Spreminjanje Icinga2 za uporabo modela Master/Client na CentOS 6 ali CentOS 7

Icinga2 je zmogljiv sistem za spremljanje in če se uporablja v modelu glavni-odjemalec, lahko nadomesti potrebo po nadzornih pregledih, ki temeljijo na NRPE. Model master-client je varnejši iz različnih razlogov . Omogoča tudi bolj porazdeljeno spremljanje, saj omogoča spreminjanje preverjanj na enem strežniku in širjenje na druge. Omogoča tudi eno centralizirano lokacijo za spremembe.

Na primer: Recimo, da imate 4 različne spletne strežnike z uravnoteženo obremenitvijo. Če veste, da se vam bo bližalo povečanje obremenitve (morda prodaja ali nekaj, za kar pričakujete veliko aktivnosti), boste morda želeli povečati ravni, na katerih visoka poraba CPE opozori skrbnike sistema. Če uporabljate preverjanja NRPE, boste morali iti na vsak strežnik in spremeniti /etc/nrpe.d/common_commands.cfgdokument na vsakem od njih. V modelu master-client lahko preprosto spremenite njihove definicije gostitelja v /etc/icinga2/repository.d/hosts/mapi in nato znova naložite Icinga. Pregledi se bodo razširili na vsak strežnik in bodo samodejno prevzeti. Preverjanja lahko dodate tudi zelo enostavno s spreminjanjem /etc/icinga2/repository.d/services/datotek, ki se bodo samodejno razširile in prepoznale, dokler obstajajo vtičniki na odjemalskih strežnikih.

Predpogoji

• Poimenovan primerek strežnika z že nameščenimi in konfiguriranimi Icinga2 in Icingaweb2 ( navodila ) icinga2master.example.com.
• Nov primerek strežnika Vultr CentOS 6 ali 7, ki ga želite spremljati, se imenuje icinga2client.example.com.
• Sudo dostop.

Nekateri od tega priročnika bodo odražali zgoraj navedena navodila za namestitev, vendar je to treba storiti na odjemalskem računalniku in ne na strežniškem računalniku.

1. korak: Posodobite sistem

Dodajte repo "ICINGA" v sistem odjemalca, da namestite pakete Icinga.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

2. korak: Namestite zahtevane pakete

Namestite zahtevane pakete.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 namesto MySQL uporablja MariaDB, zato so potrebni paketi nekoliko drugačni. Zaženite storitve in jih nastavite, da se zaženejo ob zagonu.

sudo chkconfig icinga2 on
sudo service icinga2 start

Nastavite storitev MySQL, da se zažene ob zagonu, in jo zaženite zdaj, da jo lahko zavarujemo.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Zavarujte namestitev MySQL/MariaDB. Tako CentOS 6 kot 7 uporabljata isti ukaz.

sudo mysql_secure_installation

Med postopkom odgovorite na vprašanja, kot je prikazano:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Zapomnite si, $newRootPasswordda ga boste potrebovali večkrat, in ponastaviti ga bo težko.

3. korak: Nastavite bazo podatkov

Ustvariti morate icingauporabniško ime in uvoziti shemo v bazo podatkov. To se naredi na enak način v CentOS 6 in 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Nato uvozite shemo v bazo podatkov, ki ste jo pravkar ustvarili.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Boste morali vnesti $newRootPasswordMySQL / MariaDB geslo ki ste ga uporabili pri mysql_secure_installationukaz zgoraj, ne$someIcingaPassword ki ste jo pravkar ustvarili -, ki je bil uporabljen kasneje.

Omogočite idomodul (baze podatkov).

sudo icinga2 feature enable ido-mysql

Datoteko boste morali urediti, če /etc/icinga2/features-enabled/ido-mysql.confželite dodati podatke o bazi podatkov. To lahko storite z naslednjim ukazom.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

V tej datoteki poiščite vrstice, ki so komentirane (začnite z //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

...in jih uredite z uporabnikom/geslom, ki ste ga pravkar ustvarili.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Prepričajte se, da ste vrstice odstranili iz komentarja, tako da odstranite začetni dve poševnici.

Nato znova zaženite storitev, da prevzamete spremembe.

sudo service icinga2 restart

Dodati boste morali povezavo med odjemalskim strežnikom in glavno enoto Icinga2, ki je že konfigurirana. To boste morali storiti z uporabo Firewalld v CentOS 7 ali IPTables v CentOS 6 ali 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Zdaj uredite datoteko gostiteljev, da dodate glavno ime kot lokalno ime domene.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

4. korak: Inicializirajte glavno enoto

Ta korak je treba izvesti na poveljniku Icinga2. Morali ga boste inicializirati kot glavnega, nato ustvariti zahtevo za podpis potrdila, ki jo bo vaša stranka uporabila za komunikacijo.

sudo icinga2 node wizard

To bo zagnalo čarovnika za vozlišče, ki bo postavil več vprašanj. Zaslon bo videti takole, odgovori, ki jih boste dali, pa so navedeni.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Nato znova zaženite Icinga2, da prevzamete spremembe.

sudo service icinga2 restart

Zdaj, ko je glavni, ga lahko uporabite za generiranje niza zahteve za podpis potrdila.

sudo icinga2 pki ticket --cn icinga2client.example.com

Dobili boste vrvico $pkiString. Kopirajte ta niz, saj ga boste potrebovali na odjemalcu.

5. korak: Inicializirajte odjemalca

Zaženite čarovnika za vozlišče, da ustvarite potrdila in se povežete z glavnim strežnikom.

sudo icinga2 node wizard

Pojavila se bo stran, podobna zgornji. Ta stran je prikazana spodaj z vključenimi odgovori.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Pojdite naprej in znova zaženite Icinga2, da prevzamete spremembe.

sudo icinga2 restart

To je morda že storjeno, vendar morate zagotoviti, da so ukazne funkcije in funkcije API-ja omogočene.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

Če niso bili omogočeni, bo pisalo »funkcija omogočena«, zato boste morali znova zagnati demon Icinga2. Toda najprej morate spremeniti lastništvo datotek v /etc/icinga2imeniku, saj imajo nekatere po zagonu čarovnika za vozlišča napačna dovoljenja. Vsi morajo imeti svojega lastnika in skupino nastavljeno na icinga. Spremenite dovoljenja z naslednjim ukazom:

sudo chown -R icinga:icinga /etc/icinga2/

Zdaj lahko znova zaženete demon Icinga2.

sudo service icinga2 restart

6. korak: Konfigurirajte odjemalca

Konfiguracija odjemalca zahteva urejanje nekaj različnih datotek.

• /etc/icinga2/zones.conf: Vsebuje končne točke (strežnike) in območja, ki jih vsebujejo. Tako so strežniki razdeljeni na particije. Prepričajte se, da se imena odjemalcev ujemajo z imeni strežnikov.
• /etc/icinga2/icinga2.conf: Sprejemate ukaze in konfiguracije glavnega strežnika, zato morate to datoteko malo urediti, da se izognete podvojenim definicijam ukazov.

Najprej bomo spremenili zones.confdatoteko, da bo definirala strežnik in območje, v katerem je, ter ustvarili "globalno" območje za definicije ukazov, ki so univerzalne za VSE strežnike, namesto da bi bile edinstvene za vsakega (kot so pregledi diska) .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

Pomembno je vedeti, da sta trenutno lahko le 2 vozlišča na cono. Naredite lahko poljubno število con, vendar če sta na cono več kot 2 vozlišči, obstaja možnost, da storitev Icinga2 ne bo delovala pravilno. To ni problem za odjemalca, razen če že imate 2 vozlišči v coni clientZone, v tem primeru boste morali narediti drugo ime cone.

Zdaj naredite spremembo v /etc/icinga2/icinga2.confdatoteki. Vrstico morate komentirati include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Preverite konfiguracijo, da zagotovite, da je vse pravilno formatirano.

sudo icinga2 daemon -C

Če imate težave z dovoljenji, je verjetno zato, ker je element v lasti root:root. Odločite se icinga:icingaza rešitev.

sudo chown -R icinga:icinga /etc/icinga2/

Obstajajo še druge težave s konfiguracijami, na splošno bodo informacije, podane iz izhoda sudo icinga2 daemon -Cukaza, dovolj podrobne, da jih lahko izsledite. Obravnavanje vsake morebitne težave, ki se pojavi, je izven področja uporabe tega priročnika.

Če je preverjanje uspešno, nadaljujte in znova naložite storitev:

sudo service icinga2 restart

Uporabniku boste morali dati icingadovoljenja sudo, da se bodo ukazi lahko izvajali. Ta dovoljenja sudo bodo omejena na določen imenik vtičnikov. To lahko postavite na konec datoteke.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Zdaj je konfiguracija odjemalca uradno končana. Ni vam treba več spreminjati, vsa preverjanja storitev bodo konfigurirana na glavnem mestu in se bodo razširila navzdol do odjemalca. Vendar pa boste morali namestiti vse dodatne vtičnike, ki jih boste morda potrebovali. Vtičnike je mogoče napisati tudi z uporabo python, perl, BASH, PHP in drugih skriptnih jezikov.

7. korak: Dodajte odjemalca v glavno konfiguracijo

Morali se boste vrniti na glavno enoto, da konfigurirate odjemalca, tako da se lahko poveže. Potrebno je narediti nekaj korakov:

1. Dodajte konfiguracijo gostitelja v repository.d.
2. Dodajte gostitelja v območje kot končno točko.
3. Konfigurirajte vsa preverjanja za odjemalca. To je nekoliko izven obsega tega priročnika, podal bom le osnovno razlago zadevnih korakov.

Konfiguracija gostitelja bo vnesena v /etc/icinga2/repository.d/hosts/icinga2client.example.com.confdatoteko.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Zdaj gostitelj obstaja v konfiguraciji odjemalca, vendar ga je treba postaviti v območje. To območje bo v /etc/icinga2/repository.d/zonesmapi z istim imenom kot ime cone, da bo lažje slediti.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Nato morate dodati global-templatescono.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Nazadnje dodajte končno točko odjemalca, tako da se matrika končnih točk "clientZone" napolni, ko se zažene.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Da se prepričate, da ni težav z dovoljenji, znova spremenite lastnika/skupino.

sudo chown -R icinga:icinga /etc/icinga2

Preverite spremembe konfiguracije, da se prepričate, da ni več težav.

sudo icinga2 daemon -C

Če je preverjanje uspešno, nadaljujte s ponovnim nalaganjem.

sudo service icinga2 restart

Če obiščete vaše spletno mesto Icinga2, boste videli, da je strežnik postal dostopen.

8. korak: Ukazi in preverjanja po meri

Morda boste naleteli na napake "ukaz ni najden" ali "preverjanje ni definirano". Tu nastopi območje globalnih predlog. Konfiguracijo boste morali kopirati v /etc/icinga2/conf.d/datoteke in jih shraniti v /etc/icinga2/zones.d/global-templates/datoteke. Če želite na primer ustvariti ukaz "check_software", morate narediti naslednje.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

software_service_check.shDatoteka bo morala obstajati v /usr/lib64/nagios/pluginsmapi na stranko .

Nato v /etc/icinga2/repository.d/hosts/services.confdatoteko dodajte preverjanje storitve .

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Znova boste morali spremeniti dovoljenja.

sudo chown -R icinga:icinga /etc/icinga2

Nato znova preverite konfiguracijo.

sudo icinga2 daemon -C

Končno, če uspe, znova naložite:

sudo service icinga2 restart

Čestitam! Zdaj uporabljate Icinga2 v modelu master-client in se lahko izognete uporabi nevarnih preverjanj NRPE!