Icinga2 modificēšana, lai izmantotu galveno/klienta modeli operētājsistēmā CentOS 6 vai CentOS 7

Icinga2 ir spēcīga uzraudzības sistēma, un, ja to izmanto galvenā klienta modelī, tā var aizstāt vajadzību pēc NRPE balstītām uzraudzības pārbaudēm. Master-klienta modelis ir drošāks dažādu iemeslu dēļ . Tas arī ļauj veikt izkliedētāku uzraudzību, ļaujot pārbaudēm modificēt vienā serverī un izplatīt tās uz citiem. Tas arī nodrošina vienu centralizētu vietu izmaiņām.

Piemēram: Pieņemsim, ka jums ir 4 dažādi slodzes līdzsvaroti tīmekļa serveri. Ja zināt, ka gaidāms slodzes pieaugums (iespējams, izpārdošana vai kaut kas tāds, kam paredzat daudz aktivitāšu), iespējams, vēlēsities palielināt līmeņus, pie kuriem augsts CPU lietojums brīdina sistēmas administratorus. Ja izmantojat NRPE pārbaudes, jums būs jāiet uz katru serveri un jāmaina /etc/nrpe.d/common_commands.cfgdokuments katrā no tiem. Galvenā klienta modelī varat vienkārši mainīt to resursdatora definīcijas /etc/icinga2/repository.d/hosts/mapē un pēc tam atkārtoti ielādēt Icinga. Čeki tiks izplatīti uz katru serveri un tiks automātiski paņemti. Varat arī ļoti vienkārši pievienot pārbaudes, pārveidojot /etc/icinga2/repository.d/services/failus, un tie tiks automātiski izplatīti un atpazīti, ja vien spraudņi pastāv klientu serveros.

Priekšnoteikumi

• Servera gadījums ar jau instalētu un konfigurētu Icinga2 un Icingaweb2 ( instrukcijas ) nosaukts icinga2master.example.com.
• Jauna Vultr CentOS 6 vai 7 servera instance, kuru vēlaties pārraudzīt, nosaukta icinga2client.example.com.
• Sudo piekļuve.

Dažas šīs rokasgrāmatas atspoguļos iepriekš uzskaitītās instalēšanas instrukcijas, taču tas jādara klienta, nevis servera mašīnā.

1. darbība: atjauniniet sistēmu

Pievienojiet "ICINGA" repo klienta sistēmai, lai instalētu Icinga pakotnes.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

2. darbība. Instalējiet nepieciešamās pakotnes

Instalējiet nepieciešamās pakotnes.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 MySQL vietā izmanto MariaDB, tāpēc nepieciešamās pakotnes nedaudz atšķiras. Sāciet pakalpojumus un iestatiet tos palaist sāknēšanas laikā.

sudo chkconfig icinga2 on
sudo service icinga2 start

Iestatiet MySQL pakalpojuma palaišanu sāknēšanas laikā un palaidiet to tūlīt, lai mēs varētu to aizsargāt.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Nodrošiniet MySQL/MariaDB instalāciju. Gan CentOS 6, gan 7 izmanto vienu un to pašu komandu.

sudo mysql_secure_installation

Procesa laikā atbildiet uz jautājumiem, kā parādīts:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Ņemiet vērā, $newRootPasswordjo tas jums būs nepieciešams vairākas reizes, un atiestatīšana ir sāpīga.

3. darbība: iestatiet datubāzi

Jums ir jāizveido icingalietotājvārds un jāimportē shēma datu bāzē. Tas tiek darīts vienādi gan CentOS 6, gan 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Pēc tam importējiet shēmu tikko izveidotajā datu bāzē.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Jums būs nepieciešams ievadīt $newRootPasswordMySQL / mariadb paroli, ar to laikā mysql_secure_installationkomandu iepriekš, nevis$someIcingaPassword tikko esat izveidojis - ka viena tiek izmantota vēlāk.

Iespējojiet ido(datu bāzes) moduli.

sudo icinga2 feature enable ido-mysql

/etc/icinga2/features-enabled/ido-mysql.confLai pievienotu datu bāzes informāciju, fails būs jārediģē . To var izdarīt ar šādu komandu.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

Šajā failā atrodiet rindiņas, kuras ir komentētas (sāciet ar //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

...un rediģējiet tos, izmantojot tikko izveidoto lietotāju/paroli.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Noteikti noņemiet rindiņas komentārus, noņemot pirmās divas slīpsvītras.

Pēc tam restartējiet pakalpojumu, lai pieņemtu izmaiņas.

sudo service icinga2 restart

Jums būs jāpievieno savienojums starp klienta serveri un Icinga2 galveno, kas jau ir konfigurēts. Tas būs jādara, izmantojot vai nu Firewalld operētājsistēmā CentOS 7, vai IPTables vai nu CentOS 6, vai 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Tagad rediģējiet saimniekdatoru failu, lai pievienotu galveno kā lokālā domēna nosaukumu.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

4. darbība: inicializējiet galveno

Šis solis ir jāveic uz Icinga2 master. Jums tas ir jāinicializē kā galvenais, pēc tam jāģenerē sertifikāta parakstīšanas pieprasījums, ko klients izmantos saziņai.

sudo icinga2 node wizard

Tādējādi tiks palaists mezgla vednis, kas uzdos vairākus jautājumus. Ekrāns izskatīsies šādi, un ir norādītas jūsu sniegtās atbildes.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Pēc tam restartējiet Icinga2, lai veiktu izmaiņas.

sudo service icinga2 restart

Tagad, kad tas ir galvenais, varat to izmantot, lai ģenerētu sertifikāta parakstīšanas pieprasījuma virkni.

sudo icinga2 pki ticket --cn icinga2client.example.com

Jūs saņemsiet virkni $pkiString. Kopējiet šo virkni, jo jums tā būs nepieciešama klientam.

5. darbība: inicializējiet klientu

Palaidiet mezgla vedni, lai ģenerētu sertifikātus un izveidotu savienojumu ar galveno.

sudo icinga2 node wizard

Tas parādīs līdzīgu lapu kā iepriekš. Šī lapa ir parādīta zemāk ar iekļautām atbildēm.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Turpiniet un restartējiet Icinga2, lai veiktu izmaiņas.

sudo icinga2 restart

Iespējams, tas jau ir izdarīts, taču jums ir jānodrošina, lai komandu un API līdzekļi būtu iespējoti.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

Ja tie nav iespējoti, tiks parādīts uzraksts "funkcija iespējota", tāpēc jums būs jārestartē Icinga2 dēmons. Bet vispirms ir jāmaina /etc/icinga2direktorijā esošo failu īpašumtiesības , jo dažiem no tiem pēc mezgla vedņa palaišanas ir nepareizas atļaujas. Viņiem visiem ir jābūt iestatītam īpašniekam un grupai uz icinga. Mainiet atļaujas, izmantojot šo komandu:

sudo chown -R icinga:icinga /etc/icinga2/

Tagad jūs varat restartēt Icinga2 dēmonu.

sudo service icinga2 restart

6. darbība: konfigurējiet klientu

Klienta konfigurācijai ir nepieciešams rediģēt dažus dažādus failus.

• /etc/icinga2/zones.conf: satur galapunktus (serverus) un zonas, kas tos satur. Tādā veidā serveri tiek sadalīti. Pārliecinieties, vai klientu nosaukumi atbilst serveru nosaukumiem.
• /etc/icinga2/icinga2.conf: jūs pieņemat komandas un konfigurācijas no galvenā faila, tāpēc jums ir jāveic neliela šī faila rediģēšana, lai izvairītos no komandu definīciju dublikātiem.

Pirmkārt, mēs modificēsim zones.conffailu, lai definētu serveri un zonu, kurā tas atrodas, kā arī izveidosim "globālu" zonu komandu definīcijām, kas ir universālas VISIEM serveriem, nevis katram unikālas (piemēram, diska pārbaudes). .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

Ir svarīgi zināt, ka šobrīd vienā zonā var būt tikai 2 mezgli. Jūs varat izveidot tik daudz zonu, cik vēlaties, bet, ja vienā zonā ir vairāk nekā 2 mezgli, pastāv iespēja, ka Icinga2 pakalpojums nedarbosies pareizi. Tā nav klienta problēma, ja vien jums zonā jau nav 2 mezgli clientZone, tādā gadījumā jums būs jāievada cits zonas nosaukums.

Tagad veiciet izmaiņas /etc/icinga2/icinga2.conffailā. Jums ir jākomentē rindiņa include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Pārbaudiet konfigurāciju, lai pārliecinātos, ka viss ir pareizi formatēts.

sudo icinga2 daemon -C

Ja rodas problēmas ar atļaujām, iespējams, ka vienums pieder root:root. CHOWN lai icinga:icingavarētu atrisināt.

sudo chown -R icinga:icinga /etc/icinga2/

Ir arī citas problēmas ar konfigurācijām, parasti informācija, kas tiek sniegta no sudo icinga2 daemon -Ckomandas izvades, būs pietiekami detalizēta, lai tās izsekotu. Šīs rokasgrāmatas darbības joma neietilpst visu iespējamo problēmu risināšanā.

Ja pārbaude ir veiksmīga, turpiniet un atkārtoti ielādējiet pakalpojumu:

sudo service icinga2 restart

Lai icingakomandas varētu palaist, lietotājam būs jāpiešķir sudo atļaujas. Šīs sudo atļaujas attieksies tikai uz konkrēto spraudņu direktoriju. To var vienkārši ievietot faila beigās.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Tagad klienta konfigurācija ir oficiāli pabeigta. Jums vairs nevajadzētu veikt nekādas izmaiņas, visas pakalpojumu pārbaudes tiks konfigurētas galvenajā ierīcē un tiks izplatītas līdz klientam. Tomēr jums būs jāinstalē visi papildu spraudņi, kas jums varētu būt nepieciešami. Spraudņus var rakstīt arī, izmantojot python, perl, BASH, PHP un citas skriptu valodas.

7. darbība. Pievienojiet klientu galvenajai konfigurācijai

Jums būs jāatgriežas pie galvenā, lai konfigurētu klientu tā, lai to varētu savienot. Ir jāveic dažas darbības:

1. Pievienojiet saimniekdatora konfigurāciju repository.d.
2. Pievienojiet resursdatoru zonai kā galapunktu.
3. Konfigurējiet visas klienta pārbaudes. Tas ir nedaudz ārpus šīs rokasgrāmatas darbības jomas. Es sniegšu tikai pamata skaidrojumu par saistītajām darbībām.

/etc/icinga2/repository.d/hosts/icinga2client.example.com.confFailā tiks ievadīta saimniekdatora konfigurācija .

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Tagad resursdators pastāv klienta konfigurācijā, bet tas ir jāievieto zonā. Šī zona atradīsies /etc/icinga2/repository.d/zonesmapē ar tādu pašu nosaukumu kā zonas nosaukumam, lai būtu vieglāk sekot līdzi.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Tālāk jums jāpievieno global-templateszona.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Visbeidzot pievienojiet klienta galapunktu, lai galapunktu masīvs "clientZone" tiktu aizpildīts, kad tas darbojas.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Lai pārliecinātos, ka nav problēmu ar atļaujām, turpiniet un vēlreiz mainiet īpašnieku/grupu.

sudo chown -R icinga:icinga /etc/icinga2

Pārbaudiet konfigurācijas izmaiņas, lai pārliecinātos, ka vairs nav problēmu.

sudo icinga2 daemon -C

Ja verifikācija ir veiksmīga, turpiniet ar atkārtotu ielādi.

sudo service icinga2 restart

Ja apmeklējat savu Icinga2 vietni, jūs redzēsit, ka serveris kļūs pieejams.

8. darbība. Pielāgotas komandas un pārbaudes

Var rasties kļūdas par "komanda nav atrasta" vai "pārbaude nav definēta". Šeit tiek izmantota globālo veidņu zona. Jums būs jākopē konfigurācija /etc/icinga2/conf.d/failos un jāievieto /etc/icinga2/zones.d/global-templates/failos. Piemēram, lai izveidotu komandu "check_software", jums ir jāveic šādas darbības.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

software_service_check.shFails būs pastāvēt /usr/lib64/nagios/pluginsmapē uz klientu .

Pēc tam /etc/icinga2/repository.d/hosts/services.conffailam pievienojiet pakalpojuma pārbaudi .

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Jums būs vēlreiz jāmaina atļaujas.

sudo chown -R icinga:icinga /etc/icinga2

Pēc tam atkārtoti pārbaudiet konfigurāciju.

sudo icinga2 daemon -C

Visbeidzot, ja tas izdodas, atkārtoti ielādējiet:

sudo service icinga2 restart

Apsveicam! Jūs tagad izmantojat Icinga2 galvenā klienta modelī, un tagad varat izvairīties no nedrošo NRPE pārbaužu izmantošanas!