Promjena Icinga2 za korištenje modela Master/Client na CentOS 6 ili CentOS 7

Icinga2 je moćan sustav praćenja, a kada se koristi u modelu master-client, može zamijeniti potrebu za provjerama praćenja na temelju NRPE. Model master-client je sigurniji iz različitih razloga . Također omogućuje više distribuirano praćenje dopuštajući da se provjere modificiraju na jednom poslužitelju i šire na druge. Također daje jedno centralizirano mjesto za promjene.

Na primjer: Recimo da imate 4 različita web-poslužitelja s uravnoteženim opterećenjem. Ako znate da će vam se dogoditi porast opterećenja (možda prodaja ili nešto za što očekujete puno aktivnosti), možda biste željeli povećati razine na kojima visoka upotreba CPU-a upozorava administratore sustava. Ako koristite NRPE provjere, morat ćete otići na svaki poslužitelj i izmijeniti /etc/nrpe.d/common_commands.cfgdokument na svakom od njih. U modelu master-client, možete jednostavno izmijeniti njihove definicije hosta u /etc/icinga2/repository.d/hosts/mapi, a zatim ponovno učitati Icingu. Provjere će se proširiti na svaki poslužitelj i automatski će se preuzeti. Također možete vrlo jednostavno dodati provjere modificiranjem /etc/icinga2/repository.d/services/datoteka, a one će se automatski širiti i prepoznati, sve dok dodaci postoje na klijentskim poslužiteljima.

Preduvjeti

• Instanca poslužitelja s već instaliranim i konfiguriranim Icinga2 i Icingaweb2 ( uputama ) pod nazivom icinga2master.example.com.
• Svježa instanca poslužitelja Vultr CentOS 6 ili 7 koju želite pratiti pod nazivom icinga2client.example.com.
• Sudo pristup.

Neki od ovih vodiča odražavat će gore navedene upute za instalaciju, ali to se mora učiniti na klijentskom stroju, a ne na poslužitelju.

Korak 1: Ažurirajte sustav

Dodajte "ICINGA" repo u klijentski sustav da instalirate Icinga pakete.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Korak 2: Instalirajte potrebne pakete

Instalirajte potrebne pakete.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 koristi MariaDB umjesto MySQL, tako da su potrebni paketi malo drugačiji. Pokrenite usluge i postavite ih da se pokreću pri pokretanju.

sudo chkconfig icinga2 on
sudo service icinga2 start

Postavite MySQL uslugu da se pokrene pri pokretanju i pokrenite je sada kako bismo je mogli osigurati.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Osigurajte instalaciju MySQL/MariaDB. I CentOS 6 i 7 koriste istu naredbu.

sudo mysql_secure_installation

Tijekom procesa odgovorite na pitanja kao što je prikazano:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Zabilježite $newRootPasswordkako će vam trebati nekoliko puta, a resetiranje je teško.

Korak 3: Postavite bazu podataka

Morate kreirati icingakorisničko ime i uvesti shemu u bazu podataka. To se radi na isti način i na CentOS 6 i na 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Zatim uvezite shemu u bazu podataka koju ste upravo stvorili.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Morat ćete unijeti $newRootPasswordMySQL/MariaDB lozinku koju ste koristili tijekom mysql_secure_installationgornje naredbe, a ne onu $someIcingaPasswordkoju ste upravo kreirali - ona se koristi kasnije.

Omogućite idomodul (baze podataka).

sudo icinga2 feature enable ido-mysql

Morat ćete urediti /etc/icinga2/features-enabled/ido-mysql.confdatoteku da biste dodali podatke o bazi podataka. To možete učiniti sljedećom naredbom.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

U toj datoteci pronađite retke koji su komentirani (počnite s //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

...i uredite ih koristeći korisnika/lozinku koju ste upravo kreirali.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Provjerite jeste li dekomentirali retke uklanjanjem početne dvije kose crte.

Zatim ponovno pokrenite uslugu da preuzmete promjene.

sudo service icinga2 restart

Morat ćete dodati vezu između poslužitelja klijenta i Icinga2 mastera koji je već konfiguriran. To ćete morati učiniti koristeći Firewalld na CentOS 7 ili IPTables u CentOS 6 ili 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Sada uredite datoteku hosts da dodate master kao naziv lokalne domene.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Korak 4: Inicijalizirajte master

Ovaj korak treba učiniti na Icinga2 masteru. Morat ćete ga inicijalizirati kao glavnog, a zatim generirati zahtjev za potpisivanje certifikata koji će vaš klijent koristiti za komunikaciju.

sudo icinga2 node wizard

Ovo će pokrenuti čarobnjak za čvorove koji će postaviti nekoliko pitanja. Zaslon će izgledati ovako, a navedeni su odgovori koje ćete dati.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Zatim ponovno pokrenite Icinga2 kako biste pokupili promjene.

sudo service icinga2 restart

Sada kada je glavni, možete ga koristiti za generiranje niza zahtjeva za potpisivanje certifikata.

sudo icinga2 pki ticket --cn icinga2client.example.com

Dobit ćete neki niz $pkiString. Kopirajte taj niz jer će vam trebati na klijentu.

Korak 5: Inicijalizirajte klijenta

Pokrenite čarobnjaka za čvorove da generirate certifikate i povežete se s masterom.

sudo icinga2 node wizard

Doći će do stranice slične gore. Ova stranica je prikazana u nastavku s uključenim odgovorima.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Samo naprijed i ponovno pokrenite Icinga2 da preuzmete promjene.

sudo icinga2 restart

To je možda već učinjeno, ali morate osigurati da su naredbe i značajke API-ja omogućene.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

If they weren't enabled, it will say "feature enabled", so you'll need to restart the Icinga2 daemon. But first, you need to change ownership of the files in the /etc/icinga2 directory, as some of them have the wrong permissions after running the node wizard. They should all have their owner and group set to icinga. Change the permissions by using the following command:

sudo chown -R icinga:icinga /etc/icinga2/

Now, you can restart the Icinga2 daemon.

sudo service icinga2 restart

Step 6: Configure the client

The client configuration requires editing a few different files.

• /etc/icinga2/zones.conf: Contains the endpoints (servers) and zones that contain them. This is how the servers are partitioned. Make sure the client names match the server names.
• /etc/icinga2/icinga2.conf: You are accepting commands and configs from the master, so you need to do a minor edit on this file to avoid duplicate command definitions.

First, we're going to modify the zones.conf file to define the server and the zone it's in, as well as creating a "global" zone for command definitions that are universal to ALL servers, instead of unique to each (such as disk checks).

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

It is important to know, there can only be 2 nodes per zone at the moment. You can make as many zones as you wish, but if there are more than 2 nodes per zone there is a chance that the Icinga2 service will not work properly. This is not a problem on the client, unless you already have 2 nodes in the zone clientZone, in which case you will need to make another zone name.

Now, make the modification in the /etc/icinga2/icinga2.conf file. You need to comment out the line include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Verify config to ensure that everything is formatted correctly.

sudo icinga2 daemon -C

Ako imate problema s dopuštenjima, to je vjerojatno zato što je stavka u vlasništvu root:root. Chown icinga:icingato riješiti.

sudo chown -R icinga:icinga /etc/icinga2/

Postoje i drugi problemi s konfiguracijama, općenito će informacije dane iz izlaza sudo icinga2 daemon -Cnaredbe biti dovoljno opsežne da ih se pronađe. Rješavanje svakog potencijalnog problema koji se pojavi izvan je opsega ovog vodiča.

Ako provjera uspije, nastavite i ponovno učitajte uslugu:

sudo service icinga2 restart

Morat ćete dati icingakorisniku sudo dopuštenja kako bi se naredbe mogle izvoditi. Ova sudo dopuštenja bit će ograničena na određeni direktorij dodataka. Ovo se jednostavno može staviti na kraj datoteke.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Sada je konfiguracija klijenta službeno završena. Ne biste trebali raditi više modifikacija, sve provjere usluge će se konfigurirati na glavnom računalu i širit će se do klijenta. Međutim, morat ćete instalirati sve dodatne dodatke koji vam mogu zatrebati. Dodaci se također mogu pisati pomoću python, perl, BASH, PHP i drugih skriptiranih jezika.

Korak 7: Dodajte klijenta u glavnu konfiguraciju

Morat ćete se vratiti na master da konfigurirate klijenta tako da se može povezati. Postoji nekoliko koraka koje ćete morati poduzeti:

1. Dodajte konfiguraciju hosta u repository.d.
2. Dodajte host u zonu kao krajnju točku.
3. Konfigurirajte sve provjere za klijenta. Ovo je malo izvan dosega ovog vodiča, dat ću samo osnovno objašnjenje uključenih koraka.

Konfiguracija hosta bit će unesena u /etc/icinga2/repository.d/hosts/icinga2client.example.com.confdatoteku.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Sada host postoji u konfiguraciji klijenta, ali ga treba staviti u zonu. Ova će zona biti u /etc/icinga2/repository.d/zonesmapi, s istim imenom kao i naziv zone radi lakšeg praćenja.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Zatim morate dodati global-templateszonu.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Konačno, dodajte krajnju točku klijenta tako da se niz krajnjih točaka "clientZone" popuni kada se pokrene.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Kako biste bili sigurni da nema problema s dopuštenjima, ponovno promijenite vlasnika/grupu.

sudo chown -R icinga:icinga /etc/icinga2

Provjerite promjene konfiguracije kako biste bili sigurni da više nema problema.

sudo icinga2 daemon -C

Ako provjera uspije, nastavite s ponovnim učitavanjem.

sudo service icinga2 restart

Ako posjetite svoju Icinga2 web stranicu, vidjet ćete da poslužitelj postaje dostupan.

Korak 8: Prilagođene naredbe i provjere

Možda ćete naići na pogreške o "naredba nije pronađena" ili "provjera nije definirana". Ovdje se pojavljuje zona globalnih predložaka. Morat ćete kopirati konfiguraciju u /etc/icinga2/conf.d/datoteke i staviti ih u /etc/icinga2/zones.d/global-templates/datoteke. Na primjer, da biste stvorili naredbu "check_software", trebali biste učiniti sljedeće.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

software_service_check.shDatoteka će morati postojati u /usr/lib64/nagios/pluginsmapi na klijentu .

Zatim dodajte provjeru usluge u /etc/icinga2/repository.d/hosts/services.confdatoteku.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Morat ćete ponovno promijeniti dopuštenja.

sudo chown -R icinga:icinga /etc/icinga2

Zatim ponovno provjerite konfiguraciju.

sudo icinga2 daemon -C

Konačno, ako uspije, ponovno učitajte:

sudo service icinga2 restart

Čestitamo! Sada koristite Icinga2 u modelu master-client i sada možete izbjeći korištenje nesigurnih NRPE provjera!