Breytir Icinga2 til að nota Master/Client Model á CentOS 6 eða CentOS 7

Icinga2 er öflugt eftirlitskerfi og þegar það er notað í aðal-viðskiptavinamódel getur það komið í stað þörf fyrir NRPE-undirstaða vöktunareftirlit. Aðal-viðskiptavinur líkanið er öruggara af ýmsum ástæðum . Það gerir einnig kleift að dreifa eftirliti með því að leyfa eftirliti að vera breytt á einum netþjóni og dreift til annarra. Það gefur einnig eina miðlæga staðsetningu fyrir breytingar.

Til dæmis: Segjum að þú sért með 4 mismunandi álagsjafna netþjóna. Ef þú veist að þú ert að fara að fá álagsauka í vændum (kannski útsala eða eitthvað sem þú býst við mikilli virkni fyrir), gætirðu viljað auka stigin þar sem mikil CPU-notkun lætur kerfisstjóra vita. Ef þú ert að nota NRPE athuganir þarftu að fara inn á hvern netþjón og breyta /etc/nrpe.d/common_commands.cfgskjalinu á hverjum þeirra. Í master-client líkaninu geturðu einfaldlega breytt /etc/icinga2/repository.d/hosts/hýsilskilgreiningum þeirra í möppunni og síðan endurhlaða Icinga. Athuganir munu dreifast á hvern netþjón og verða sjálfkrafa sóttar. Þú getur líka bætt við ávísunum mjög auðveldlega með því að breyta /etc/icinga2/repository.d/services/skránum, og þær munu sjálfkrafa dreifast og verða viðurkenndar, svo framarlega sem viðbæturnar eru til á þjónum viðskiptavinarins.

Forkröfur

• Netþjónstilvik með Icinga2 og Icingaweb2 þegar uppsett og stillt ( leiðbeiningar ) nefnt icinga2master.example.com.
• Nýtt Vultr CentOS 6 eða 7 netþjónstilvik sem þú vilt fylgjast með heitir icinga2client.example.com.
• Sudo aðgangur.

Sumt af þessari handbók mun endurspegla uppsetningarleiðbeiningarnar sem taldar eru upp hér að ofan, en það verður að gera á biðlaravélinni ekki miðlaravélinni.

Skref 1: Uppfærðu kerfið

Bættu "ICINGA" endurhverfunni við biðlarakerfið til að setja upp Icinga pakkana.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Skref 2: Settu upp nauðsynlega pakka

Settu upp nauðsynlega pakka.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 notar MariaDB í stað MySQL, þannig að nauðsynlegir pakkar eru aðeins öðruvísi. Ræstu þjónusturnar og stilltu þær til að byrja við ræsingu.

sudo chkconfig icinga2 on
sudo service icinga2 start

Stilltu MySQL þjónustuna til að byrja við ræsingu og ræstu hana núna svo við getum tryggt hana.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Tryggðu MySQL/MariaDB uppsetninguna. Bæði CentOS 6 og 7 nota sömu skipunina.

sudo mysql_secure_installation

Í ferlinu skaltu svara spurningunum eins og sýnt er:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Taktu eftir $newRootPasswordþví þú þarft það nokkrum sinnum og það er sársaukafullt að endurstilla.

Skref 3: Settu upp gagnagrunninn

Þú þarft að búa til icinganotandanafnið og flytja skemað inn í gagnagrunninn. Þetta er gert á sama hátt á bæði CentOS 6 og 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Næst skaltu flytja skemað inn í gagnagrunninn sem þú varst að búa til.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Þú þarft að slá inn $newRootPasswordMySQL/MariaDB lykilorðið sem þú notaðir í mysql_secure_installationskipuninni hér að ofan, ekki það sem $someIcingaPasswordþú varst að búa til - það er notað síðar.

Virkjaðu ido(gagnagrunns)eininguna.

sudo icinga2 feature enable ido-mysql

Þú þarft að breyta /etc/icinga2/features-enabled/ido-mysql.confskránni til að bæta við gagnagrunnsupplýsingunum. Þú getur gert það með eftirfarandi skipun.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

Í þeirri skrá, finndu línurnar sem eru skrifaðar út (byrjaðu á //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

...og breyttu þeim með notandanum/lykilorðinu sem þú varst að búa til.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Gakktu úr skugga um að þú fjarlægir athugasemdir við línurnar með því að fjarlægja fyrstu tvær skástrikurnar.

Næst skaltu endurræsa þjónustuna til að taka upp breytingarnar.

sudo service icinga2 restart

Þú þarft að bæta við tengingu á milli biðlaraþjónsins og Icinga2 mastersins sem hefur þegar verið stillt. Þú þarft að gera það með því að nota annað hvort Firewalld á CentOS 7, eða IPTables í annað hvort CentOS 6 eða 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Nú skaltu breyta hýsingarskránni til að bæta skipstjóranum við sem staðbundnu lén.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Skref 4: Frumstilla meistarann

Þetta skref þarf að gera á Icinga2 meistaranum. Þú þarft að frumstilla það sem meistara og búa síðan til vottorð undirritunarbeiðni sem viðskiptavinur þinn mun nota til að hafa samskipti.

sudo icinga2 node wizard

Þetta mun keyra hnútahjálpina, sem mun spyrja nokkurra spurninga. Skjárinn mun líta svona út og svörin sem þú gefur eru skráð.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Síðan skaltu endurræsa Icinga2 til að taka upp breytingarnar.

sudo service icinga2 restart

Nú þegar það er meistari geturðu notað það til að búa til beiðnistrenginn fyrir undirritun vottorða.

sudo icinga2 pki ticket --cn icinga2client.example.com

Þú færð einhvern streng $pkiString. Afritaðu þann streng, þar sem þú þarft hann á viðskiptavininum.

Skref 5: Frumstilla viðskiptavininn

Keyrðu hnúthjálpina til að búa til vottorðin og tengjast skipstjóranum.

sudo icinga2 node wizard

Það mun koma upp svipaðri síðu og hér að ofan. Þessi síða er sýnd hér að neðan með svörum.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Farðu á undan og endurræstu Icinga2 til að taka upp breytingarnar.

sudo icinga2 restart

Þetta gæti nú þegar verið gert, en þú þarft að tryggja að skipun og API eiginleikar séu virkir.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

If they weren't enabled, it will say "feature enabled", so you'll need to restart the Icinga2 daemon. But first, you need to change ownership of the files in the /etc/icinga2 directory, as some of them have the wrong permissions after running the node wizard. They should all have their owner and group set to icinga. Change the permissions by using the following command:

sudo chown -R icinga:icinga /etc/icinga2/

Now, you can restart the Icinga2 daemon.

sudo service icinga2 restart

Step 6: Configure the client

The client configuration requires editing a few different files.

• /etc/icinga2/zones.conf: Contains the endpoints (servers) and zones that contain them. This is how the servers are partitioned. Make sure the client names match the server names.
• /etc/icinga2/icinga2.conf: You are accepting commands and configs from the master, so you need to do a minor edit on this file to avoid duplicate command definitions.

First, we're going to modify the zones.conf file to define the server and the zone it's in, as well as creating a "global" zone for command definitions that are universal to ALL servers, instead of unique to each (such as disk checks).

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

It is important to know, there can only be 2 nodes per zone at the moment. You can make as many zones as you wish, but if there are more than 2 nodes per zone there is a chance that the Icinga2 service will not work properly. This is not a problem on the client, unless you already have 2 nodes in the zone clientZone, in which case you will need to make another zone name.

Now, make the modification in the /etc/icinga2/icinga2.conf file. You need to comment out the line include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Verify config to ensure that everything is formatted correctly.

sudo icinga2 daemon -C

If you get permissions problems, it's likely because the item is owned by root:root. Chown to icinga:icinga to resolve.

sudo chown -R icinga:icinga /etc/icinga2/

There are other issues with the configs, generally the information given from the output of the sudo icinga2 daemon -C command will be verbose enough to track them down. Addressing every potential issue that arises is outside the scope of this guide.

If the verification succeeds, go ahead and reload the service:

sudo service icinga2 restart

You'll need to give the icinga user sudo permissions so that the commands can be run. These sudo permissions will be restricted to the specific plugin directory. This can just be put at the end of the file.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Nú er uppsetningu viðskiptavinar formlega lokið. Þú ættir ekki að þurfa að gera fleiri breytingar, allar þjónustuathuganir verða stilltar á masterinn og dreifast niður til viðskiptavinarins. Þú þarft hins vegar að setja upp allar viðbótarviðbætur sem þú gætir þurft. Einnig er hægt að skrifa viðbætur með því að nota python, perl, BASH, PHP og önnur forskriftarmál.

Skref 7: Bættu biðlara við master config

Þú verður að fara aftur inn á masterinn til að stilla biðlarann ​​þannig að hægt sé að tengja hann. Það eru nokkur skref sem þarf að taka:

1. Bæta hýsilstillingu við repository.d.
2. Bættu hýsil við svæði sem endapunkt.
3. Stilltu allar athuganir fyrir viðskiptavininn. Þetta er örlítið utan gildissviðs þessarar handbókar, ég mun aðeins veita grunnskýringar á skrefunum sem taka þátt.

Hýsilstillingin verður færð inn í /etc/icinga2/repository.d/hosts/icinga2client.example.com.confskrána.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Nú er gestgjafinn til í biðlarastillingunni, en það þarf að setja hann inn á svæði. Þetta svæði verður í /etc/icinga2/repository.d/zonesmöppunni, með sama nafni og svæðisheitið til að auðvelda þér að fylgjast með.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Næst þarftu að bæta við global-templatessvæðinu.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Að lokum skaltu bæta við endapunkti biðlara þannig að "clientZone" endapunktafylki sé fyllt út þegar það keyrir.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Til að ganga úr skugga um að það séu engin heimildavandamál skaltu halda áfram og breyta eiganda/hópi aftur.

sudo chown -R icinga:icinga /etc/icinga2

Staðfestu stillingarbreytingar til að tryggja að ekki séu fleiri vandamál.

sudo icinga2 daemon -C

Ef staðfesting tekst skaltu halda áfram með endurhleðsluna.

sudo service icinga2 restart

Ef þú heimsækir Icinga2 vefsíðuna þína muntu sjá að þjónninn verður aðgengilegur.

Skref 8: Sérsniðnar skipanir og athuganir

Þú gætir rekist á villur um „skipun fannst ekki“ eða „athugun ekki skilgreind“. Þetta er þar sem alþjóðlegt sniðmát svæði kemur við sögu. Þú þarft að afrita stillingarnar í /etc/icinga2/conf.d/skrár og setja þær í /etc/icinga2/zones.d/global-templates/skrár. Til dæmis, til að búa til "check_software" skipun, þarftu að gera eftirfarandi.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

The software_service_check.shskrá þarf að vera í /usr/lib64/nagios/pluginsmöppu á viðskiptavininn .

Næst skaltu bæta þjónustuávísuninni við /etc/icinga2/repository.d/hosts/services.confskrána.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Þú þarft að breyta heimildunum aftur.

sudo chown -R icinga:icinga /etc/icinga2

Staðfestu síðan stillingar aftur.

sudo icinga2 daemon -C

Að lokum, ef það tekst, endurhlaða:

sudo service icinga2 restart

Til hamingju! Þú ert nú að nota Icinga2 í master-client líkani og getur nú sleppt því að þurfa að nota óöruggu NRPE eftirlitið!