„Icinga2“ modifikavimas, kad būtų naudojamas pagrindinis / kliento modelis „CentOS 6“ arba „CentOS 7“.

Icinga2 yra galinga stebėjimo sistema, o kai naudojama pagrindinio kliento modelyje, ji gali pakeisti NRPE pagrįstų stebėjimo patikrų poreikį. Pagrindinio kliento modelis yra saugesnis dėl įvairių priežasčių . Tai taip pat leidžia labiau paskirstyti stebėjimą, nes čekius galima modifikuoti viename serveryje ir perduoti kitiems. Ji taip pat suteikia vieną centralizuotą vietą pakeitimams.

Pavyzdžiui: Tarkime, kad turite 4 skirtingus apkrovos subalansuotus žiniatinklio serverius. Jei žinote, kad jūsų laukia apkrovos šuolis (galbūt išpardavimas ar kažkas tokio, dėl kurio tikitės daug veiklos), galbūt norėsite padidinti lygį, kai didelis procesoriaus naudojimas įspėja sistemos administratorius. Jei naudojate NRPE patikras, turėsite pereiti prie kiekvieno serverio ir modifikuoti /etc/nrpe.d/common_commands.cfgdokumentą kiekviename iš jų. Pagrindiniame kliento modelyje galite tiesiog pakeisti jų pagrindinio kompiuterio apibrėžimus /etc/icinga2/repository.d/hosts/aplanke, tada iš naujo įkelti „Icinga“. Čekiai pateks į kiekvieną serverį ir bus paimti automatiškai. Taip pat galite labai lengvai pridėti patikras modifikuodami /etc/icinga2/repository.d/services/failus ir jie bus automatiškai plinta ir bus atpažįstami tol, kol papildiniai bus kliento serveriuose.

Būtinos sąlygos

• Serverio egzempliorius su jau įdiegtais ir sukonfigūruotais „Icinga2“ ir „Icingaweb2“ ( instrukcijos ) pavadintas icinga2master.example.com.
• Naujas Vultr CentOS 6 arba 7 serverio egzempliorius, kurį norite stebėti, pavadintas icinga2client.example.com.
• Sudo prieiga.

Kai kurie iš šio vadovo atspindės aukščiau pateiktas diegimo instrukcijas, tačiau tai turi būti daroma kliento kompiuteryje, o ne serverio įrenginyje.

1 veiksmas: atnaujinkite sistemą

Pridėkite „ICINGA“ repo prie kliento sistemos, kad įdiegtumėte „Icinga“ paketus.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

2 veiksmas: įdiekite reikiamus paketus

Įdiekite reikiamus paketus.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

„CentOS 7“ naudoja „MariaDB“, o ne „MySQL“, todėl reikalingi paketai šiek tiek skiriasi. Paleiskite paslaugas ir nustatykite, kad jos būtų paleistos.

sudo chkconfig icinga2 on
sudo service icinga2 start

Nustatykite, kad MySQL paslauga būtų paleista įkrovos metu, ir paleiskite ją dabar, kad galėtume ją apsaugoti.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Apsaugokite „MySQL“ / „MariaDB“ diegimą. Tiek „CentOS 6“, tiek „7“ naudoja tą pačią komandą.

sudo mysql_secure_installation

Proceso metu atsakykite į klausimus, kaip parodyta:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Atkreipkite dėmesį, $newRootPasswordkad jums to prireiks kelis kartus, o iš naujo nustatyti bus sunku.

3 veiksmas: nustatykite duomenų bazę

Turite sukurti icingavartotojo vardą ir importuoti schemą į duomenų bazę. Tai daroma taip pat „CentOS 6“ ir „CentOS 7“.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Tada importuokite schemą į ką tik sukurtą duomenų bazę.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Jums reikės įvesti $newRootPasswordMySQL / MariaDB slaptažodį, kurį naudojote per mysql_secure_installationkomandą pirmiau, nėra$someIcingaPassword Jūs ką tik sukūrėte - tai vienas naudojami vėliau.

Įjunkite ido(duomenų bazės) modulį.

sudo icinga2 feature enable ido-mysql

Norėdami /etc/icinga2/features-enabled/ido-mysql.confpridėti duomenų bazės informaciją, turėsite redaguoti failą. Tai galite padaryti naudodami šią komandą.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

Tame faile raskite eilutes, kurios yra komentuojamos (pradėkite nuo //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

...ir redaguokite juos naudodami ką tik sukurtą naudotoją / slaptažodį.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Įsitikinkite, kad panaikinote eilučių komentarus, pašalindami du pirmuosius brūkšnius.

Tada iš naujo paleiskite paslaugą, kad priimtumėte pakeitimus.

sudo service icinga2 restart

Turėsite pridėti ryšį tarp kliento serverio ir „Icinga2“ pagrindinio įrenginio, kuris jau buvo sukonfigūruotas. Turėsite tai padaryti naudodami ugniasienę „CentOS 7“ arba „IPTables“ arba „CentOS 6“, arba 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Dabar redaguokite pagrindinio kompiuterio failą, kad pridėtumėte pagrindinį failą kaip vietinio domeno pavadinimą.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

4 veiksmas: inicijuokite pagrindinį failą

Šį veiksmą reikia atlikti naudojant Icinga2 pagrindinį įrenginį. Turėsite jį inicijuoti kaip pagrindinį, tada sugeneruokite sertifikato pasirašymo užklausą, kurią klientas naudos bendraudamas.

sudo icinga2 node wizard

Tai paleis mazgo vedlį, kuris užduos keletą klausimų. Ekranas atrodys taip, ir pateikiami jūsų pateikti atsakymai.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Tada iš naujo paleiskite „Icinga2“, kad priimtumėte pakeitimus.

sudo service icinga2 restart

Dabar, kai jis yra pagrindinis, galite jį naudoti kurdami sertifikato pasirašymo užklausos eilutę.

sudo icinga2 pki ticket --cn icinga2client.example.com

Jūs gausite eilutę $pkiString. Nukopijuokite tą eilutę, nes jos prireiks kliente.

5 veiksmas: inicijuokite klientą

Paleiskite mazgo vedlį, kad sugeneruotumėte sertifikatus ir prisijungtumėte prie pagrindinio.

sudo icinga2 node wizard

Bus pateiktas panašus puslapis kaip aukščiau. Šis puslapis parodytas žemiau su atsakymais.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Eikite į priekį ir iš naujo paleiskite „Icinga2“, kad priimtumėte pakeitimus.

sudo icinga2 restart

Tai jau gali būti padaryta, bet turite užtikrinti, kad komandos ir API funkcijos būtų įjungtos.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

Jei jie nebuvo įjungti, bus rodoma „funkcija įjungta“, todėl turėsite iš naujo paleisti „Icinga2“ demoną. Tačiau pirmiausia turite pakeisti /etc/icinga2kataloge esančių failų nuosavybės teisę , nes kai kurie iš jų turi netinkamus leidimus paleidus mazgo vedlį. Visų jų savininkas ir grupė turėtų būti nustatyti kaip icinga. Pakeiskite leidimus naudodami šią komandą:

sudo chown -R icinga:icinga /etc/icinga2/

Dabar galite iš naujo paleisti Icinga2 demoną.

sudo service icinga2 restart

6 veiksmas: sukonfigūruokite klientą

Kliento konfigūracijai reikia redaguoti kelis skirtingus failus.

• /etc/icinga2/zones.conf: yra galutiniai taškai (serveriai) ir zonos, kuriose jie yra. Taip serveriai skirstomi. Įsitikinkite, kad klientų vardai sutampa su serverių pavadinimais.
• /etc/icinga2/icinga2.conf: priimate komandas ir konfigūracijas iš pagrindinio failo, todėl turite atlikti nedidelį šio failo redagavimą, kad išvengtumėte pasikartojančių komandų apibrėžimų.

Pirmiausia pakeisime zones.conffailą, kad apibrėžtume serverį ir zoną, kurioje jis yra, taip pat sukursime „globalią“ komandų apibrėžimų zoną, kuri būtų universali VISIEMS serveriams, o ne kiekvienam unikali (pvz., disko patikrinimai). .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

Svarbu žinoti, kad šiuo metu vienoje zonoje gali būti tik 2 mazgai. Galite sukurti tiek zonų, kiek norite, tačiau jei vienoje zonoje yra daugiau nei 2 mazgai, yra tikimybė, kad Icinga2 paslauga neveiks tinkamai. Tai nėra kliento problema, nebent zonoje jau turite 2 mazgus clientZone, tokiu atveju turėsite sukurti kitą zonos pavadinimą.

Dabar atlikite /etc/icinga2/icinga2.conffailo pakeitimus . Turite pakomentuoti eilutę include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Patikrinkite konfigūraciją, kad įsitikintumėte, jog viskas tinkamai suformatuota.

sudo icinga2 daemon -C

Jei kyla problemų dėl leidimų, tikėtina, kad elementas priklauso root:root. Chown icinga:icingato išspręsti.

sudo chown -R icinga:icinga /etc/icinga2/

Yra ir kitų problemų, susijusių su konfigūracija, paprastai informacija, pateikta iš komandos išvesties, sudo icinga2 daemon -Cbus pakankamai išsami, kad jas būtų galima susekti. Kiekvienos galimos problemos sprendimas nepatenka į šio vadovo taikymo sritį.

Jei patvirtinimas sėkmingas, eikite į priekį ir iš naujo įkelkite paslaugą:

sudo service icinga2 restart

Turėsite suteikti icingavartotojui sudo leidimus, kad būtų galima vykdyti komandas. Šie sudo leidimai bus apriboti konkretaus papildinio kataloge. Tai galima tiesiog įdėti į failo pabaigą.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Dabar kliento konfigūracija oficialiai baigta. Jums nereikės atlikti daugiau pakeitimų, bet kokie paslaugų patikrinimai bus sukonfigūruoti pagrindiniame kompiuteryje ir bus perduoti klientui. Tačiau turėsite įdiegti bet kokius papildomus papildinius, kurių jums gali prireikti. Papildiniai taip pat gali būti rašomi naudojant python, perl, BASH, PHP ir kitas scenarijaus kalbas.

7 veiksmas: pridėkite klientą prie pagrindinės konfigūracijos

Turėsite grįžti į pagrindinį įrenginį, kad sukonfigūruotumėte klientą, kad jį būtų galima prijungti. Reikės atlikti kelis veiksmus:

1. Pridėkite pagrindinio kompiuterio konfigūraciją prie repository.d.
2. Pridėkite pagrindinį kompiuterį prie zonos kaip galinį tašką.
3. Konfigūruokite visus kliento patikrinimus. Tai šiek tiek nepatenka į šio vadovo taikymo sritį. Pateiksiu tik pagrindinį susijusių veiksmų paaiškinimą.

Pagrindinio kompiuterio konfigūracija bus įvesta į /etc/icinga2/repository.d/hosts/icinga2client.example.com.conffailą.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Dabar pagrindinis kompiuteris yra kliento konfigūracijoje, tačiau jis turi būti įtrauktas į zoną. Ši zona bus /etc/icinga2/repository.d/zonesaplanke su tokiu pačiu pavadinimu kaip ir zonos pavadinimas, kad būtų lengviau sekti.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Tada turite pridėti global-templateszoną.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Galiausiai pridėkite kliento galinį tašką, kad „clientZone“ galinių taškų masyvas būtų užpildytas, kai jis veikia.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Kad įsitikintumėte, jog nėra problemų dėl leidimų, dar kartą pakeiskite savininką / grupę.

sudo chown -R icinga:icinga /etc/icinga2

Patikrinkite konfigūracijos pakeitimus, kad įsitikintumėte, jog nėra daugiau problemų.

sudo icinga2 daemon -C

Jei patvirtinimas sėkmingas, tęskite įkėlimą iš naujo.

sudo service icinga2 restart

Jei apsilankysite savo Icinga2 svetainėje, pamatysite, kad serveris taps pasiekiamas.

8 veiksmas: tinkintos komandos ir patikrinimai

Galite susidurti su klaidomis apie „komanda nerasta“ arba „patikrinimas neapibrėžtas“. Čia atsiranda visuotinių šablonų zona. Turėsite nukopijuoti konfigūraciją į /etc/icinga2/conf.d/failus ir įdėti juos į /etc/icinga2/zones.d/global-templates/failus. Pavyzdžiui, norėdami sukurti komandą "check_software", turėsite atlikti šiuos veiksmus.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

software_service_check.shFailą reikės egzistuoja /usr/lib64/nagios/pluginsaplanke klientui .

Tada į /etc/icinga2/repository.d/hosts/services.conffailą pridėkite paslaugos patikrinimą .

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Turėsite dar kartą pakeisti leidimus.

sudo chown -R icinga:icinga /etc/icinga2

Tada dar kartą patikrinkite konfigūraciją.

sudo icinga2 daemon -C

Galiausiai, jei pavyks, įkelkite iš naujo:

sudo service icinga2 restart

Sveikiname! Dabar naudojate „Icinga2“ pagrindinio kliento modelyje ir dabar jums nereikia naudoti nesaugių NRPE patikrų!