstützt, mit SP-initiierter Anmeldung, signierter Anfrage und vollständiger Prüfung der Assertion — Signatur, Audience, Gültigkeit und die Prüfung, dass die Antwort zu der Anfrage gehört, die Osprey tatsächlich gestellt hat, sodass unaufgeforderte und wiedereingespielte Assertions abgewiesen werden. LDAP- und Active-Directory-Konten melden sich über das normale Formular mit Benutzername und Passwort an, ohne separate Schaltfläche: LDAPS oder StartTLS, Gruppenzugehörigkeit über
memberOf, ein Gruppensuchfilter für Verzeichnisse ohne das Overlay sowie verschachtelte AD-Gruppen. In allen drei Fällen werden Benutzer bei der ersten Anmeldung angelegt, und ihre Rolle folgt Ihrer Gruppenzuordnung. Unterstützt Osprey Zwei-Faktor-Authentifizierung?
Ja, TOTP für lokale Konten, mit jeder gängigen Authenticator-App. Die Einrichtung erfolgt selbstständig über einen serverseitig erzeugten QR-Code — das Secret verlässt nie das System in Richtung eines externen Dienstes — und einmalig nutzbare Wiederherstellungscodes werden bei der Einrichtung einmal angezeigt. Enthalten ohne Aufpreis, in jeder Lizenz einschließlich der kostenlosen Evaluierung.
Lassen sich Benutzerkonten automatisch anlegen und wieder entziehen?
Ja, über SCIM 2.0 (RFC 7644). Ihr Identity Provider kann Osprey-Konten anlegen, aktualisieren und deaktivieren, wenn Mitarbeitende dazukommen, die Rolle wechseln oder gehen. SCIM authentifiziert sich mit einem eigenen Bearer-Token — getrennt von Sitzungscookies und API-Keys — das sowohl ein Ablaufdatum als auch ein Widerrufskennzeichen trägt.
Was passiert, wenn unser Identity Provider nicht erreichbar ist?
Lokale Konten funktionieren neben jedem konfigurierten Provider weiter, und Osprey liefert für genau diesen Fall eine Kommandozeile zur Wiederherstellung mit — damit ein IdP-Ausfall, ein falsch konfigurierter Provider oder ein verlorenes Administratorkonto Sie nie aus Ihrem eigenen Monitoring aussperrt.
Sind Anmeldevorgänge nachvollziehbar?
Ja. Anmeldung, fehlgeschlagene Anmeldung (mit Grund), Abmeldung, Passwortänderung und Versuche, ein Refresh-Token erneut einzuspielen, landen alle im Audit Log, das sich nach Benutzer, Aktion, Objekt und Zeitraum filtern und als CSV exportieren lässt. Aktive Sitzungen sind unter Administration mit IP und User Agent sichtbar und können einzeln oder je Benutzer zwangsweise beendet werden.
Lizenzierung
Gibt es eine kostenlose Version?
Ja. Die kostenlose Evaluierungslizenz unterstützt bis zu 32 Geräte mit allen Funktionen und ohne Zeitlimit. Eine Kreditkarte ist nicht erforderlich.
Wie wird Osprey für den Produktivbetrieb lizenziert?
Über die kostenlose Evaluierung hinaus nutzen Produktivumgebungen eine kostenpflichtige Lizenz, die auf Ihre Netzwerkgröße zugeschnitten ist. Schreiben Sie an sales@wijnberg.net für Lizenzoptionen und Konditionen.
Was zählt als "Gerät"?
Ein Gerät ist jeder Router, der in Ihrer Topologie erscheint — erkannt über OSPF, IS-IS, EIGRP, BGP oder SNMP. Jeder eindeutige Router (identifiziert über Router-ID oder IS-IS-System-ID) zählt als ein Gerät. Reine Layer-2-Switches, die über LLDP/CDP erkannt werden, zählen nicht gegen die Lizenz. Die Lizenzierung ist rein knotenbasiert: Keine Funktion hängt an einer Stufe, sodass Single Sign-on, Simulation und jede andere Fähigkeit auch in der kostenlosen Evaluierung verfügbar sind.
Was passiert, wenn das Limit der kostenlosen Stufe überschritten wird?
Osprey erkennt und zeigt Ihre Topologie weiter, Geräte jenseits des Limits von 32 werden aber mit einem Lizenzhinweis dargestellt. Während der Evaluierung bleiben alle Funktionen nutzbar.
Gibt es eine Enterprise-Option?
Ja. Die Enterprise-Lizenzierung bietet individuelle Konditionen, Mandantenfähigkeit und Volumenlizenzen. Schreiben Sie an sales@wijnberg.net für Details.
Betrieb und Architektur
Welche Dienste betreibt Osprey?
Fünf systemd-Dienste: die Engine (Topologieverarbeitung, SPF, Ereigniskorrelation), den API-Server (REST-API, WebSocket, SSH-Proxy), den Collector Manager (GRE-Tunnel und IGP-Nachbarschaften), den SNMP Poller (Erkennung, Traffic-Zähler, L2-Crawling, MPLS und EIGRP) und den BMP Server (BGP-Peers und -RIBs auf TCP 11019). Die Kommunikation zwischen den Diensten läuft über NATS. Alle Dienste werden über
osprey.target als eine Gruppe verwaltet. Wo werden die Daten gespeichert?
Alle Daten liegen in PostgreSQL auf Ihrem eigenen Server. Osprey ist vollständig selbst gehostet — es verlassen keine Daten Ihre Infrastruktur.
Wie sichere ich Osprey?
Osprey bietet unter Administration eine vollständige Datenbanksicherung und -wiederherstellung. Sie können außerdem eine portable Konfigurationssicherung exportieren, die alle Hierarchiedefinitionen, Benutzer und Einstellungen enthält.
Funktioniert Osprey mit Routern beliebiger Hersteller?
Ja. Osprey ist herstellerunabhängig — es arbeitet mit jedem Gerät, das OSPF, IS-IS, BGP (BMP), LLDP oder CDP spricht. Dazu zählen Cisco, Juniper, Arista, Nokia, Mikrotik und praktisch jede moderne Netzwerkplattform. Die einzige Ausnahme ist EIGRP: Das ist ein Cisco-Protokoll und wird aus der Cisco-EIGRP-MIB gelesen, weshalb die EIGRP-Erkennung nur Cisco-Plattformen abdeckt.
Wie aktualisiere ich Osprey?
Bei einer Installation über APT genügt
sudo apt update && sudo apt upgrade osprey. Das Paket übernimmt Datenbankmigrationen und Neustarts der Dienste automatisch. Fehlersuche
Ich kann mich nicht anmelden — was sollte ich prüfen?
Prüfen Sie, dass Sie HTTPS verwenden (nicht HTTP), dass Cookies in Ihrem Browser aktiviert sind und dass Sie das selbstsignierte Zertifikat akzeptiert haben. Ist Ihr Konto wegen fehlgeschlagener Versuche gesperrt, warten Sie die Sperrdauer ab (Standard 15 Minuten) oder lassen Sie es von einem anderen Administrator entsperren.
Nach dem Hinzufügen eines Collectors sehe ich keine Topologiedaten.
Prüfen Sie, ob der Collector in der Seitenleiste einen grünen Status zeigt. Bei GRE: IP-Erreichbarkeit prüfen und sicherstellen, dass Hello- und Dead-Intervalle von OSPF auf beiden Seiten übereinstimmen. Bei SNMP: Erreichbarkeit mit
snmpwalk testen und die Firewall-Regeln für UDP 161 prüfen. Sehen Sie sich die Protokolle des Collector Managers mit journalctl -u osprey-collector-manager -f an. Ein Dienst wird im Zustandspanel als "Down" angezeigt.
Prüfen Sie mit
systemctl status osprey-engine (oder dem passenden Dienstnamen), ob der Dienst läuft. Sehen Sie sich die Protokolle mit journalctl -u osprey-engine -n 50 an. Am häufigsten ist eine Abhängigkeit (PostgreSQL oder der Message Bus) stehengeblieben — starten Sie sie neu, und der Osprey-Dienst erholt sich innerhalb von 15 Sekunden. Veraltete Geräte verschwinden nicht vom Canvas.
Nicht erreichbare Geräte bleiben für die eingestellte Aufbewahrungsdauer sichtbar (Standard 7 Tage). Sie können das unter Admin > System Settings > Topology > Stale Device Retention verkürzen. Sie können ein veraltetes Gerät auch per Rechtsklick manuell löschen.
Wie prüfe ich, welche Version ich einsetze?
Führen Sie auf der Kommandozeile
osprey version aus oder sehen Sie in der Fußzeile der Osprey-Weboberfläche nach. Noch Fragen?
Im vollständigen Benutzerhandbuch finden Sie die ausführliche Dokumentation, oder melden Sie sich über das Kontaktformular.