Icinga2:n muokkaaminen käyttämään pää/asiakasmallia CentOS 6:ssa tai CentOS 7:ssä

Icinga2 on tehokas valvontajärjestelmä, ja master-client-mallissa käytettynä se voi korvata NRPE-pohjaisten valvontatarkastusten tarpeen. Master-client -malli on turvallisempi useista syistä . Se mahdollistaa myös hajautetun seurannan sallimalla tarkistusten muokkaamisen yhdellä palvelimella ja levittämisen muille. Se tarjoaa myös yhden keskitetyn paikan muutoksille.

Esimerkki: Oletetaan, että sinulla on 4 erilaista kuormitettua verkkopalvelinta. Jos tiedät, että kuormituspiikki on tulossa (ehkä alennusmyynti tai jotain, johon odotat paljon toimintaa), voit halutessasi lisätä tasoja, joilla korkea suorittimen käyttö hälyttää järjestelmänvalvojia. Jos käytät NRPE-tarkistuksia, sinun on siirryttävä jokaiseen palvelimeen ja muokattava kunkin palvelimen /etc/nrpe.d/common_commands.cfgasiakirjaa. Master-client-mallissa voit yksinkertaisesti muokata niiden /etc/icinga2/repository.d/hosts/isäntämäärityksiä kansiossa ja ladata sitten Icinga uudelleen. Tarkistukset etenevät jokaiselle palvelimelle ja noudetaan automaattisesti. Voit myös lisätä tarkistuksia erittäin helposti muokkaamalla /etc/icinga2/repository.d/services/tiedostoja, ja ne etenevät ja tunnistetaan automaattisesti niin kauan kuin laajennukset ovat olemassa asiakaspalvelimissa.

Edellytykset

• Palvelimen ilmentymä, jossa on jo asennettu ja määritetty Icinga2 ja Icingaweb2 ( ohjeet ) nimeltään icinga2master.example.com.
• Tuore Vultr CentOS 6 tai 7 -palvelinesiintymä, jota haluat valvoa nimeltä icinga2client.example.com.
• Sudo pääsy.

Osa tästä oppaasta heijastaa yllä lueteltuja asennusohjeita, mutta tämä on tehtävä asiakaskoneella, ei palvelinkoneella.

Vaihe 1: Päivitä järjestelmä

Asenna Icinga-paketit lisäämällä "ICINGA"-repo asiakasjärjestelmään.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Vaihe 2: Asenna tarvittavat paketit

Asenna tarvittavat paketit.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 käyttää MariaDB:tä MySQL:n sijaan, joten tarvittavat paketit ovat hieman erilaisia. Käynnistä palvelut ja aseta ne käynnistymään käynnistyksen yhteydessä.

sudo chkconfig icinga2 on
sudo service icinga2 start

Aseta MySQL-palvelu käynnistymään käynnistyksen yhteydessä ja käynnistä se nyt, jotta voimme suojata sen.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Suojaa MySQL/MariaDB-asennus. Sekä CentOS 6 että 7 käyttävät samaa komentoa.

sudo mysql_secure_installation

Vastaa prosessin aikana kysymyksiin kuvan mukaisesti:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Huomaa, $newRootPasswordettä tarvitset sitä useita kertoja, ja nollaus on tuskaa.

Vaihe 3: Määritä tietokanta

Sinun on luotava icingakäyttäjätunnus ja tuotava skeema tietokantaan. Tämä tehdään samalla tavalla sekä CentOS 6:ssa että 7:ssä.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Tuo seuraavaksi skeema juuri luomaasi tietokantaan.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Sinun täytyy syöttää $newRootPasswordMySQL / MariaDB salasanaa käytit mysql_secure_installationkomentoa yllä, ei$someIcingaPassword olet juuri luonut - että sellaista käytetään myöhemmin.

Ota ido(tietokanta) -moduuli käyttöön.

sudo icinga2 feature enable ido-mysql

Sinun on muokattava /etc/icinga2/features-enabled/ido-mysql.conftiedostoa, jotta voit lisätä tietokannan tiedot. Voit tehdä sen seuraavalla komennolla.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

Etsi kyseisestä tiedostosta rivit, jotka on kommentoitu (alkaa merkillä //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

...ja muokkaa niitä juuri luomallasi käyttäjällä/salasanalla.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Varmista, että poistat rivien kommentit poistamalla kaksi ensimmäistä kauttaviivaa.

Käynnistä sitten palvelu uudelleen muutosten havaitsemiseksi.

sudo service icinga2 restart

Sinun on lisättävä yhteys asiakaspalvelimen ja jo konfiguroidun Icinga2-isäntälaitteen välille. Sinun on tehtävä se käyttämällä joko palomuuria CentOS 7:ssä tai IPTablesia joko CentOS 6:ssa tai 7:ssä.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Muokkaa nyt isäntätiedostoa lisätäksesi pääpalvelimen paikalliseksi toimialueen nimeksi.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Vaihe 4: Alusta isäntä

Tämä vaihe on suoritettava Icinga2-masterilla. Sinun on alustettava se isäntänä ja luotava sitten varmenteen allekirjoituspyyntö, jota asiakkaasi käyttää viestintään.

sudo icinga2 node wizard

Tämä käynnistää ohjatun solmun, joka kysyy useita kysymyksiä. Näyttö näyttää seuraavalta, ja antamasi vastaukset on lueteltu.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Käynnistä sitten Icinga2 uudelleen muutosten havaitsemiseksi.

sudo service icinga2 restart

Nyt kun se on isäntä, voit käyttää sitä sertifikaatin allekirjoituspyyntömerkkijonon luomiseen.

sudo icinga2 pki ticket --cn icinga2client.example.com

Saat jonon $pkiString. Kopioi tämä merkkijono, koska tarvitset sitä asiakassovelluksessa.

Vaihe 5: Alusta asiakas

Suorita ohjattu solmutoiminto luodaksesi varmenteet ja muodostaaksesi yhteyden isäntälaitteeseen.

sudo icinga2 node wizard

Siitä tulee yllä olevaa vastaava sivu. Tämä sivu näkyy alla ja vastaukset mukana.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Siirry eteenpäin ja käynnistä Icinga2 uudelleen muutosten havaitsemiseksi.

sudo icinga2 restart

Tämä saattaa olla jo tehty, mutta sinun on varmistettava, että komento- ja API-ominaisuudet ovat käytössä.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

If they weren't enabled, it will say "feature enabled", so you'll need to restart the Icinga2 daemon. But first, you need to change ownership of the files in the /etc/icinga2 directory, as some of them have the wrong permissions after running the node wizard. They should all have their owner and group set to icinga. Change the permissions by using the following command:

sudo chown -R icinga:icinga /etc/icinga2/

Now, you can restart the Icinga2 daemon.

sudo service icinga2 restart

Step 6: Configure the client

The client configuration requires editing a few different files.

• /etc/icinga2/zones.conf: Contains the endpoints (servers) and zones that contain them. This is how the servers are partitioned. Make sure the client names match the server names.
• /etc/icinga2/icinga2.conf: You are accepting commands and configs from the master, so you need to do a minor edit on this file to avoid duplicate command definitions.

First, we're going to modify the zones.conf file to define the server and the zone it's in, as well as creating a "global" zone for command definitions that are universal to ALL servers, instead of unique to each (such as disk checks).

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

It is important to know, there can only be 2 nodes per zone at the moment. You can make as many zones as you wish, but if there are more than 2 nodes per zone there is a chance that the Icinga2 service will not work properly. This is not a problem on the client, unless you already have 2 nodes in the zone clientZone, in which case you will need to make another zone name.

Now, make the modification in the /etc/icinga2/icinga2.conf file. You need to comment out the line include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Verify config to ensure that everything is formatted correctly.

sudo icinga2 daemon -C

If you get permissions problems, it's likely because the item is owned by root:root. Chown to icinga:icinga to resolve.

sudo chown -R icinga:icinga /etc/icinga2/

There are other issues with the configs, generally the information given from the output of the sudo icinga2 daemon -C command will be verbose enough to track them down. Addressing every potential issue that arises is outside the scope of this guide.

If the verification succeeds, go ahead and reload the service:

sudo service icinga2 restart

You'll need to give the icinga user sudo permissions so that the commands can be run. These sudo permissions will be restricted to the specific plugin directory. This can just be put at the end of the file.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Nyt asiakkaan konfigurointi on virallisesti valmis. Sinun ei tarvitse tehdä enempää muutoksia, kaikki palvelun tarkistukset määritetään isäntäkoneelle ja ne etenevät asiakkaalle. Sinun on kuitenkin asennettava mahdollisesti tarvittavat lisälaajennukset. Laajennukset voidaan kirjoittaa myös käyttämällä python-, perl-, BASH-, PHP- ja muita komentosarjakieliä.

Vaihe 7: Lisää asiakas pääkokoonpanoon

Sinun on palattava isäntäkoneeseen määrittääksesi asiakkaan, jotta se voidaan yhdistää. On suoritettava muutama vaihe:

1. Lisää isäntämääritykset kohteeseen repository.d.
2. Lisää isäntä vyöhykkeeseen päätepisteeksi.
3. Määritä mahdolliset tarkistukset asiakkaalle. Tämä on hieman tämän oppaan soveltamisalan ulkopuolella. Annan vain perusselvityksen asiaan liittyvistä vaiheista.

Isäntäkokoonpano syötetään /etc/icinga2/repository.d/hosts/icinga2client.example.com.conftiedostoon.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Nyt isäntä on olemassa asiakkaan kokoonpanossa, mutta se on asetettava vyöhykkeelle. Tämä vyöhyke on /etc/icinga2/repository.d/zoneskansiossa samalla nimellä kuin vyöhykkeen nimi, jotta sitä on helpompi seurata.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Seuraavaksi sinun on lisättävä global-templatesvyöhyke.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Lisää lopuksi asiakkaan päätepiste niin, että "clientZone"-päätepistetaulukko täytetään sen suoritettaessa.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Varmista, että käyttöoikeusongelmia ei ole, vaihda omistaja/ryhmä uudelleen.

sudo chown -R icinga:icinga /etc/icinga2

Tarkista kokoonpanomuutokset varmistaaksesi, että ongelmia ei enää ole.

sudo icinga2 daemon -C

Jos vahvistus onnistuu, jatka lataamista.

sudo service icinga2 restart

Jos vierailet Icinga2-verkkosivustollasi, näet palvelimen olevan käytettävissä.

Vaihe 8: Mukautetut komennot ja tarkistukset

Saatat kohdata virheitä "komentoa ei löydy" tai "tarkistusta ei ole määritetty". Tässä tulee esiin globaalien mallien vyöhyke. Sinun on kopioitava asetukset /etc/icinga2/conf.d/tiedostoihin ja tallennettava ne /etc/icinga2/zones.d/global-templates/tiedostoihin. Jos esimerkiksi haluat luoda "check_software"-komennon, sinun on tehtävä seuraava.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

software_service_check.shTiedosto täytyy olemassa /usr/lib64/nagios/pluginskansioon asiakkaalle .

Lisää seuraavaksi palvelun tarkistus /etc/icinga2/repository.d/hosts/services.conftiedostoon.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Sinun on muutettava käyttöoikeuksia uudelleen.

sudo chown -R icinga:icinga /etc/icinga2

Tarkista sitten asetukset uudelleen.

sudo icinga2 daemon -C

Lopuksi, jos se onnistuu, lataa uudelleen:

sudo service icinga2 restart

Onnittelut! Käytät nyt Icinga2:ta master-client-mallissa ja voit nyt välttää turvattomien NRPE-tarkistusten käytön!