OPNexus unter Windows installieren

Vorab: Was du wissen solltest

• Entwickelt und getestet wird OPNexus unter Linux. Unter Windows läuft derselbe Stack in Docker Desktop. Dieser Weg ist nicht auf jeder Windows-Version geprüft; Rückmeldungen sind willkommen.
• Für den Dauerbetrieb ist ein Linux-Server oder eine Linux-VM besser. Docker Desktop startet erst nach der Anmeldung am Rechner und hält an, wenn der Rechner schläft. Dann gibt es in dieser Zeit weder Überwachung noch Benachrichtigungen. Für Ausprobieren, ein Büro-Rechner mit Dauerbetrieb oder ein Testaufbau ist Windows gut geeignet.
• Windows Server: Docker Desktop wird dort nicht unterstützt. Nimm eine Linux-VM (Hyper-V oder VMware) und folge der Linux-Anleitung im Handbuch.
• Lizenz von Docker Desktop: Für Privatpersonen, Ausbildung, Open-Source-Projekte und kleine Unternehmen kostenlos, für größere Unternehmen kostenpflichtig. Die aktuellen Bedingungen stehen bei Docker.

Voraussetzungen

• Windows 11 oder Windows 10 (64 Bit, aktuelle Version) und Administratorrechte für die Einrichtung.
• Hardware-Virtualisierung im BIOS/UEFI eingeschaltet (meist Standard; im Task-Manager unter „Leistung › CPU“ steht „Virtualisierung: Aktiviert“).
• Genug Arbeitsspeicher für Docker neben deinen übrigen Programmen; 8 GB im Rechner sind ein sinnvoller Mindestwert.
• Die Ports 80 und 443 sind frei (kein IIS, kein anderer lokaler Webserver). Prüfen in PowerShell: netstat -ano | findstr ":443" – keine Ausgabe heißt frei.
• Der Rechner erreicht deine OPNsense-Firewalls per HTTPS (zum Beispiel im selben Netz oder über ein VPN).

Schritt 1: WSL 2 einrichten

Öffne PowerShell als Administrator (Rechtsklick auf „Start“ › „Terminal (Administrator)“) und installiere WSL mit Ubuntu:

wsl --install

Starte Windows danach neu. Beim ersten Start von „Ubuntu“ (Startmenü) legst du einen Benutzernamen und ein Passwort für die Linux-Umgebung an. Ob WSL 2 aktiv ist, zeigt:

wsl -l -v

In der Spalte „VERSION“ muss 2 stehen.

Schritt 2: Docker Desktop installieren

1. Lade Docker Desktop für Windows von docker.com und installiere es mit der Option „Use WSL 2 instead of Hyper-V“.
2. Starte Docker Desktop und warte, bis unten links „Engine running“ steht.
3. Öffne Settings › Resources › WSL Integration, schalte „Enable integration with my default WSL distro“ und dein Ubuntu ein und wähle „Apply & restart“.
4. Unter Settings › General ist „Start Docker Desktop when you sign in to your computer“ empfehlenswert.

Öffne ein Ubuntu-Fenster und prüfe beides:

docker version
docker compose version

Beide Befehle müssen eine Version ausgeben, ohne Fehler.

Schritt 3: OPNexus installieren

Alle folgenden Befehle gibst du im Ubuntu-Fenster ein. Lege OPNexus im Linux-Dateisystem ab (nicht unter /mnt/c): Das ist deutlich schneller, und das Werkzeug opnexus für Updates und Sicherungen läuft dort.

Lade das aktuelle Release-Bundle von der Release-Seite (Datei opnexus-X.Y.Z.tar.gz). Ersetze X.Y.Z unten durch die Versionsnummer:

mkdir -p ~/opnexus && cd ~/opnexus
curl -LO https://git.opnexus.dev/opnexus/opnexus/releases/download/vX.Y.Z/opnexus-X.Y.Z.tar.gz
tar xzf opnexus-X.Y.Z.tar.gz && cd opnexus-X.Y.Z
install -m 600 .env.example .env
nano .env

Funktioniert curl bei dir nicht, lade die Datei im Browser herunter und kopiere sie in den Ordner ~/opnexus; im Windows-Explorer erreichst du ihn über \\wsl$\Ubuntu\home\DEIN-NAME\opnexus.

In der .env setzt du mindestens POSTGRES_PASSWORD auf ein eigenes, langes Passwort (Speichern in nano: Strg+O, Enter, Strg+X). ADMIN_PASSWORD kannst du leer lassen; dann erzeugt OPNexus eines. Starte den Stack:

docker compose pull && docker compose up -d --no-build
./opnexus password

Der letzte Befehl zeigt das Anmeldepasswort für den Benutzer admin einmalig an. Das Herunterladen der Images dauert beim ersten Mal einige Minuten. docker compose ps zeigt, dass alle Dienste laufen und „healthy“ sind.

Schritt 4: Anmelden

Öffne im Browser https://localhost. OPNexus nutzt eine eigene Zertifizierungsstelle, deshalb zeigt der Browser zunächst eine Warnung; die Verbindung ist trotzdem verschlüsselt. Melde dich mit admin und dem angezeigten Passwort an. Danach führt der Einrichtungsassistent durch das eigene Passwort, die Zwei-Faktor-Anmeldung und die erste Firewall.

Die Warnung beseitigen: Importiere die Zertifizierungsstelle einmal als vertrauenswürdig.

1. Lade https://localhost/opnexus-ca.crt herunter (im Browser über „Weiter zur Seite“).
2. Vergleiche den Fingerabdruck, bevor du importierst: In PowerShell zeigt certutil -hashfile opnexus-ca.crt SHA256 den SHA-256-Wert der Datei. Im Ubuntu-Fenster liefert docker compose exec -T proxy cat /data/caddy/pki/authorities/local/root.crt | openssl x509 -noout -fingerprint -sha256 den Wert des Servers. Beide müssen übereinstimmen (die Doppelpunkte zählen nicht).
3. Importiere die Datei: Doppelklick › „Zertifikat installieren“ › „Lokaler Computer“ (oder „Aktueller Benutzer“) › „Alle Zertifikate in folgendem Speicher speichern“ › Vertrauenswürdige Stammzertifizierungsstellen. Oder in einer Administrator-PowerShell: certutil -addstore -f "ROOT" opnexus-ca.crt.
4. Starte den Browser neu. Firefox hat einen eigenen Speicher: Einstellungen › Datenschutz & Sicherheit › Zertifikate anzeigen › Zertifizierungsstellen › Importieren.

Aus dem Netz erreichen

Sollen andere Rechner OPNexus öffnen, trägst du in der .env die Adresse deines Windows-Rechners ein (hier beispielhaft 10.0.0.5; sie sollte fest vergeben sein, zum Beispiel per DHCP-Reservierung):

OPNEXUS_SITES=10.0.0.5
OPNEXUS_DEFAULT_SNI=10.0.0.5
FRONTEND_ORIGIN=https://10.0.0.5
COOKIE_SECURE=true
TRUST_PROXY_HEADERS=true

Dann docker compose up -d im Ubuntu-Fenster. Importiere die Zertifizierungsstelle auf jedem Rechner, der OPNexus nutzt (Schritt 4, mit der Adresse statt localhost). Erreicht ein anderer Rechner die Seite nicht, erlaubt die Windows-Firewall den Port 443 noch nicht. In einer Administrator-PowerShell:

New-NetFirewallRule -DisplayName "OPNexus HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow -Profile Private

Beschränke die Regel auf das Netz, aus dem OPNexus erreichbar sein soll. Die Einzelheiten zu Adressen, Namen und TLS stehen im Handbuch. Veröffentliche OPNexus nicht ungeschützt im Internet.

Betrieb: aktualisieren, sichern, beenden

Alles im Ubuntu-Fenster, im Ordner ~/opnexus/opnexus-X.Y.Z:

Ausführlich beschreibt die Dokumentation des Werkzeugs das Aktualisieren. Vorsicht: docker compose down -v löscht auch die Datenbank. Der Befehl ist nur für das endgültige Entfernen gedacht.

Die Updates per Klick im Webinterface (optionaler Updater-Container) sind unter Windows nicht geprüft; nutze dort ./opnexus update.

Fehlerbehebung

Weitere Hilfe steht im Handbuch.