Modificación de Icinga2 para usar el modelo maestro / cliente en CentOS 6 o CentOS 7

• Prerrequisitos
• Paso 1: actualiza el sistema
• Paso 2: Instale los paquetes requeridos
• Paso 3: configurar la base de datos
• Paso 4: inicializa el maestro
• Paso 5: inicialice el cliente
• Paso 6: configurar el cliente
• Paso 7: Agregar cliente a la configuración maestra
• Paso 8: comandos y comprobaciones personalizadas

Icinga2 es un poderoso sistema de monitoreo, y cuando se usa en un modelo maestro-cliente, puede reemplazar la necesidad de controles de monitoreo basados ​​en NRPE. El modelo maestro-cliente es más seguro por varias razones . También permite una supervisión más distribuida al permitir que las comprobaciones se modifiquen en un servidor y se propaguen a otros. También proporciona una ubicación centralizada para los cambios.

Por ejemplo: supongamos que tiene 4 servidores web de carga equilibrada diferentes. Si sabe que va a tener un pico de carga (tal vez una venta o algo por lo que anticipa mucha actividad), es posible que desee aumentar los niveles en los que un alto uso de CPU alerta a los administradores del sistema. Si está utilizando verificaciones NRPE, deberá ir a cada servidor y modificar el /etc/nrpe.d/common_commands.cfgdocumento en cada uno de ellos. En el modelo maestro-cliente, simplemente puede modificar sus definiciones de host en la /etc/icinga2/repository.d/hosts/carpeta y luego volver a cargar Icinga. Las comprobaciones se propagarán a cada servidor y se recogerán automáticamente. También puede agregar controles muy fácilmente modificando los /etc/icinga2/repository.d/services/archivos, y se propagarán automáticamente y serán reconocidos, siempre que los complementos existan en los servidores del cliente.

Prerrequisitos

• Una instancia de servidor con Icinga2 e Icingaweb2 ya instalada y configurada ( instrucciones ) con nombre icinga2master.example.com.
• Una nueva instancia de servidor Vultr CentOS 6 o 7 que desea supervisar con nombre icinga2client.example.com.
• Acceso a sudo.

Parte de esta guía reflejará las instrucciones de instalación enumeradas anteriormente, pero esto debe hacerse en la máquina del cliente, no en la máquina del servidor.

Paso 1: actualiza el sistema

Agregue el repositorio "ICINGA" al sistema del cliente para instalar los paquetes de Icinga.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Paso 2: Instale los paquetes requeridos

Instale los paquetes requeridos.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 usa MariaDB en lugar de MySQL, por lo que los paquetes necesarios son ligeramente diferentes. Inicie los servicios y configúrelos para que se inicien en el arranque.

sudo chkconfig icinga2 on
sudo service icinga2 start

Configure el servicio MySQL para que se inicie en el arranque e inícielo ahora para que podamos asegurarlo.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Asegure la instalación de MySQL / MariaDB. Tanto CentOS 6 como 7 usan el mismo comando.

sudo mysql_secure_installation

Durante el proceso, responda las preguntas como se muestra:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Tome nota de $newRootPasswordque lo necesitará varias veces, y es difícil restablecerlo.

Paso 3: configurar la base de datos

Debe crear el icinganombre de usuario e importar el esquema a la base de datos. Esto se hace de la misma manera en CentOS 6 y 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

A continuación, importe el esquema a la base de datos que acaba de crear.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Deberá ingresar la $newRootPasswordcontraseña de MySQL / MariaDB que usó durante el mysql_secure_installationcomando anterior, no la $someIcingaPasswordque acaba de crear, esa se usa más tarde.

Habilite el idomódulo (base de datos).

sudo icinga2 feature enable ido-mysql

Deberá editar el /etc/icinga2/features-enabled/ido-mysql.confarchivo para agregar la información de la base de datos. Puede hacerlo con el siguiente comando.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

En ese archivo, busque las líneas que están comentadas (comience con //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

... y edítelos usando el usuario / contraseña que acaba de crear.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Asegúrese de descomentar las líneas eliminando las dos barras diagonales iniciales.

Luego, reinicie el servicio para recoger los cambios.

sudo service icinga2 restart

Deberá agregar una conexión entre el servidor del cliente y el maestro Icinga2 que ya se ha configurado. Deberá hacerlo utilizando Firewalld en CentOS 7 o IPTables en CentOS 6 o 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Ahora, edite el archivo de hosts para agregar el maestro como un nombre de dominio local.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Paso 4: inicializa el maestro

Este paso debe hacerse en el maestro Icinga2. Deberá inicializarlo como maestro, luego generar una solicitud de firma de certificado que su cliente utilizará para comunicarse.

sudo icinga2 node wizard

Esto ejecutará el asistente de nodo, que hará varias preguntas. La pantalla tendrá el siguiente aspecto y se enumeran las respuestas que dará.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Luego, reinicie Icinga2 para recoger los cambios.

sudo service icinga2 restart

Ahora que es un maestro, puede usarlo para generar la cadena de solicitud de firma de certificado.

sudo icinga2 pki ticket --cn icinga2client.example.com

Obtendrás un poco de cuerda $pkiString. Copie esa cadena, ya que la necesitará en el cliente.

Paso 5: inicialice el cliente

Ejecute el asistente de nodo para generar los certificados y conectarse al maestro.

sudo icinga2 node wizard

Aparecerá una página similar a la anterior. Esta página se muestra a continuación con las respuestas incluidas.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Continúe y reinicie Icinga2 para recoger los cambios.

sudo icinga2 restart

Es posible que esto ya esté hecho, pero debe asegurarse de que el comando y las características de la API estén habilitados.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

Si no estaban habilitados, dirá "función habilitada", por lo que deberá reiniciar el demonio Icinga2. Pero primero, debe cambiar la propiedad de los archivos en el /etc/icinga2directorio, ya que algunos de ellos tienen los permisos incorrectos después de ejecutar el asistente de nodo. Todos deberían tener su propietario y grupo configurado icinga. Cambie los permisos utilizando el siguiente comando:

sudo chown -R icinga:icinga /etc/icinga2/

Ahora, puede reiniciar el demonio Icinga2.

sudo service icinga2 restart

Paso 6: configurar el cliente

La configuración del cliente requiere editar algunos archivos diferentes.

• /etc/icinga2/zones.conf: Contiene los puntos finales (servidores) y las zonas que los contienen. Así es como se dividen los servidores. Asegúrese de que los nombres de los clientes coincidan con los nombres del servidor.
• /etc/icinga2/icinga2.conf: Está aceptando comandos y configuraciones del maestro, por lo que debe realizar una edición menor en este archivo para evitar definiciones de comandos duplicadas.

Primero, vamos a modificar el zones.confarchivo para definir el servidor y la zona en la que se encuentra, así como crear una zona "global" para las definiciones de comando que sean universales para TODOS los servidores, en lugar de ser únicos para cada uno (como las comprobaciones de disco) .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

Es importante saber que solo puede haber 2 nodos por zona en este momento. Puede crear tantas zonas como desee, pero si hay más de 2 nodos por zona, existe la posibilidad de que el servicio Icinga2 no funcione correctamente. Esto no es un problema en el cliente, a menos que ya tenga 2 nodos en la zona clientZone, en cuyo caso necesitará crear otro nombre de zona.

Ahora, realice la modificación en el /etc/icinga2/icinga2.confarchivo. Necesitas comentar la línea include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Verifique la configuración para asegurarse de que todo esté formateado correctamente.

sudo icinga2 daemon -C

Si tiene problemas de permisos, es probable que el artículo sea de su propiedad root:root. Conocido icinga:icingapara resolver.

sudo chown -R icinga:icinga /etc/icinga2/

Hay otros problemas con las configuraciones, generalmente la información dada por el resultado del sudo icinga2 daemon -Ccomando será lo suficientemente detallada como para rastrearlos. Abordar cada posible problema que surja está fuera del alcance de esta guía.

Si la verificación se realiza correctamente, continúe y vuelva a cargar el servicio:

sudo service icinga2 restart

Deberá otorgarle al icingausuario permisos de sudo para que se puedan ejecutar los comandos. Estos permisos de sudo estarán restringidos al directorio de complementos específico. Esto solo se puede poner al final del archivo.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Ahora la configuración del cliente está oficialmente terminada. No debería necesitar hacer más modificaciones, cualquier verificación de servicio se configurará en el maestro y se propagará al cliente. Sin embargo, deberá instalar cualquier complemento adicional que pueda necesitar. Los complementos también se pueden escribir usando python, perl, BASH, PHP y otros lenguajes con script.

Paso 7: Agregar cliente a la configuración maestra

Deberá volver al maestro para configurar el cliente para que pueda conectarse. Hay algunos pasos que deberán tomarse:

1. Agregar configuración de host a repository.d.
2. Agregar host a la zona como punto final.
3. Configure cualquier verificación para el cliente. Esto está ligeramente fuera del alcance de esta guía, proporcionaré solo una explicación básica de los pasos involucrados.

La configuración del host se ingresará en el /etc/icinga2/repository.d/hosts/icinga2client.example.com.confarchivo.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Ahora el host existe en la configuración del cliente, pero debe colocarse en una zona. Esta zona estará en la /etc/icinga2/repository.d/zonescarpeta, con el mismo nombre que el nombre de la zona para facilitar el seguimiento.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

A continuación, debe agregar la global-templateszona.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Finalmente, agregue el punto final del cliente para que la matriz de puntos finales "clientZone" se complete cuando se ejecute.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Para asegurarse de que no haya problemas de permisos, continúe y cambie el propietario / grupo nuevamente.

sudo chown -R icinga:icinga /etc/icinga2

Verifique los cambios de configuración para asegurarse de que no haya más problemas.

sudo icinga2 daemon -C

Si la verificación tiene éxito, continúe con la recarga.

sudo service icinga2 restart

Si visita su sitio web Icinga2, verá que se puede acceder al servidor.

Paso 8: comandos y comprobaciones personalizadas

Puede encontrar errores sobre "comando no encontrado" o "verificación no definida". Aquí es donde entra en juego la zona de plantillas globales. Deberá copiar la configuración en /etc/icinga2/conf.d/archivos y colocarlos en /etc/icinga2/zones.d/global-templates/archivos. Por ejemplo, para crear un comando "check_software", deberá hacer lo siguiente.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

El software_service_check.sharchivo deberá existir en la /usr/lib64/nagios/pluginscarpeta del cliente .

Luego, agregue la verificación de servicio en el /etc/icinga2/repository.d/hosts/services.confarchivo.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Deberá cambiar los permisos nuevamente.

sudo chown -R icinga:icinga /etc/icinga2

Luego, vuelva a verificar la configuración.

sudo icinga2 daemon -C

Finalmente, si tiene éxito, vuelva a cargar:

sudo service icinga2 restart

¡Felicidades! ¡Ahora está usando Icinga2 en un modelo maestro-cliente y ahora puede evitar tener que usar las comprobaciones inseguras de NRPE!