Ako bezpečne monitorovať vzdialené servery pomocou Zabbix na CentOS 7

Nainštalujte a nakonfigurujte PostgreSQL

Nastavte agenta na vzdialených počítačoch so systémom Linux

Zabbix je bezplatný a open source podnikový softvér, ktorý sa používa na monitorovanie dostupnosti systémov a sieťových komponentov. Zabbix dokáže súčasne monitorovať tisíce serverov, virtuálnych strojov alebo sieťových komponentov. Zabbix dokáže monitorovať takmer všetko, čo súvisí so systémom, ako je CPU, pamäť, miesto na disku a IO, procesy, sieť, databázy, virtuálne stroje a webové služby. Ak je zariadeniu Zabbix poskytnutý prístup IPMI, môže tiež monitorovať hardvér, ako je teplota, napätie atď.

Predpoklady

Inštancia servera Vultr CentOS 7.
Sudo používateľ .

Pre tento tutoriál použijeme 192.0.2.1ako verejnú IP adresu servera Zabbix a 192.0.2.2ako verejnú IP adresu hostiteľa Zabbix, ktorý budeme monitorovať na diaľku. Uistite sa, že ste nahradili všetky výskyty vzorovej adresy IP vašimi skutočnými verejnými adresami IP.

Aktualizujte svoj základný systém pomocou príručky Ako aktualizovať CentOS 7 . Po aktualizácii systému pokračujte v inštalácii závislostí.

Nainštalujte Apache a PHP

Po inštalácii Zabbix web automaticky vytvorí konfiguráciu pre Apache.

Nainštalujte Apache, aby ste mohli obsluhovať front-end Zabbix alebo webové používateľské rozhranie.

sudo yum -y install httpd

Spustite Apache a povoľte jeho automatické spustenie pri štarte.

sudo systemctl start httpd
sudo systemctl enable httpd

Pridajte a povoľte Remiúložisko, pretože predvolené YUMúložisko obsahuje staršiu verziu PHP.

sudo rpm -Uvh http://rpms.remirepo.net/enterprise/remi-release-7.rpm
sudo yum -y install yum-utils
sudo yum-config-manager --enable remi-php71

Nainštalujte si najnovšiu verziu PHP spolu s modulmi, ktoré vyžaduje Zabbix.

sudo yum -y install php php-cli php-gd php-bcmath php-ctype php-xml php-xmlreader php-xmlwriter php-session php-sockets php-mbstring php-gettext php-ldap php-pgsql php-pear-Net-Socket

Nainštalujte a nakonfigurujte PostgreSQL

PostgreSQL je objektovo-relačný databázový systém. Do svojho systému budete musieť pridať úložisko PostgreSQL, pretože predvolené úložisko YUM obsahuje staršiu verziu PostgreSQL.

sudo rpm -Uvh https://download.postgresql.org/pub/repos/yum/9.6/redhat/rhel-7-x86_64/pgdg-centos96-9.6-3.noarch.rpm

Nainštalujte databázový server PostgreSQL.

sudo yum -y install postgresql96-server postgresql96-contrib

Inicializujte databázu.

sudo /usr/pgsql-9.6/bin/postgresql96-setup initdb

initdb vytvorí nový databázový klaster, čo je skupina databáz spravovaných jedným serverom.

Upravte, pg_hba.confaby ste povolili autentifikáciu založenú na MD5.

sudo nano /var/lib/pgsql/9.6/data/pg_hba.conf

Nájdite nasledujúce riadky a zmeňte peerna trusta idnetna md5.

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# "local" is for Unix domain socket connections only
local   all             all                                     peer
# IPv4 local connections:
host    all             all             127.0.0.1/32            idnet
# IPv6 local connections:
host    all             all             ::1/128                 idnet

Po aktualizácii by konfigurácia mala vyzerať tak, ako je uvedené nižšie.

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# "local" is for Unix domain socket connections only
local   all             all                                     trust
# IPv4 local connections:
host    all             all             127.0.0.1/32            md5
# IPv6 local connections:
host    all             all             ::1/128                 md5

Spustite server PostgreSQL a povoľte jeho automatické spustenie pri štarte.

sudo systemctl start postgresql-9.6
sudo systemctl enable postgresql-9.6

Zmeňte passwordpre predvoleného používateľa PostgreSQL.

sudo passwd postgres

Prihláste sa ako používateľ PostgreSQL.

sudo su - postgres

Vytvorte nového používateľa PostgreSQL pre Zabbix.

createuser zabbix

Prepnite sa do prostredia PostgreSQL.

psql

Nastavte heslo pre novovytvoreného používateľa databázy pre databázu Zabbix.

ALTER USER zabbix WITH ENCRYPTED password 'StrongPassword';

Vytvorte novú databázu pre Zabbix.

CREATE DATABASE zabbix OWNER zabbix;

Vyjdite z psqlulity.

\q

Prepnúť na sudopoužívateľa z aktuálneho postgrespoužívateľa.

exit

Nainštalujte Zabbix

Zabbix poskytuje binárne súbory pre CentOS, ktoré je možné nainštalovať priamo z úložiska Zabbix. Pridajte úložisko Zabbix do svojho systému.

sudo rpm -ivh http://repo.zabbix.com/zabbix/3.4/rhel/7/x86_64/zabbix-release-3.4-1.el7.centos.noarch.rpm

Nainštalujte Zabbix servera Zabbix web.

sudo yum -y install zabbix-server-pgsql zabbix-web-pgsql

Importujte databázu PostgreSQL.

zcat /usr/share/doc/zabbix-server-pgsql-3.4.*/create.sql.gz | psql -U zabbix zabbix

Na konci výstupu by ste mali vidieť niečo podobné ako nasledujúce.

...
INSERT 0 1
INSERT 0 1
COMMIT

Ak chcete aktualizovať podrobnosti databázy, otvorte konfiguračný súbor Zabbix.

sudo nano /etc/zabbix/zabbix_server.conf

Nájdite nasledujúce riadky a aktualizujte hodnoty podľa konfigurácie vašej databázy. Budete musieť odkomentovať riadky DBHosta DBPort.

DBHost=localhost
DBName=zabbix
DBUser=zabbix
DBPassword=StrongPassword
DBPort=5432

Zabbix automatically installs the virtual host file for Apache. We will need to configure the virtual host to update the timezone and PHP version.

sudo nano /etc/httpd/conf.d/zabbix.conf

Find the following lines.

<IfModule mod_php5.c>
...
#php_value date.timezone Europe/Riga

Since we are using PHP version 7, you will also need to update the mod_php version. Update the lines according to your timezone as shown below.

<IfModule mod_php7.c>
...
php_value date.timezone Asia/Kolkata

Now restart Apache to apply these changes in configuration.

sudo systemctl restart httpd

Start the Zabbix server and enable it to automatically start at boot.

sudo systemctl start zabbix-server
sudo systemctl enable zabbix-server

You should have the Zabbix server running now. You can check the status of the process by running this.

sudo systemctl status zabbix-server

Modify the firewall to allow the standard HTTP and HTTPS port. You will also need to allow port 10051 through the firewall, which will be used by Zabbix to obtain the events from Zabbix agent running on remote machines.

sudo firewall-cmd --zone=public --permanent --add-service=http
sudo firewall-cmd --zone=public --permanent --add-service=https
sudo firewall-cmd --zone=public --permanent --add-port=10051/tcp
sudo firewall-cmd --reload

To access the administration dashboard, you can open http://192.0.2.1/zabbix using your favorite browser. You will see a welcome message. You should have all the prerequisites satisfied on the next interface. Follow the instructions on the installer page to install the software. Once the software has been installed, login using the username Admin and password zabbix. Zabbix is now installed and ready to collect the data from the Zabbix agent.

Setup a Zabbix Agent on the Server

To monitor the server on which Zabbix is installed, you can set up the agent on the server. The Zabbix agent will gather the event data from the Linux server to send it to the Zabbix server. By default, port 10050 is used to send the events and data to the server.

Install the Zabbix agent.

sudo yum -y install zabbix-agent

Start the agent and enable it to automatically start at boot.

sudo systemctl start zabbix-agent
sudo systemctl enable zabbix-agent

The communication between the Zabbix agent and the Zabbix server is done locally, thus there is no need to set up any encryption.

Before the Zabbix server can receive any data, you need to enable the host. Login to the web administration dashboard of the Zabbix server and go to Configuration >> Host. You will see a disabled entry of the Zabbix server host. Select the entry and click on the "Enable" button to enable the monitoring of the Zabbix server application and the base CentOS system on which the Zabbix server is installed.

Setup the Agent on Remote Linux Machines

There are three methods by which a remote Zabbix agent can send events to the Zabbix server. The first method is to use an unencrypted connection, and the second is using a secured pre-shared key. The third and most secure way is to encrypt the transmission using RSA certificates.

Before we proceed to install and configure the Zabbix agent on the remote machine, we need to generate the certificates on the Zabbix server system. We will use self-signed certificates.

Run the following commands on the Zabbix server as a sudo user.

Create a new directory to store Zabbix keys and generate the private key for the CA.

mkdir ~/zabbix-keys && cd ~/zabbix-keys
openssl genrsa -aes256 -out zabbix-ca.key 4096

It will ask you for a passphrase to protect the private key. Once the private key has been generated, proceed to generate the certificate for the CA.

openssl req -x509 -new -key zabbix-ca.key -sha256 -days 3560 -out zabbix-ca.crt

Provide the passphrase of the private key. It will ask you for a few details about your country, state, organization. Provide the details accordingly.

[user@vultr zabbix-keys]$ openssl req -x509 -new -key zabbix-ca.key -sha256 -days 3560 -out zabbix-ca.crt
Enter passphrase for `zabbix-ca.key`:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:IN
State or Province Name (full name) []:My State
Locality Name (eg, city) [Default City]:My City
Organization Name (eg, company) [Default Company Ltd]:My Organization
Organizational Unit Name (eg, section) []:My Unit
Common Name (eg, your name or your server's hostname) []:Zabbix CA
Email Address []:[email protected]

We have successfully generated the CA certificate. Generate the private key and CSR for Zabbix server.

openssl genrsa -out zabbix-server.key 2048
openssl req -new -key zabbix-server.key -out zabbix-server.csr

Please do not provide a passphrase to encrypt the private key when running the above command. Using the CSR, generate the certificate for the Zabbix server.

openssl x509 -req -in zabbix-server.csr -CA zabbix-ca.crt -CAkey zabbix-ca.key -CAcreateserial -out zabbix-server.crt -days 1825 -sha256

Similarly, generate the private key and CSR for the Zabbix host or agent.

openssl genrsa -out zabbix-host1.key 2048
openssl req -new -key zabbix-host1.key -out zabbix-host1.csr

Now generate the certificate.

openssl x509 -req -in zabbix-host1.csr -CA zabbix-ca.crt -CAkey zabbix-ca.key -CAcreateserial -out zabbix-host1.crt -days 1460 -sha256

Copy the certificates into the Zabbix configuration directory.

sudo mkdir /etc/zabbix/keys
sudo cp zabbix-ca.* zabbix-server.* /etc/zabbix/keys

Provide the ownership of the certificates to the Zabbix user.

sudo chown -R zabbix: /etc/zabbix/keys

Open the configuration file of the Zabbix server to update the path of the certificates.

sudo nano /etc/zabbix/zabbix_server.conf

Find these lines in the configuration file and change them as shown.

TLSCAFile=/etc/zabbix/keys/zabbix-ca.crt
TLSCertFile=/etc/zabbix/keys/zabbix-server.crt
TLSKeyFile=/etc/zabbix/keys/zabbix-server.key

Uložte súbor a ukončite editor. Reštartujte server Zabbix, aby sa zmena v konfigurácii prejavila.

sudo systemctl restart zabbix-server

Skopírujte certifikáty pomocou scppríkazu na hostiteľský počítač, ktorý chcete monitorovať.

cd ~/zabbix-keys
scp zabbix-ca.crt zabbix-host1.* [email protected]:~

Uistite sa, že nahradíte 192.0.2.2skutočnou IP adresou vzdialeného hostiteľa, na ktorý chcete nainštalovať agenta Zabbix.

Nainštalujte hostiteľa Zabbix

Teraz, keď sme skopírovali certifikáty do hostiteľského systému, sme pripravení nainštalovať agenta Zabbix.

Odteraz musia byť všetky príkazy vykonávané na hostiteľovi, ktorý chcete monitorovať .

Pridajte úložisko Zabbix do systému.

sudo rpm -ivh http://repo.zabbix.com/zabbix/3.4/rhel/7/x86_64/zabbix-release-3.4-1.el7.centos.noarch.rpm

Nainštalujte do systému agenta Zabbix.

sudo yum -y install zabbix-agent

Presuňte kľúč a certifikáty do konfiguračného adresára Zabbix.

sudo mkdir /etc/zabbix/keys
sudo mv ~/zabbix-ca.crt ~/zabbix-host1.* /etc/zabbix/keys/

Poskytnite vlastníctvo certifikátov používateľovi Zabbix.

sudo chown -R zabbix: /etc/zabbix/keys

Otvorte konfiguračný súbor agenta Zabbix a aktualizujte IP adresu servera a cestu ku kľúču a certifikátom.

sudo nano /etc/zabbix/zabbix_agentd.conf

Nájdite nasledujúci riadok a vykonajte potrebné zmeny, aby vyzerali ako na obrázku nižšie.

Server=192.0.2.1                    # Replace with actual Zabbix server IP
ServerActive=192.0.2.1              # Replace with actual Zabbix server IP
Hostname=Zabbix host1               # Provide a appropriate name or hostname

Názov hostiteľa musí byť jedinečný reťazec, ktorý nie je špecifikovaný pre žiadny iný hostiteľský systém. Prosím, poznačte si názov hostiteľa, pretože budeme musieť nastaviť presný názov hostiteľa na serveri Zabbix.

Ďalej aktualizujte hodnoty týchto parametrov.

TLSConnect=cert
TLSAccept=cert
TLSCAFile=/etc/zabbix/keys/zabbix-ca.crt
TLSCertFile=/etc/zabbix/keys/zabbix-host1.crt
TLSKeyFile=/etc/zabbix/keys/zabbix-host1.key

Teraz reštartujte agenta Zabbix a povoľte mu automatické spustenie pri štarte.

sudo systemctl restart zabbix-agent
sudo systemctl enable zabbix-agent

Úspešne ste nakonfigurovali agenta Zabbix na hostiteľskom systéme. Prezrite si administračný panel Zabbix na https://192.0.2.1/zabbixa pridajte novo nakonfigurovaného hostiteľa.

Prejdite na Configuration >> Hostsa kliknite na Create Hosttlačidlo v pravom hornom rohu.