Icinga2 muutmine, et kasutada CentOS 6 või CentOS 7 põhi-/kliendimudelit

Icinga2 on võimas seiresüsteem ja kui seda kasutatakse põhikliendi mudelis, võib see asendada vajaduse NRPE-põhiste seirekontrollide järele. Pea-kliendi mudel on erinevatel põhjustel turvalisem . See võimaldab ka hajutatumat jälgimist, võimaldades tšekke ühes serveris muuta ja teistele levitada. See annab ka ühe tsentraliseeritud asukoha muudatuste tegemiseks.

Näiteks: Oletame, et teil on 4 erinevat tasakaalustatud koormusega veebiserverit. Kui teate, et teil on tulemas koormuse järsk tõus (võib-olla müük või midagi, mille puhul ootate palju tegevust), võiksite tõsta taset, mille korral kõrge protsessori kasutuse korral süsteemiadministraatoreid hoiatatakse. Kui kasutate NRPE-kontrolle, peate minema igasse serverisse ja muutma nende /etc/nrpe.d/common_commands.cfgdokumenti. Master-kliendi mudelis saate lihtsalt muuta nende hosti määratlusi /etc/icinga2/repository.d/hosts/kaustas ja seejärel laadida Icinga uuesti. Tšekid levivad igasse serverisse ja võetakse automaatselt üles. Samuti saate /etc/icinga2/repository.d/services/faile muutes väga lihtsalt lisada tšekke ning need levivad ja tuvastatakse automaatselt seni, kuni lisandmoodulid on kliendiserverites olemas.

Eeltingimused

• Nimega serveri eksemplar, millel on juba installitud ja konfigureeritud Icinga2 ja Icingaweb2 ( juhised ) icinga2master.example.com.
• Värske Vultr CentOS 6 või 7 serveri eksemplar, mida soovite jälgida, kannab nime icinga2client.example.com.
• Sudo juurdepääs.

Osa sellest juhendist peegeldab ülaltoodud installijuhiseid, kuid seda tuleb teha klient-, mitte serverimasinas.

1. samm: värskendage süsteemi

Icinga pakettide installimiseks lisage kliendisüsteemi "ICINGA" repo.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

2. samm: installige vajalikud paketid

Installige vajalikud paketid.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 kasutab MySQL-i asemel MariaDB-d, seega on vajalikud paketid veidi erinevad. Käivitage teenused ja määrake need alglaadimisel käivituma.

sudo chkconfig icinga2 on
sudo service icinga2 start

Seadistage MySQL-teenus alglaadimisel käivituma ja käivitage see kohe, et saaksime seda kaitsta.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Turvaline MySQL/MariaDB installimine. Nii CentOS 6 kui ka 7 kasutavad sama käsku.

sudo mysql_secure_installation

Protsessi ajal vastake küsimustele, nagu näidatud:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Pange tähele, $newRootPasswordkuna vajate seda mitu korda ja selle lähtestamine on valus.

3. samm: seadistage andmebaas

Peate looma icingakasutajanime ja importima skeemi andmebaasi. Seda tehakse samamoodi nii CentOS 6 kui ka 7 puhul.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Järgmisena importige skeem äsja loodud andmebaasi.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Peate sisestama $newRootPasswordMySQL / MariaDB parooliga ajal kasutatud mysql_secure_installationkäsu eespool ei$someIcingaPassword olete äsja loodud -, et üks hiljem kasutatakse.

Lubage ido(andmebaasi) moodul.

sudo icinga2 feature enable ido-mysql

/etc/icinga2/features-enabled/ido-mysql.confAndmebaasi teabe lisamiseks peate faili redigeerima . Seda saate teha järgmise käsuga.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

Leidke sellest failist välja kommenteeritud read (alustage //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

...ja muutke neid äsja loodud kasutaja/parooli abil.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Veenduge, et eemaldate ridade kommentaarid, eemaldades kaks esimest kaldkriipsu.

Järgmisena taaskäivitage teenus muudatuste vastuvõtmiseks.

sudo service icinga2 restart

Peate lisama ühenduse kliendiserveri ja juba konfigureeritud Icinga2 ülemseadme vahel. Peate seda tegema kas CentOS 7 tulemüüri või CentOS 6 või 7 IPTablesi abil.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Nüüd redigeerige hostifaili, et lisada ülemfail kohaliku domeeninimena.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

4. samm: lähtestage juht

See samm tuleb teha Icinga2 masteril. Peate selle lähtestama ülemseadmena ja seejärel genereerima sertifikaadi allkirjastamise taotluse, mida teie klient kasutab suhtlemiseks.

sudo icinga2 node wizard

See käivitab sõlme viisardi, mis esitab mitu küsimust. Ekraan näeb välja järgmine ja teie antud vastused on loetletud.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Seejärel taaskäivitage muudatuste vastuvõtmiseks Icinga2.

sudo service icinga2 restart

Nüüd, kui see on juht, saate seda kasutada sertifikaadi allkirjastamise taotluse stringi genereerimiseks.

sudo icinga2 pki ticket --cn icinga2client.example.com

Sa saad mõne nööri $pkiString. Kopeerige see string, kuna vajate seda kliendil.

5. samm: lähtestage klient

Käivitage sõlmeviisard, et luua sertifikaadid ja ühenduda ülemseadmega.

sudo icinga2 node wizard

See kuvab ülaltooduga sarnase lehe. See leht on näidatud allpool koos vastustega.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Jätkake ja taaskäivitage Icinga2 muudatuste vastuvõtmiseks.

sudo icinga2 restart

See võib olla juba tehtud, kuid peate tagama, et käsud ja API funktsioonid on lubatud.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

If they weren't enabled, it will say "feature enabled", so you'll need to restart the Icinga2 daemon. But first, you need to change ownership of the files in the /etc/icinga2 directory, as some of them have the wrong permissions after running the node wizard. They should all have their owner and group set to icinga. Change the permissions by using the following command:

sudo chown -R icinga:icinga /etc/icinga2/

Now, you can restart the Icinga2 daemon.

sudo service icinga2 restart

Step 6: Configure the client

The client configuration requires editing a few different files.

• /etc/icinga2/zones.conf: Contains the endpoints (servers) and zones that contain them. This is how the servers are partitioned. Make sure the client names match the server names.
• /etc/icinga2/icinga2.conf: You are accepting commands and configs from the master, so you need to do a minor edit on this file to avoid duplicate command definitions.

First, we're going to modify the zones.conf file to define the server and the zone it's in, as well as creating a "global" zone for command definitions that are universal to ALL servers, instead of unique to each (such as disk checks).

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

It is important to know, there can only be 2 nodes per zone at the moment. You can make as many zones as you wish, but if there are more than 2 nodes per zone there is a chance that the Icinga2 service will not work properly. This is not a problem on the client, unless you already have 2 nodes in the zone clientZone, in which case you will need to make another zone name.

Now, make the modification in the /etc/icinga2/icinga2.conf file. You need to comment out the line include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Verify config to ensure that everything is formatted correctly.

sudo icinga2 daemon -C

Kui teil on õigustega probleeme, on selle põhjuseks tõenäoliselt üksuse omanik root:root. Otsige icinga:icingakuni lahendamiseks.

sudo chown -R icinga:icinga /etc/icinga2/

Konfiguratsioonidega on muidki probleeme, tavaliselt on sudo icinga2 daemon -Ckäsu väljundist saadav teave piisavalt üksikasjalik, et neid üles leida. Kõigi võimalike esilekerkivate probleemide käsitlemine ei kuulu selle juhendi reguleerimisalasse.

Kui kinnitamine õnnestub, laadige teenus uuesti:

sudo service icinga2 restart

Peate andma icingakasutajale sudo õigused, et käske saaks käivitada. Need sudo õigused on piiratud konkreetse pistikprogrammi kataloogiga. Selle saab lihtsalt faili lõppu panna.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Nüüd on kliendi seadistamine ametlikult lõpetatud. Te ei tohiks enam muudatusi teha, kõik teenusekontrollid konfigureeritakse ülemseadmes ja edastatakse kliendile. Siiski peate installima kõik täiendavad pistikprogrammid, mida võib vaja minna. Pistikprogramme saab kirjutada ka pythoni, perli, BASH, PHP ja muude skriptikeelte abil.

7. samm: lisage klient põhikonfiguratsiooni

Peate pöörduma tagasi ülemseadme juurde, et konfigureerida klient nii, et seda saaks ühendada. On vaja teha mõned sammud:

1. Lisa hosti konfiguratsioon repository.d.
2. Lisa host lõpp-punktina tsooni.
3. Konfigureerige kliendi jaoks kõik kontrollid. See on veidi selle juhendi kohaldamisalast väljas. Ma annan ainult põhiselgituse kaasatud sammude kohta.

Hosti konfiguratsioon sisestatakse /etc/icinga2/repository.d/hosts/icinga2client.example.com.conffaili.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Nüüd on host kliendi konfiguratsioonis olemas, kuid see tuleb panna tsooni. See tsoon asub /etc/icinga2/repository.d/zoneskaustas sama nimega kui tsooni nimi, et oleks lihtsam jälgida.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Järgmisena peate global-templatestsooni lisama .

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Lõpuks lisage kliendi lõpp-punkt, nii et lõpp-punktide massiiv "clientZone" täidetakse selle käivitamisel.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Lubadega seotud probleemide vältimiseks muutke uuesti omanikku/gruppi.

sudo chown -R icinga:icinga /etc/icinga2

Kontrollige konfiguratsiooni muudatusi, et veenduda, et probleeme pole enam.

sudo icinga2 daemon -C

Kui kinnitamine õnnestub, jätkake uuesti laadimisega.

sudo service icinga2 restart

Kui külastate oma Icinga2 veebisaiti, näete, et server muutub juurdepääsetavaks.

8. samm: kohandatud käsud ja kontrollid

Võib ilmneda veateade "käsku ei leitud" või "kontroll pole määratletud". Siin tuleb mängu globaalsete mallide tsoon. Peate konfiguratsiooni /etc/icinga2/conf.d/failidesse kopeerima ja failidesse panema /etc/icinga2/zones.d/global-templates/. Näiteks käsu "check_software" loomiseks peate tegema järgmist.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

software_service_check.shFaili pead olemas /usr/lib64/nagios/pluginskausta kliendi .

Järgmisena lisage /etc/icinga2/repository.d/hosts/services.conffaili teenuse kontroll .

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Peate õigusi uuesti muutma.

sudo chown -R icinga:icinga /etc/icinga2

Seejärel kontrollige konfiguratsiooni uuesti.

sudo icinga2 daemon -C

Lõpuks, kui see õnnestub, laadige uuesti:

sudo service icinga2 restart

Palju õnne! Kasutate nüüd Icinga2 põhikliendi mudelis ja saate nüüd vältida ebaturvaliste NRPE-kontrollide kasutamist!