Πώς να παρακολουθείτε με ασφάλεια απομακρυσμένους διακομιστές χρησιμοποιώντας το Zabbix στο CentOS 7

Εγκαταστήστε και ρυθμίστε τις παραμέτρους PostgreSQL

Ρυθμίστε έναν παράγοντα Zabbix στο διακομιστή

Ρυθμίστε το Agent σε απομακρυσμένες μηχανές Linux

Το Zabbix είναι ένα δωρεάν και ανοιχτού κώδικα λογισμικό έτοιμο για επιχειρήσεις που χρησιμοποιείται για την παρακολούθηση της διαθεσιμότητας συστημάτων και στοιχείων δικτύου. Το Zabbix μπορεί να παρακολουθεί χιλιάδες διακομιστές, εικονικές μηχανές ή στοιχεία δικτύου ταυτόχρονα. Το Zabbix μπορεί να παρακολουθεί σχεδόν οτιδήποτε σχετίζεται με ένα σύστημα, όπως CPU, μνήμη, χώρο στο δίσκο και IO, διεργασίες, δίκτυο, βάσεις δεδομένων, εικονικές μηχανές και υπηρεσίες web. Εάν παρέχεται πρόσβαση IPMI στο Zabbix, τότε μπορεί επίσης να παρακολουθεί το υλικό, όπως θερμοκρασία, τάση και ούτω καθεξής.

Προαπαιτούμενα

Μια παρουσία διακομιστή Vultr CentOS 7.
Ένας χρήστης sudo .

Για αυτό το σεμινάριο, θα χρησιμοποιήσουμε 192.0.2.1ως δημόσια διεύθυνση IP του διακομιστή Zabbix και 192.0.2.2ως δημόσια διεύθυνση IP ενός κεντρικού υπολογιστή Zabbix τον οποίο θα παρακολουθούμε εξ αποστάσεως. Βεβαιωθείτε ότι έχετε αντικαταστήσει όλες τις εμφανίσεις του παραδείγματος διεύθυνσης IP με τις πραγματικές σας δημόσιες διευθύνσεις IP.

Ενημερώστε το βασικό σας σύστημα χρησιμοποιώντας τον οδηγό Πώς να ενημερώσετε το CentOS 7 . Αφού ενημερωθεί το σύστημά σας, προχωρήστε στην εγκατάσταση των εξαρτήσεων.

Εγκαταστήστε Apache και PHP

Κατά την εγκατάσταση του Zabbix web, δημιουργεί αυτόματα τη διαμόρφωση για τον Apache.

Εγκαταστήστε το Apache για να εξυπηρετήσετε τη διεπαφή Zabbix ή τη διεπαφή ιστού.

sudo yum -y install httpd

Εκκινήστε το Apache και ενεργοποιήστε το να ξεκινά αυτόματα κατά την εκκίνηση.

sudo systemctl start httpd
sudo systemctl enable httpd

Προσθέστε και ενεργοποιήστε το Remiαποθετήριο, καθώς το προεπιλεγμένο YUMαποθετήριο περιέχει μια παλαιότερη έκδοση της PHP.

sudo rpm -Uvh http://rpms.remirepo.net/enterprise/remi-release-7.rpm
sudo yum -y install yum-utils
sudo yum-config-manager --enable remi-php71

Εγκαταστήστε την πιο πρόσφατη έκδοση της PHP μαζί με τις ενότητες που απαιτούνται από το Zabbix.

sudo yum -y install php php-cli php-gd php-bcmath php-ctype php-xml php-xmlreader php-xmlwriter php-session php-sockets php-mbstring php-gettext php-ldap php-pgsql php-pear-Net-Socket

Εγκαταστήστε και ρυθμίστε τις παραμέτρους PostgreSQL

Το PostgreSQL είναι ένα αντικειμενοσχεσιακό σύστημα βάσης δεδομένων. Θα χρειαστεί να προσθέσετε το αποθετήριο PostgreSQL στο σύστημά σας, καθώς το προεπιλεγμένο αποθετήριο YUM περιέχει μια παλαιότερη έκδοση της PostgreSQL.

sudo rpm -Uvh https://download.postgresql.org/pub/repos/yum/9.6/redhat/rhel-7-x86_64/pgdg-centos96-9.6-3.noarch.rpm

Εγκαταστήστε τον διακομιστή βάσης δεδομένων PostgreSQL.

sudo yum -y install postgresql96-server postgresql96-contrib

Αρχικοποιήστε τη βάση δεδομένων.

sudo /usr/pgsql-9.6/bin/postgresql96-setup initdb

initdb δημιουργεί ένα νέο σύμπλεγμα βάσεων δεδομένων, το οποίο είναι μια ομάδα βάσεων δεδομένων που διαχειρίζεται ένας μόνο διακομιστής.

Επεξεργαστείτε το pg_hba.confγια να ενεργοποιήσετε τον έλεγχο ταυτότητας βάσει MD5.

sudo nano /var/lib/pgsql/9.6/data/pg_hba.conf

Βρείτε τις ακόλουθες γραμμές και αλλάξτε peerσε trustκαι idnetσε md5.

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# "local" is for Unix domain socket connections only
local   all             all                                     peer
# IPv4 local connections:
host    all             all             127.0.0.1/32            idnet
# IPv6 local connections:
host    all             all             ::1/128                 idnet

Μόλις ενημερωθεί, η διαμόρφωση θα πρέπει να μοιάζει όπως φαίνεται παρακάτω.

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# "local" is for Unix domain socket connections only
local   all             all                                     trust
# IPv4 local connections:
host    all             all             127.0.0.1/32            md5
# IPv6 local connections:
host    all             all             ::1/128                 md5

Εκκινήστε τον διακομιστή PostgreSQL και ενεργοποιήστε τον να ξεκινά αυτόματα κατά την εκκίνηση.

sudo systemctl start postgresql-9.6
sudo systemctl enable postgresql-9.6

Αλλάξτε τον passwordπροεπιλεγμένο χρήστη PostgreSQL.

sudo passwd postgres

Συνδεθείτε ως χρήστης PostgreSQL.

sudo su - postgres

Δημιουργήστε έναν νέο χρήστη PostgreSQL για το Zabbix.

createuser zabbix

Μεταβείτε στο κέλυφος PostgreSQL.

psql

Ορίστε έναν κωδικό πρόσβασης για τον χρήστη της βάσης δεδομένων που δημιουργήθηκε πρόσφατα για τη βάση δεδομένων Zabbix.

ALTER USER zabbix WITH ENCRYPTED password 'StrongPassword';

Δημιουργήστε μια νέα βάση δεδομένων για το Zabbix.

CREATE DATABASE zabbix OWNER zabbix;

Έξοδος από το psqlκέλυφος.

\q

Μετάβαση στον sudoχρήστη από τον τρέχοντα postgresχρήστη.

exit

Εγκαταστήστε το Zabbix

Το Zabbix παρέχει δυαδικά αρχεία για το CentOS, τα οποία μπορούν να εγκατασταθούν απευθείας από το αποθετήριο Zabbix. Προσθέστε το αποθετήριο Zabbix στο σύστημά σας.

sudo rpm -ivh http://repo.zabbix.com/zabbix/3.4/rhel/7/x86_64/zabbix-release-3.4-1.el7.centos.noarch.rpm

Εγκαταστήστε Zabbix serverκαι Zabbix web.

sudo yum -y install zabbix-server-pgsql zabbix-web-pgsql

Εισαγάγετε τη βάση δεδομένων PostgreSQL.

zcat /usr/share/doc/zabbix-server-pgsql-3.4.*/create.sql.gz | psql -U zabbix zabbix

Θα πρέπει να δείτε κάτι παρόμοιο με το παρακάτω στο τέλος της εξόδου.

...
INSERT 0 1
INSERT 0 1
COMMIT

Ανοίξτε το αρχείο διαμόρφωσης Zabbix για να ενημερώσετε τις λεπτομέρειες της βάσης δεδομένων.

sudo nano /etc/zabbix/zabbix_server.conf

Βρείτε τις ακόλουθες γραμμές και ενημερώστε τις τιμές σύμφωνα με τη διαμόρφωση της βάσης δεδομένων σας. Θα χρειαστεί να αποσχολιάσετε τις γραμμές DBHostκαι DBPort.

DBHost=localhost
DBName=zabbix
DBUser=zabbix
DBPassword=StrongPassword
DBPort=5432

Το Zabbix εγκαθιστά αυτόματα το αρχείο εικονικού κεντρικού υπολογιστή για τον Apache. Θα χρειαστεί να διαμορφώσουμε τον εικονικό κεντρικό υπολογιστή για ενημέρωση της ζώνης ώρας και της έκδοσης PHP.

sudo nano /etc/httpd/conf.d/zabbix.conf

Βρείτε τις παρακάτω γραμμές.

<IfModule mod_php5.c>
...
#php_value date.timezone Europe/Riga

Εφόσον χρησιμοποιούμε την έκδοση 7 της PHP, θα πρέπει επίσης να ενημερώσετε την mod_phpέκδοση. Ενημερώστε τις γραμμές σύμφωνα με τη ζώνη ώρας σας όπως φαίνεται παρακάτω.

<IfModule mod_php7.c>
...
php_value date.timezone Asia/Kolkata

Τώρα επανεκκινήστε τον Apache για να εφαρμόσετε αυτές τις αλλαγές στη διαμόρφωση.

sudo systemctl restart httpd

Εκκινήστε τον διακομιστή Zabbix και ενεργοποιήστε τον να ξεκινά αυτόματα κατά την εκκίνηση.

sudo systemctl start zabbix-server
sudo systemctl enable zabbix-server

Θα πρέπει να έχετε τον διακομιστή Zabbix να τρέχει τώρα. Μπορείτε να ελέγξετε την κατάσταση της διαδικασίας εκτελώντας αυτό.

sudo systemctl status zabbix-server

Τροποποιήστε το τείχος προστασίας για να επιτρέψετε το πρότυπο HTTPκαι τη HTTPSθύρα. Θα χρειαστεί επίσης να επιτρέψετε τη θύρα 10051μέσω του τείχους προστασίας, το οποίο θα χρησιμοποιηθεί από το Zabbix για να λάβει τα συμβάντα από τον πράκτορα Zabbix που εκτελούνται σε απομακρυσμένα μηχανήματα.

sudo firewall-cmd --zone=public --permanent --add-service=http
sudo firewall-cmd --zone=public --permanent --add-service=https
sudo firewall-cmd --zone=public --permanent --add-port=10051/tcp
sudo firewall-cmd --reload

To access the administration dashboard, you can open http://192.0.2.1/zabbix using your favorite browser. You will see a welcome message. You should have all the prerequisites satisfied on the next interface. Follow the instructions on the installer page to install the software. Once the software has been installed, login using the username Admin and password zabbix. Zabbix is now installed and ready to collect the data from the Zabbix agent.

Setup a Zabbix Agent on the Server

To monitor the server on which Zabbix is installed, you can set up the agent on the server. The Zabbix agent will gather the event data from the Linux server to send it to the Zabbix server. By default, port 10050 is used to send the events and data to the server.

Install the Zabbix agent.

sudo yum -y install zabbix-agent

Start the agent and enable it to automatically start at boot.

sudo systemctl start zabbix-agent
sudo systemctl enable zabbix-agent

The communication between the Zabbix agent and the Zabbix server is done locally, thus there is no need to set up any encryption.

Before the Zabbix server can receive any data, you need to enable the host. Login to the web administration dashboard of the Zabbix server and go to Configuration >> Host. You will see a disabled entry of the Zabbix server host. Select the entry and click on the "Enable" button to enable the monitoring of the Zabbix server application and the base CentOS system on which the Zabbix server is installed.

Setup the Agent on Remote Linux Machines

There are three methods by which a remote Zabbix agent can send events to the Zabbix server. The first method is to use an unencrypted connection, and the second is using a secured pre-shared key. The third and most secure way is to encrypt the transmission using RSA certificates.

Before we proceed to install and configure the Zabbix agent on the remote machine, we need to generate the certificates on the Zabbix server system. We will use self-signed certificates.

Run the following commands on the Zabbix server as a sudo user.

Create a new directory to store Zabbix keys and generate the private key for the CA.

mkdir ~/zabbix-keys && cd ~/zabbix-keys
openssl genrsa -aes256 -out zabbix-ca.key 4096

It will ask you for a passphrase to protect the private key. Once the private key has been generated, proceed to generate the certificate for the CA.

openssl req -x509 -new -key zabbix-ca.key -sha256 -days 3560 -out zabbix-ca.crt

Δώστε τη φράση πρόσβασης του ιδιωτικού κλειδιού. Θα σας ζητήσει μερικές λεπτομέρειες σχετικά με τη χώρα, την πολιτεία, τον οργανισμό σας. Δώστε τις λεπτομέρειες ανάλογα.

[user@vultr zabbix-keys]$ openssl req -x509 -new -key zabbix-ca.key -sha256 -days 3560 -out zabbix-ca.crt
Enter passphrase for `zabbix-ca.key`:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:IN
State or Province Name (full name) []:My State
Locality Name (eg, city) [Default City]:My City
Organization Name (eg, company) [Default Company Ltd]:My Organization
Organizational Unit Name (eg, section) []:My Unit
Common Name (eg, your name or your server's hostname) []:Zabbix CA
Email Address []:[email protected]

Δημιουργήσαμε με επιτυχία το πιστοποιητικό CA. Δημιουργήστε το ιδιωτικό κλειδί και το CSR για τον διακομιστή Zabbix.

openssl genrsa -out zabbix-server.key 2048
openssl req -new -key zabbix-server.key -out zabbix-server.csr

Μην παρέχετε μια φράση πρόσβασης για την κρυπτογράφηση του ιδιωτικού κλειδιού κατά την εκτέλεση της παραπάνω εντολής. Χρησιμοποιώντας το CSR, δημιουργήστε το πιστοποιητικό για τον διακομιστή Zabbix.

openssl x509 -req -in zabbix-server.csr -CA zabbix-ca.crt -CAkey zabbix-ca.key -CAcreateserial -out zabbix-server.crt -days 1825 -sha256

Παρομοίως, δημιουργήστε το ιδιωτικό κλειδί και το CSR για τον κεντρικό υπολογιστή ή τον πράκτορα Zabbix.

openssl genrsa -out zabbix-host1.key 2048
openssl req -new -key zabbix-host1.key -out zabbix-host1.csr

Τώρα δημιουργήστε το πιστοποιητικό.

openssl x509 -req -in zabbix-host1.csr -CA zabbix-ca.crt -CAkey zabbix-ca.key -CAcreateserial -out zabbix-host1.crt -days 1460 -sha256

Αντιγράψτε τα πιστοποιητικά στον κατάλογο διαμόρφωσης Zabbix.

sudo mkdir /etc/zabbix/keys
sudo cp zabbix-ca.* zabbix-server.* /etc/zabbix/keys

Παρέχετε την ιδιοκτησία των πιστοποιητικών στον Zabbixχρήστη.

sudo chown -R zabbix: /etc/zabbix/keys

Ανοίξτε το αρχείο διαμόρφωσης του διακομιστή Zabbix για να ενημερώσετε τη διαδρομή των πιστοποιητικών.

sudo nano /etc/zabbix/zabbix_server.conf

Βρείτε αυτές τις γραμμές στο αρχείο ρυθμίσεων και αλλάξτε τις όπως φαίνεται.

TLSCAFile=/etc/zabbix/keys/zabbix-ca.crt
TLSCertFile=/etc/zabbix/keys/zabbix-server.crt
TLSKeyFile=/etc/zabbix/keys/zabbix-server.key

Αποθηκεύστε το αρχείο και βγείτε από το πρόγραμμα επεξεργασίας. Κάντε επανεκκίνηση του διακομιστή Zabbix, ώστε να εφαρμοστεί η αλλαγή στη διαμόρφωση.

sudo systemctl restart zabbix-server

Αντιγράψτε τα πιστοποιητικά χρησιμοποιώντας την scpεντολή στον κεντρικό υπολογιστή που θέλετε να παρακολουθήσετε.

cd ~/zabbix-keys
scp zabbix-ca.crt zabbix-host1.* [email protected]:~

Βεβαιωθείτε ότι έχετε αντικαταστήσει 192.0.2.2με την πραγματική διεύθυνση IP του απομακρυσμένου κεντρικού υπολογιστή στον οποίο θέλετε να εγκαταστήσετε τον παράγοντα Zabbix.

Εγκαταστήστε το Zabbix Host

Τώρα που αντιγράψαμε τα πιστοποιητικά στο κεντρικό σύστημα, είμαστε έτοιμοι να εγκαταστήσουμε τον παράγοντα Zabbix.

Από εδώ και στο εξής, όλες οι εντολές πρέπει να εκτελούνται στον κεντρικό υπολογιστή που θέλετε να παρακολουθήσετε .

Προσθέστε το αποθετήριο Zabbix στο σύστημα.

sudo rpm -ivh http://repo.zabbix.com/zabbix/3.4/rhel/7/x86_64/zabbix-release-3.4-1.el7.centos.noarch.rpm

Εγκαταστήστε τον παράγοντα Zabbix στο σύστημα.

sudo yum -y install zabbix-agent

Μετακινήστε το κλειδί και τα πιστοποιητικά στον κατάλογο διαμόρφωσης Zabbix.

sudo mkdir /etc/zabbix/keys
sudo mv ~/zabbix-ca.crt ~/zabbix-host1.* /etc/zabbix/keys/

Παρέχετε την ιδιοκτησία των πιστοποιητικών στον χρήστη Zabbix.

sudo chown -R zabbix: /etc/zabbix/keys

Ανοίξτε το αρχείο διαμόρφωσης του παράγοντα Zabbix για να ενημερώσετε τη διεύθυνση IP του διακομιστή και τη διαδρομή προς το κλειδί και τα πιστοποιητικά.

sudo nano /etc/zabbix/zabbix_agentd.conf

Βρείτε την ακόλουθη γραμμή και κάντε τις απαραίτητες αλλαγές για να φαίνονται όπως φαίνεται παρακάτω.

Server=192.0.2.1                    # Replace with actual Zabbix server IP
ServerActive=192.0.2.1              # Replace with actual Zabbix server IP
Hostname=Zabbix host1               # Provide a appropriate name or hostname

Το όνομα κεντρικού υπολογιστή πρέπει να είναι μια μοναδική συμβολοσειρά που δεν καθορίζεται για κανένα άλλο σύστημα κεντρικού υπολογιστή. Σημειώστε το όνομα κεντρικού υπολογιστή καθώς θα χρειαστεί να ορίσουμε το ακριβές όνομα κεντρικού υπολογιστή στον διακομιστή Zabbix.

Επιπλέον, ενημερώστε τις τιμές αυτών των παραμέτρων.

TLSConnect=cert
TLSAccept=cert
TLSCAFile=/etc/zabbix/keys/zabbix-ca.crt
TLSCertFile=/etc/zabbix/keys/zabbix-host1.crt
TLSKeyFile=/etc/zabbix/keys/zabbix-host1.key

Τώρα, επανεκκινήστε τον παράγοντα Zabbix και ενεργοποιήστε τον να ξεκινά αυτόματα κατά την εκκίνηση.

sudo systemctl restart zabbix-agent
sudo systemctl enable zabbix-agent

Έχετε διαμορφώσει με επιτυχία τον παράγοντα Zabbix στο κεντρικό σύστημα. Περιηγηθείτε στον πίνακα ελέγχου διαχείρισης Zabbix στο https://192.0.2.1/zabbixγια να προσθέσετε τον πρόσφατα διαμορφωμένο κεντρικό υπολογιστή.

Μεταβείτε Configuration >> Hostsκαι κάντε κλικ στο Create Hostκουμπί στην επάνω δεξιά γωνία.