Memodifikasi Icinga2 untuk Menggunakan Model Master / Client pada CentOS 6 atau CentOS 7

• Prasyarat
• Langkah 1: Perbarui sistem
• Langkah 2: Instal paket yang diperlukan
• Langkah 3: Siapkan basis data
• Langkah 4: Inisialisasi master
• Langkah 5: Inisialisasi klien
• Langkah 6: Konfigurasikan klien
• Langkah 7: Tambahkan klien ke master konfigurasi
• Langkah 8: Perintah khusus dan pemeriksaan

Icinga2 adalah sistem pemantauan yang kuat, dan ketika digunakan dalam model master-client, Icinga2 dapat menggantikan kebutuhan akan pemeriksaan pemantauan berbasis NRPE. Model master-client lebih aman karena berbagai alasan . Ini juga memungkinkan pemantauan yang lebih terdistribusi dengan memungkinkan pemeriksaan dimodifikasi pada satu server dan menyebar ke yang lain. Ini juga memberikan satu lokasi terpusat untuk perubahan.

Sebagai contoh: Katakanlah Anda memiliki 4 server web dengan beban berbeda. Jika Anda tahu bahwa Anda akan mengalami lonjakan beban (mungkin penjualan atau sesuatu yang Anda antisipasi banyak kegiatan), Anda mungkin ingin meningkatkan level di mana penggunaan CPU yang tinggi memperingatkan admin sistem. Jika Anda menggunakan pemeriksaan NRPE, Anda harus masuk ke setiap server dan memodifikasi /etc/nrpe.d/common_commands.cfgdokumen pada masing-masing. Dalam model master-client, Anda cukup memodifikasi definisi host mereka di /etc/icinga2/repository.d/hosts/folder, lalu memuat ulang Icinga. Pemeriksaan akan menyebar ke setiap server dan akan diambil secara otomatis. Anda juga dapat menambahkan cek dengan sangat mudah dengan memodifikasi /etc/icinga2/repository.d/services/file, dan mereka akan secara otomatis menyebar dan dikenali, selama plug-in ada di server klien.

Prasyarat

• Contoh server dengan Icinga2 dan Icingaweb2 sudah diinstal dan dikonfigurasi ( instruksi ) bernama icinga2master.example.com.
• Contoh server Vultr CentOS 6 atau 7 baru yang ingin Anda pantau bernama icinga2client.example.com.
• Akses sudo.

Beberapa panduan ini akan mencerminkan petunjuk pemasangan yang tercantum di atas, tetapi ini harus dilakukan pada mesin klien, bukan mesin server.

Langkah 1: Perbarui sistem

Tambahkan repo "ICINGA" ke sistem klien untuk menginstal paket Icinga.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Langkah 2: Instal paket yang diperlukan

Instal paket yang diperlukan.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 menggunakan MariaDB bukan MySQL, sehingga paket-paket yang diperlukan sedikit berbeda. Mulai layanan, dan atur untuk memulai saat boot.

sudo chkconfig icinga2 on
sudo service icinga2 start

Atur layanan MySQL untuk memulai saat boot dan mulai sekarang sehingga kita dapat mengamankannya.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Amankan instalasi MySQL / MariaDB. CentOS 6 dan 7 menggunakan perintah yang sama.

sudo mysql_secure_installation

Selama proses, jawab pertanyaan seperti yang ditunjukkan:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Catat $newRootPasswordkarena Anda akan membutuhkannya beberapa kali, dan sulit untuk mengatur ulang.

Langkah 3: Siapkan basis data

Anda perlu membuat icinganama pengguna, dan mengimpor skema ke dalam database. Ini dilakukan dengan cara yang sama pada CentOS 6 dan 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Selanjutnya, impor skema ke dalam database yang baru saja Anda buat.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Anda akan perlu untuk memasukkan $newRootPasswordMySQL / MariaDB sandi yang Anda gunakan selama mysql_secure_installationperintah di atas, tidak yang $someIcingaPasswordbaru Anda buat - yang satu digunakan kemudian.

Aktifkan idomodul (database).

sudo icinga2 feature enable ido-mysql

Anda harus mengedit /etc/icinga2/features-enabled/ido-mysql.conffile untuk menambahkan informasi basis data. Anda dapat melakukannya dengan perintah berikut.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

Dalam file itu, cari baris yang dikomentari (mulai dengan //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

... dan edit dengan menggunakan pengguna / kata sandi yang baru saja Anda buat.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Pastikan Anda menghapus tanda komentar garis dengan menghapus dua garis miring awal.

Selanjutnya, restart layanan untuk mengambil perubahan.

sudo service icinga2 restart

Anda perlu menambahkan koneksi antara server klien dan master Icinga2 yang telah dikonfigurasi. Anda harus melakukannya menggunakan Firewalld di CentOS 7, atau IPTables di CentOS 6 atau 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Sekarang, edit file host untuk menambahkan master sebagai nama domain lokal.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Langkah 4: Inisialisasi master

Langkah ini perlu dilakukan pada master Icinga2. Anda harus menginisialisasi sebagai master, lalu membuat permintaan penandatanganan sertifikat yang akan digunakan klien Anda untuk berkomunikasi.

sudo icinga2 node wizard

Ini akan menjalankan wizard simpul, yang akan menanyakan beberapa pertanyaan. Layar akan terlihat seperti berikut, dan jawaban yang Anda berikan tercantum.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Kemudian, restart Icinga2 untuk mengambil perubahan.

sudo service icinga2 restart

Sekarang master, Anda dapat menggunakannya untuk menghasilkan string permintaan penandatanganan sertifikat.

sudo icinga2 pki ticket --cn icinga2client.example.com

Anda akan mendapatkan beberapa string $pkiString. Salin string itu, karena Anda akan membutuhkannya di klien.

Langkah 5: Inisialisasi klien

Jalankan wizard simpul untuk menghasilkan sertifikat dan sambungkan ke master.

sudo icinga2 node wizard

Itu akan muncul dengan halaman yang mirip dengan di atas. Halaman ini ditunjukkan di bawah ini dengan jawaban yang disertakan.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Silakan dan mulai ulang Icinga2 untuk mengambil perubahan.

sudo icinga2 restart

Ini mungkin sudah dilakukan, tetapi Anda perlu memastikan bahwa fitur perintah dan API diaktifkan.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

Jika tidak diaktifkan, ia akan mengatakan "fitur diaktifkan", jadi Anda harus memulai ulang daemon Icinga2. Tetapi pertama-tama, Anda perlu mengubah kepemilikan file dalam /etc/icinga2direktori, karena beberapa dari mereka memiliki izin yang salah setelah menjalankan wizard node. Mereka semua harus memiliki pemilik dan grup mereka icinga. Ubah izin dengan menggunakan perintah berikut:

sudo chown -R icinga:icinga /etc/icinga2/

Sekarang, Anda dapat memulai ulang daemon Icinga2.

sudo service icinga2 restart

Langkah 6: Konfigurasikan klien

Konfigurasi klien memerlukan pengeditan beberapa file yang berbeda.

• /etc/icinga2/zones.conf: Berisi titik akhir (server) dan zona yang mengandungnya. Ini adalah bagaimana server dipartisi. Pastikan nama klien cocok dengan nama server.
• /etc/icinga2/icinga2.conf: Anda menerima perintah dan konfigurasi dari master, jadi Anda perlu melakukan edit kecil pada file ini untuk menghindari definisi perintah duplikat.

Pertama, kita akan memodifikasi zones.conffile untuk menentukan server dan zona di dalamnya, serta membuat zona "global" untuk definisi perintah yang universal untuk SEMUA server, bukan unik untuk masing-masing server (seperti pemeriksaan disk) .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

Penting untuk diketahui, hanya ada 2 node per zona saat ini. Anda dapat membuat zona sebanyak yang Anda inginkan, tetapi jika ada lebih dari 2 node per zona, ada kemungkinan layanan Icinga2 tidak akan berfungsi dengan baik. Ini bukan masalah pada klien, kecuali jika Anda sudah memiliki 2 node di zona clientZone, dalam hal ini Anda perlu membuat nama zona lain.

Sekarang, buat modifikasi dalam /etc/icinga2/icinga2.conffile. Anda perlu berkomentar di luar garis include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Verifikasi konfigurasi untuk memastikan bahwa semuanya diformat dengan benar.

sudo icinga2 daemon -C

Jika Anda mendapatkan masalah izin, kemungkinan karena item tersebut dimiliki oleh root:root. Diceritakan icinga:icingauntuk menyelesaikan.

sudo chown -R icinga:icinga /etc/icinga2/

Ada masalah lain dengan konfigurasi, umumnya informasi yang diberikan dari output sudo icinga2 daemon -Cperintah cukup verbose untuk melacaknya. Mengatasi setiap masalah potensial yang muncul berada di luar cakupan panduan ini.

Jika verifikasi berhasil, lanjutkan dan muat ulang layanan:

sudo service icinga2 restart

Anda harus memberikan icingaizin sudo pengguna agar perintah dapat dijalankan. Izin sudo ini akan dibatasi untuk direktori plugin tertentu. Ini bisa diletakkan di akhir file.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Sekarang konfigurasi klien selesai secara resmi. Anda tidak perlu melakukan modifikasi lagi, setiap pemeriksaan layanan akan dikonfigurasi pada master dan akan menyebar ke klien. Anda perlu menginstal plug-in tambahan yang mungkin Anda perlukan. Pengaya juga dapat ditulis menggunakan python, perl, BASH, PHP, dan bahasa skrip lainnya.

Langkah 7: Tambahkan klien ke master konfigurasi

Anda harus kembali ke master untuk mengonfigurasi klien sehingga dapat terhubung. Ada beberapa langkah yang perlu diambil:

1. Tambahkan konfigurasi host ke repository.d.
2. Tambahkan host ke zona sebagai titik akhir.
3. Konfigurasikan setiap cek untuk klien. Ini sedikit di luar cakupan panduan ini, saya hanya akan memberikan penjelasan dasar tentang langkah-langkah yang terlibat.

Konfigurasi host akan dimasukkan dalam /etc/icinga2/repository.d/hosts/icinga2client.example.com.conffile.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Sekarang host ada di konfigurasi klien, tetapi perlu dimasukkan ke dalam zona. Zona ini akan berada di /etc/icinga2/repository.d/zonesfolder, dengan nama yang sama dengan nama zona untuk membuatnya lebih mudah untuk dilacak.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Selanjutnya, Anda perlu menambahkan global-templateszona.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Akhirnya, tambahkan titik akhir klien sehingga array titik akhir "clientZone" terisi ketika berjalan.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Untuk memastikan tidak ada masalah izin, lanjutkan dan ubah pemilik / grup lagi.

sudo chown -R icinga:icinga /etc/icinga2

Verifikasi perubahan konfigurasi untuk memastikan tidak ada masalah lagi.

sudo icinga2 daemon -C

Jika verifikasi berhasil, silakan lanjutkan dengan memuat ulang.

sudo service icinga2 restart

Jika Anda mengunjungi situs web Icinga2 Anda, Anda akan melihat server menjadi dapat diakses.

Langkah 8: Perintah khusus dan pemeriksaan

Anda mungkin menemukan kesalahan tentang "perintah tidak ditemukan" atau "centang tidak ditentukan". Di sinilah zona templat global mulai berlaku. Anda perlu menyalin konfigurasi dalam /etc/icinga2/conf.d/file dan memasukkannya ke dalam /etc/icinga2/zones.d/global-templates/file. Misalnya, untuk membuat perintah "check_software", Anda harus melakukan hal berikut.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

The software_service_check.shFile harus ada di /usr/lib64/nagios/pluginsfolder pada klien .

Selanjutnya, tambahkan cek layanan ke dalam /etc/icinga2/repository.d/hosts/services.conffile.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Anda harus mengubah izin lagi.

sudo chown -R icinga:icinga /etc/icinga2

Kemudian, verifikasi ulang konfigurasi.

sudo icinga2 daemon -C

Akhirnya, jika berhasil, muat ulang:

sudo service icinga2 restart

Selamat! Anda sekarang menggunakan Icinga2 dalam model master-client dan sekarang dapat menghindari keharusan menggunakan cek NRPE yang tidak aman!