اصلاح Icinga2 برای استفاده از مدل Master / Client در CentOS 6 یا CentOS 7

• پیش نیازها
• مرحله 1: سیستم را به روز کنید
• مرحله 2: بسته های لازم را نصب کنید
• مرحله 3: دیتابیس را تنظیم کنید
• مرحله چهارم: ابتدا استاد را آغاز کنید
• مرحله 5: مشتری را در اولویت قرار دهید
• مرحله ششم: مشتری را پیکربندی کنید
• مرحله 7: مشتری را به پیکربندی اصلی اضافه کنید
• مرحله 8: دستورات و بررسی های سفارشی

Icinga2 یک سیستم مانیتورینگ قدرتمند است و هنگامی که در یک مدل کارشناسی ارشد مشتری استفاده می شود ، می تواند نیاز به کنترل های مبتنی بر NRPE را جایگزین کند. مدل کارشناسی ارشد مشتری به دلایل مختلف از امنیت بیشتری برخوردار است . همچنین اجازه می دهد تا نظارت بیشتری توزیع شود و اجازه می دهد چک ها در یک سرور اصلاح شوند و به دیگران تبلیغ شوند. همچنین می تواند یک مکان متمرکز برای تغییرات ایجاد کند.

به عنوان مثال: بیایید بگوییم شما 4 سرور مختلف وب با بار متعادل دارید. اگر می دانید که می خواهید یک سنبله بار به وجود بیاید (شاید یک فروش یا چیزی که فعالیت زیادی را برای آن پیش بینی می کنید) ، ممکن است بخواهید سطحی را افزایش دهید که در آن استفاده از CPU بالا هشدار دهنده سیستم باشد. اگر از چک های NRPE استفاده می کنید ، باید بر روی هر سرور بروید و /etc/nrpe.d/common_commands.cfgسند را در هر یک از آنها اصلاح کنید. در مدل master-klient ، شما به راحتی می توانید تعاریف میزبان آنها را در /etc/icinga2/repository.d/hosts/پوشه اصلاح کنید ، سپس Icinga را بارگیری مجدد کنید. چک ها به هر سرور پخش می شوند و به صورت خودکار برداشت می شوند. همچنین می توانید با تغییر /etc/icinga2/repository.d/services/پرونده ها ، چک ها را به راحتی اضافه کنید ، و تا زمانی که افزونه ها روی سرورهای مشتری وجود داشته باشد ، آنها به طور خودکار پخش و شناخته می شوند.

پیش نیازها

• نمونه سرور با Icinga2 و Icingaweb2 که قبلاً نصب شده و پیکربندی شده اند ( دستورالعمل ) نامگذاری شده است icinga2master.example.com.
• نمونه جدید سرور Vultr CentOS 6 یا 7 که می خواهید نامگذاری شود icinga2client.example.com.
• دسترسی سودو

برخی از این راهنما دستورالعمل های نصب ذکر شده در بالا را آینه می کنند ، اما این کار باید روی دستگاه مشتری انجام شود نه دستگاه سرور.

مرحله 1: سیستم را به روز کنید

برای نصب بسته های Icinga ، repo "ICINGA" را به سیستم مشتری اضافه کنید.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

مرحله 2: بسته های لازم را نصب کنید

بسته های مورد نیاز را نصب کنید.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 به جای MySQL از MariaDB استفاده می کند ، بنابراین بسته های لازم کمی متفاوت هستند. خدمات را شروع کرده و آنها را تنظیم کنید تا شروع به کار کنند.

sudo chkconfig icinga2 on
sudo service icinga2 start

سرویس MySQL را تنظیم کنید تا از بوت شروع شود و اکنون آن را راه اندازی کنید تا بتوانیم آن را ایمن کنیم.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

نصب MySQL / MariaDB را ایمن کنید. هر دو CentOS 6 و 7 از همان دستور استفاده می کنند.

sudo mysql_secure_installation

در طی فرایند ، به سؤالات پاسخ داده شده همانطور که نشان داده شده است:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

توجه داشته باشید $newRootPasswordکه چندین بار به آن احتیاج دارید و بازنشانی آن درد است.

مرحله 3: دیتابیس را تنظیم کنید

شما باید icingaنام کاربری را ایجاد کنید و طرحواره را به بانک اطلاعاتی وارد کنید. این کار به همان روش در هر دو CentOS 6 و 7 انجام می شود.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

در مرحله بعد ، طرحواره را به دیتابیس که تازه ایجاد کرده اید وارد کنید.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

شما باید $newRootPasswordرمزعبور MySQL / MariaDB را که در طی mysql_secure_installationدستور فوق استفاده کرده اید ، وارد کنید ، نه آن $someIcingaPasswordچیزی که اخیراً ایجاد کرده اید - که بعداً استفاده می شود.

فعال کردن ido(پایگاه داده) ماژول.

sudo icinga2 feature enable ido-mysql

/etc/icinga2/features-enabled/ido-mysql.confبرای افزودن اطلاعات پایگاه داده ، باید فایل را ویرایش کنید. می توانید با دستور زیر این کار را انجام دهید.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

در آن پرونده ، سطرهای مورد نظر را پیدا کنید (با شروع //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

... و آنها را با استفاده از کاربر / رمز عبوری که اخیراً ایجاد کرده اید ویرایش کنید.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

با از بین بردن دو برش اولیه ، مطمئن شوید که خطوط را ناخوشایند می کنید.

بعد ، سرویس را مجدداً انتخاب کنید تا تغییرات را انتخاب کنید.

sudo service icinga2 restart

باید ارتباطی بین سرور مشتری و استاد Icinga2 که قبلاً پیکربندی شده است ، اضافه کنید. شما باید این کار را با استفاده از Firewalld در CentOS 7 یا IPTables در CentOS 6 یا 7 انجام دهید.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

اکنون ، فایل میزبان ها را ویرایش کنید تا استاد به عنوان نام دامنه محلی اضافه شود.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

مرحله چهارم: ابتدا استاد را آغاز کنید

این مرحله باید روی استاد Icinga2 انجام شود. شما باید آن را به عنوان استاد اولیه تنظیم کنید ، سپس یک درخواست امضای گواهی را تهیه کنید که مشتری شما برای برقراری ارتباط از آن استفاده کند.

sudo icinga2 node wizard

این جادوگر گره را اجرا می کند ، که چندین سؤال خواهد پرسید. صفحه مانند شکل زیر خواهد بود ، و پاسخ هایی که شما می دهید ذکر شده است.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

سپس Icinga2 را دوباره انتخاب کنید تا تغییرات را انتخاب کنید.

sudo service icinga2 restart

اکنون که این استاد است ، می توانید از آن برای تولید رشته درخواست امضای گواهی استفاده کنید.

sudo icinga2 pki ticket --cn icinga2client.example.com

شما تعدادی رشته دریافت خواهید کرد $pkiString. آن رشته را کپی کنید ، زیرا به مشتری نیاز دارید.

مرحله 5: مشتری را در اولویت قرار دهید

جادوگر گره را برای تولید گواهی ها اجرا کنید و به استاد متصل شوید.

sudo icinga2 node wizard

با صفحه ای مشابه موارد بالا ارائه می شود. این صفحه در زیر نشان داده شده است.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

پیش بروید و Icinga2 را دوباره انتخاب کنید تا تغییرات را انتخاب کنید.

sudo icinga2 restart

این ممکن است قبلاً انجام شود ، اما شما باید از فعال بودن ویژگی های دستور و API اطمینان حاصل کنید.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

اگر آنها فعال نباشند ، می گویند "ویژگی فعال شده" است ، بنابراین باید Daemon Icinga2 را مجدداً راه اندازی کنید. اما ابتدا باید مالکیت پرونده ها را در /etc/icinga2دایرکتوری تغییر دهید زیرا برخی از آنها بعد از اجرای جادوگر گره دارای مجوزهای اشتباه هستند. همه آنها باید صاحب و گروه خود را تنظیم کنند icinga. مجوزها را با استفاده از دستور زیر تغییر دهید:

sudo chown -R icinga:icinga /etc/icinga2/

اکنون ، می توانید Daemon Icinga2 را مجدداً راه اندازی کنید.

sudo service icinga2 restart

مرحله ششم: مشتری را پیکربندی کنید

پیکربندی مشتری نیاز به ویرایش چند پرونده مختلف دارد.

• /etc/icinga2/zones.conf: شامل نقاط پایانی (سرورها) و مناطقی است که آنها را شامل می شود. اینگونه است که سرورها از هم جدا می شوند. اطمینان حاصل کنید که نام مشتری با نام سرور مطابقت دارد.
• /etc/icinga2/icinga2.conf: شما دستورات و پیکربندیهای استاد را می پذیرید ، بنابراین برای جلوگیری از تعاریف دستورات باید یک ویرایش جزئی در این پرونده انجام دهید.

ابتدا می خواهیم zones.confپرونده را برای تعریف سرور و ناحیه ای که در آن قرار دارد تغییر دهیم ، و همچنین به جای منحصر به فرد برای هر یک از آنها (مانند بررسی دیسک) یک منطقه "جهانی" برای تعریف فرمان که برای همه سرورها جهانی است ایجاد کنیم. .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

دانستن این نکته مهم است که در حال حاضر فقط 2 گره در هر منطقه وجود دارد. شما می توانید هر منطقه را به دلخواه خود ایجاد کنید ، اما در صورت وجود بیش از 2 گره در هر منطقه ، این احتمال وجود دارد که سرویس Icinga2 به درستی کار نکند. این مسئله برای مشتری مشکلی ایجاد نمی کند ، مگر اینکه قبلاً 2 گره در منطقه داشته باشید clientZone، در این صورت شما نیاز به ایجاد نام منطقه دیگری دارید.

اکنون ، اصلاح را در /etc/icinga2/icinga2.confپرونده انجام دهید. شما باید در مورد خط اظهار نظر include_recursive "conf.d"کنید

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

پیکربندی را بررسی کنید تا اطمینان حاصل شود که همه چیز به درستی فرمت شده است.

sudo icinga2 daemon -C

اگر با مشکلات مربوط به مجوزها مواجه شدید ، به احتمال زیاد به دلیل متعلق به آن کالا است root:root. تشکیل هلیوم به icinga:icingaبرای حل و فصل.

sudo chown -R icinga:icinga /etc/icinga2/

مشکلات دیگری در زمینه پیکربندی ها وجود دارد ، به طور کلی اطلاعاتی که از خروجی sudo icinga2 daemon -Cفرمان به دست می آید به اندازه کافی شفاف هستند تا بتوانند آنها را پیگیری کنند. پرداختن به هر مسئله بالقوه ای که پیش می آید ، خارج از محدوده این راهنما نیست.

اگر تأیید انجام شد ، پیش بروید و سرویس را بارگیری مجدد کنید:

sudo service icinga2 restart

شما باید icingaمجوزهای sudo را به کاربر بدهید تا دستورات اجرا شوند. این مجوزهای sudo به فهرست ویژه افزونه محدود می شوند. این فقط می تواند در انتهای پرونده قرار داده شود.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

اکنون پیکربندی مشتری رسماً به پایان رسیده است. دیگر لازم نیست تغییرات دیگری انجام دهید ، هرگونه چک سرویس روی استاد پیکربندی شده و به مشتری ارسال می شود. با این وجود باید افزونه های اضافی مورد نیاز خود را نصب کنید. افزونه ها را می توان با استفاده از پایتون ، پرل ، BASH ، PHP و سایر زبان های نوشتاری نیز نوشت.

مرحله 7: مشتری را به پیکربندی اصلی اضافه کنید

برای پیکربندی مشتری باید به استاد برگردید تا بتواند وصل شود. چند مرحله وجود دارد که باید انجام شود:

1. پیکربندی میزبان را به آن اضافه کنید repository.d.
2. به عنوان نقطه پایانی میزبان را به منطقه اضافه کنید.
3. هرگونه چک را برای مشتری پیکربندی کنید. این کمی از این راهنما خارج است ، من فقط توضیحی اساسی درباره مراحل انجام می دهم.

پیکربندی میزبان در /etc/icinga2/repository.d/hosts/icinga2client.example.com.confپرونده وارد می شود.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

اکنون میزبان در پیکربندی مشتری وجود دارد ، اما باید آن را در یک منطقه قرار دهید. این منطقه در /etc/icinga2/repository.d/zonesپوشه قرار خواهد گرفت و با همان نام منطقه نامگذاری می شود تا ردیابی آن آسان تر شود.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

در مرحله بعد باید global-templatesمنطقه را اضافه کنید .

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

سرانجام ، نقطه پایانی مشتری را اضافه کنید به طوری که هنگام اجرا آرایه نقاط پایانی "clientZone" جمع شود.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

برای اینکه مطمئن شوید مشکلی در مورد مجوزها وجود ندارد ، پیش بروید و دوباره مالک / گروه را تغییر دهید.

sudo chown -R icinga:icinga /etc/icinga2

تغییرات پیکربندی را تأیید کنید تا مطمئن شوید که دیگر مشکلات وجود ندارد.

sudo icinga2 daemon -C

اگر تأیید موفقیت آمیز باشد ، بارگذاری مجدد را انجام دهید.

sudo service icinga2 restart

اگر به وب سایت Icinga2 خود مراجعه کنید ، خواهید دید که سرور قابل دسترسی است.

مرحله 8: دستورات و بررسی های سفارشی

ممکن است با خطاهای مربوط به "دستور یافت نشد" یا "چک نشده تعریف نشده باشد" روبرو شوید. اینجاست که منطقه الگوهای جهانی شروع به کار می کند. شما باید پیکربندی را در /etc/icinga2/conf.d/پرونده ها کپی کرده و آنها را درون /etc/icinga2/zones.d/global-templates/پرونده ها قرار دهید. به عنوان مثال ، برای ایجاد یک دستور "check_software" ، باید موارد زیر را انجام دهید.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

این software_service_check.shپرونده باید در /usr/lib64/nagios/pluginsپوشه موجود در مشتری وجود داشته باشد .

بعد ، بررسی خدمات را در /etc/icinga2/repository.d/hosts/services.confپرونده اضافه کنید.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

باید مجوزها را دوباره تغییر دهید.

sudo chown -R icinga:icinga /etc/icinga2

سپس ، پیکربندی را دوباره بررسی کنید.

sudo icinga2 daemon -C

در آخر ، اگر موفق شد ، بارگیری مجدد کنید:

sudo service icinga2 restart

تبریک می گویم! اکنون از مدل Icinga2 در یک مدل مشتری-مشتری استفاده می کنید و اکنون می توانید از عدم استفاده از چک های نا امن NRPE خودداری کنید!