Ändern von Icinga2 zur Verwendung des Master / Client-Modells unter CentOS 6 oder CentOS 7

• Voraussetzungen
• Schritt 1: Aktualisieren Sie das System
• Schritt 2: Installieren Sie die erforderlichen Pakete
• Schritt 3: Richten Sie die Datenbank ein
• Schritt 4: Initialisieren Sie den Master
• Schritt 5: Initialisieren Sie den Client
• Schritt 6: Konfigurieren Sie den Client
• Schritt 7: Client zur Master-Konfiguration hinzufügen
• Schritt 8: Benutzerdefinierte Befehle und Überprüfungen

Icinga2 ist ein leistungsstarkes Überwachungssystem. Wenn es in einem Master-Client-Modell verwendet wird, kann es die Notwendigkeit von NRPE-basierten Überwachungsprüfungen ersetzen. Das Master-Client-Modell ist aus verschiedenen Gründen sicherer . Es ermöglicht auch eine verteilte Überwachung, indem Überprüfungen auf einem Server geändert und an andere weitergegeben werden können. Es gibt auch einen zentralen Ort für Änderungen.

Beispiel: Angenommen, Sie haben 4 verschiedene Webserver mit Lastenausgleich. Wenn Sie wissen, dass ein Lastanstieg bevorsteht (möglicherweise ein Verkauf oder etwas, für das Sie viel Aktivität erwarten), möchten Sie möglicherweise die Stufe erhöhen, bei der eine hohe CPU-Auslastung die Systemadministratoren benachrichtigt. Wenn Sie NRPE-Prüfungen verwenden, müssen Sie auf jeden Server gehen und das /etc/nrpe.d/common_commands.cfgDokument auf jedem von ihnen ändern . Im Master-Client-Modell können Sie einfach die Hostdefinitionen im /etc/icinga2/repository.d/hosts/Ordner ändern und dann Icinga neu laden. Die Überprüfungen werden an jeden Server weitergegeben und automatisch abgeholt. Sie können auch sehr einfach Überprüfungen hinzufügen, indem Sie die /etc/icinga2/repository.d/services/Dateien ändern. Diese werden automatisch weitergegeben und erkannt, solange die Plug-Ins auf den Client-Servern vorhanden sind.

Voraussetzungen

• Eine Serverinstanz mit Icinga2 und Icingaweb2, die bereits installiert und konfiguriert ist ( Anweisungen ) icinga2master.example.com.
• Eine neue Vultr CentOS 6- oder 7-Serverinstanz, die Sie überwachen möchten icinga2client.example.com.
• Sudo Zugang.

Einige dieser Anleitungen spiegeln die oben aufgeführten Installationsanweisungen wider. Dies muss jedoch auf dem Clientcomputer und nicht auf dem Servercomputer erfolgen.

Schritt 1: Aktualisieren Sie das System

Fügen Sie dem Client-System das Repo "ICINGA" hinzu, um die Icinga-Pakete zu installieren.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Schritt 2: Installieren Sie die erforderlichen Pakete

Installieren Sie die erforderlichen Pakete.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 verwendet MariaDB anstelle von MySQL, daher unterscheiden sich die erforderlichen Pakete geringfügig. Starten Sie die Dienste und stellen Sie sie so ein, dass sie beim Booten gestartet werden.

sudo chkconfig icinga2 on
sudo service icinga2 start

Stellen Sie den MySQL-Dienst so ein, dass er beim Booten startet, und starten Sie ihn jetzt, damit wir ihn sichern können.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Sichern Sie die MySQL / MariaDB-Installation. Sowohl CentOS 6 als auch CentOS 6 verwenden denselben Befehl.

sudo mysql_secure_installation

Beantworten Sie während des Vorgangs die folgenden Fragen:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Notieren $newRootPasswordSie sich, dass Sie es mehrmals benötigen und es ein Schmerz ist, es zurückzusetzen.

Schritt 3: Richten Sie die Datenbank ein

Sie müssen den icingaBenutzernamen erstellen und das Schema in die Datenbank importieren. Dies geschieht auf CentOS 6 und 7 auf die gleiche Weise.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Importieren Sie anschließend das Schema in die gerade erstellte Datenbank.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Sie müssen das $newRootPasswordMySQL / MariaDB-Passwort eingeben, das Sie während des mysql_secure_installationobigen Befehls verwendet haben, nicht das , das $someIcingaPasswordSie gerade erstellt haben - dieses wird später verwendet.

Aktivieren Sie das ido(Datenbank-) Modul.

sudo icinga2 feature enable ido-mysql

Sie müssen die /etc/icinga2/features-enabled/ido-mysql.confDatei bearbeiten , um die Datenbankinformationen hinzuzufügen. Sie können dies mit dem folgenden Befehl tun.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

Suchen Sie in dieser Datei die auskommentierten Zeilen (beginnen Sie mit //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

... und bearbeiten Sie sie mit dem gerade erstellten Benutzer / Passwort.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Stellen Sie sicher, dass Sie die Zeilen auskommentieren, indem Sie die ersten beiden Schrägstriche entfernen.

Starten Sie als Nächstes den Dienst neu, um die Änderungen zu übernehmen.

sudo service icinga2 restart

Sie müssen eine Verbindung zwischen dem Client-Server und dem bereits konfigurierten Icinga2-Master hinzufügen. Sie müssen dies entweder mit Firewalld unter CentOS 7 oder mit IPTables unter CentOS 6 oder 7 tun.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Bearbeiten Sie nun die Hosts-Datei, um den Master als lokalen Domänennamen hinzuzufügen.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Schritt 4: Initialisieren Sie den Master

Dieser Schritt muss auf dem Icinga2-Master ausgeführt werden. Sie müssen es als Master initialisieren und dann eine Zertifikatsignierungsanforderung generieren, die Ihr Client für die Kommunikation verwendet.

sudo icinga2 node wizard

Dadurch wird der Knotenassistent ausgeführt, der mehrere Fragen stellt. Der Bildschirm sieht wie folgt aus und die Antworten, die Sie geben, werden aufgelistet.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Starten Sie dann Icinga2 neu, um die Änderungen zu übernehmen.

sudo service icinga2 restart

Jetzt, da es sich um einen Master handelt, können Sie damit die Zeichenfolge für die Zertifikatsignierungsanforderung generieren.

sudo icinga2 pki ticket --cn icinga2client.example.com

Sie erhalten eine Zeichenfolge $pkiString. Kopieren Sie diese Zeichenfolge so, wie Sie sie auf dem Client benötigen.

Schritt 5: Initialisieren Sie den Client

Führen Sie den Knotenassistenten aus, um die Zertifikate zu generieren und eine Verbindung zum Master herzustellen.

sudo icinga2 node wizard

Es wird eine ähnliche Seite wie oben angezeigt. Diese Seite wird unten mit Antworten angezeigt.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Starten Sie Icinga2 neu, um die Änderungen zu übernehmen.

sudo icinga2 restart

Dies ist möglicherweise bereits geschehen, Sie müssen jedoch sicherstellen, dass die Befehls- und API-Funktionen aktiviert sind.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

Wenn sie nicht aktiviert waren, wird "Funktion aktiviert" angezeigt, sodass Sie den Icinga2-Dämon neu starten müssen. Zunächst müssen Sie jedoch den Besitz der Dateien im /etc/icinga2Verzeichnis ändern , da einige von ihnen nach dem Ausführen des Knotenassistenten über die falschen Berechtigungen verfügen. Sie sollten alle ihren Besitzer und ihre Gruppe auf eingestellt haben icinga. Ändern Sie die Berechtigungen mit dem folgenden Befehl:

sudo chown -R icinga:icinga /etc/icinga2/

Jetzt können Sie den Icinga2-Daemon neu starten.

sudo service icinga2 restart

Schritt 6: Konfigurieren Sie den Client

Die Client-Konfiguration erfordert das Bearbeiten einiger verschiedener Dateien.

• /etc/icinga2/zones.conf: Enthält die Endpunkte (Server) und Zonen, in denen sie enthalten sind. So werden die Server partitioniert. Stellen Sie sicher, dass die Client-Namen mit den Servernamen übereinstimmen.
• /etc/icinga2/icinga2.conf: Sie akzeptieren Befehle und Konfigurationen vom Master, daher müssen Sie diese Datei geringfügig bearbeiten, um doppelte Befehlsdefinitionen zu vermeiden.

Zunächst ändern wir die zones.confDatei, um den Server und die Zone zu definieren, in der er sich befindet, und erstellen eine "globale" Zone für Befehlsdefinitionen, die für ALLE Server universell sind, anstatt für jeden Server eindeutig zu sein (z. B. Festplattenprüfungen). .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

Es ist wichtig zu wissen, dass derzeit nur 2 Knoten pro Zone vorhanden sein können. Sie können so viele Zonen erstellen, wie Sie möchten. Wenn jedoch mehr als 2 Knoten pro Zone vorhanden sind, besteht die Möglichkeit, dass der Icinga2-Dienst nicht ordnungsgemäß funktioniert. Dies ist auf dem Client kein Problem, es sei denn, Sie haben bereits 2 Knoten in der Zone clientZone. In diesem Fall müssen Sie einen anderen Zonennamen festlegen.

Nehmen Sie nun die Änderung in der /etc/icinga2/icinga2.confDatei vor. Sie müssen die Zeile auskommentieren include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Überprüfen Sie die Konfiguration, um sicherzustellen, dass alles korrekt formatiert ist.

sudo icinga2 daemon -C

Wenn Sie Berechtigungsprobleme haben, liegt dies wahrscheinlich daran, dass das Element Eigentum von ist root:root. Geblasen, um icinga:icingazu lösen.

sudo chown -R icinga:icinga /etc/icinga2/

Es gibt andere Probleme mit den Konfigurationen. Im Allgemeinen sind die Informationen aus der Ausgabe des sudo icinga2 daemon -CBefehls ausführlich genug, um sie aufzuspüren. Die Behandlung aller potenziellen Probleme, die auftreten, liegt außerhalb des Geltungsbereichs dieses Handbuchs.

Wenn die Überprüfung erfolgreich ist, laden Sie den Dienst neu:

sudo service icinga2 restart

Sie müssen dem icingaBenutzer sudo-Berechtigungen erteilen, damit die Befehle ausgeführt werden können. Diese Sudo-Berechtigungen sind auf das jeweilige Plugin-Verzeichnis beschränkt. Dies kann einfach am Ende der Datei eingefügt werden.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Jetzt ist die Client-Konfiguration offiziell abgeschlossen. Sie sollten keine weiteren Änderungen vornehmen müssen. Alle Serviceprüfungen werden auf dem Master konfiguriert und an den Client weitergegeben. Sie müssen jedoch alle zusätzlichen Plug-Ins installieren, die Sie möglicherweise benötigen. Plug-Ins können auch mit Python, Perl, BASH, PHP und anderen Skriptsprachen geschrieben werden.

Schritt 7: Client zur Master-Konfiguration hinzufügen

Sie müssen wieder auf den Master zugreifen, um den Client so zu konfigurieren, dass er verbunden werden kann. Es müssen einige Schritte unternommen werden:

1. Fügen Sie die Host-Konfiguration hinzu repository.d.
2. Fügen Sie der Zone einen Host als Endpunkt hinzu.
3. Konfigurieren Sie alle Überprüfungen für den Client. Dies liegt etwas außerhalb des Geltungsbereichs dieses Handbuchs. Ich werde nur eine grundlegende Erklärung der damit verbundenen Schritte geben.

Die Host-Konfiguration wird in die /etc/icinga2/repository.d/hosts/icinga2client.example.com.confDatei eingegeben .

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Jetzt ist der Host in der Client-Konfiguration vorhanden, muss jedoch in eine Zone verschoben werden. Diese Zone befindet sich im /etc/icinga2/repository.d/zonesOrdner mit demselben Namen wie der Zonenname, um die Übersicht zu erleichtern.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Als nächstes müssen Sie die global-templatesZone hinzufügen .

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Fügen Sie abschließend den Client-Endpunkt hinzu, damit das Endpunkt-Array "clientZone" bei der Ausführung ausgefüllt wird.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Um sicherzustellen, dass keine Berechtigungsprobleme vorliegen, ändern Sie den Eigentümer / die Gruppe erneut.

sudo chown -R icinga:icinga /etc/icinga2

Überprüfen Sie die Konfigurationsänderungen, um sicherzustellen, dass keine Probleme mehr auftreten.

sudo icinga2 daemon -C

Wenn die Überprüfung erfolgreich ist, fahren Sie mit dem erneuten Laden fort.

sudo service icinga2 restart

Wenn Sie Ihre Icinga2-Website besuchen, wird der Server zugänglich.

Schritt 8: Benutzerdefinierte Befehle und Überprüfungen

Möglicherweise treten Fehler bei "Befehl nicht gefunden" oder "Prüfung nicht definiert" auf. Hier kommt die Zone der globalen Vorlagen ins Spiel. Sie müssen die Konfiguration in /etc/icinga2/conf.d/Dateien kopieren und in /etc/icinga2/zones.d/global-templates/Dateien ablegen. Um beispielsweise einen Befehl "check_software" zu erstellen, müssen Sie die folgenden Schritte ausführen.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

Die software_service_check.shDatei muss im /usr/lib64/nagios/pluginsOrdner auf dem Client vorhanden sein .

Fügen Sie als Nächstes die Serviceprüfung in die /etc/icinga2/repository.d/hosts/services.confDatei ein.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Sie müssen die Berechtigungen erneut ändern.

sudo chown -R icinga:icinga /etc/icinga2

Überprüfen Sie anschließend die Konfiguration erneut.

sudo icinga2 daemon -C

Wenn dies erfolgreich ist, laden Sie Folgendes neu:

sudo service icinga2 restart

Herzliche Glückwünsche! Sie verwenden jetzt Icinga2 in einem Master-Client-Modell und müssen jetzt die unsicheren NRPE-Prüfungen vermeiden!