Icinga2 aanpassen om Master / Client-model te gebruiken op CentOS 6 of CentOS 7

• Vereisten
• Stap 1: werk het systeem bij
• Stap 2: Installeer de vereiste pakketten
• Stap 3: Stel de database in
• Stap 4: Initialiseer de master
• Stap 5: Initialiseer de client
• Stap 6: Configureer de client
• Stap 7: Voeg client toe aan masterconfiguratie
• Stap 8: aangepaste opdrachten en controles

Icinga2 is een krachtig bewakingssysteem en kan bij gebruik in een master-client-model de behoefte aan op NRPE gebaseerde bewakingscontroles vervangen. Het master-clientmodel is om verschillende redenen veiliger . Het zorgt ook voor meer gedistribueerde bewaking door toe te staan ​​dat controles op één server worden gewijzigd en naar andere worden doorgevoerd. Het biedt ook één centrale locatie voor wijzigingen.

Bijvoorbeeld: stel dat u 4 verschillende load-balanced webservers heeft. Als u weet dat er een laadpiek op komst is (misschien een verkoop of iets waarvoor u veel activiteit verwacht), wilt u misschien de niveaus verhogen waarop een hoog CPU-gebruik de systeembeheerders waarschuwt. Als u NRPE-controles gebruikt, moet u naar elke server gaan en het /etc/nrpe.d/common_commands.cfgdocument op elke server wijzigen . In het master- /etc/icinga2/repository.d/hosts/clientmodel kunt u eenvoudig hun hostdefinities in de map wijzigen en Icinga opnieuw laden. De cheques worden doorgegeven aan elke server en worden automatisch opgehaald. U kunt ook heel eenvoudig cheques toevoegen door de /etc/icinga2/repository.d/services/bestanden aan te passen, en ze zullen zich automatisch verspreiden en herkend worden, zolang de plug-ins op de clientservers bestaan.

Vereisten

• Een serverinstantie met Icinga2 en Icingaweb2 is al geïnstalleerd en geconfigureerd ( instructies ) met de naam icinga2master.example.com.
• Een nieuwe Vultr CentOS 6 of 7 serverinstantie waarvan u de naam wilt bewaken icinga2client.example.com.
• Sudo toegang.

Een deel van deze handleiding weerspiegelt de installatie-instructies hierboven, maar dit moet worden gedaan op de clientcomputer en niet op de servercomputer.

Stap 1: werk het systeem bij

Voeg de "ICINGA" repo toe aan het clientsysteem om de Icinga-pakketten te installeren.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Stap 2: Installeer de vereiste pakketten

Installeer de vereiste pakketten.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 gebruikt MariaDB in plaats van MySQL, dus de benodigde pakketten zijn iets anders. Start de services en stel ze in om te starten bij het opstarten.

sudo chkconfig icinga2 on
sudo service icinga2 start

Stel de MySQL-service in om te starten bij het opstarten en start deze nu zodat we deze kunnen beveiligen.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Beveilig de MySQL / MariaDB-installatie. Zowel CentOS 6 als 7 gebruiken dezelfde opdracht.

sudo mysql_secure_installation

Beantwoord tijdens het proces de vragen zoals weergegeven:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Noteer $newRootPassworddat je het meerdere keren nodig hebt, en het is lastig om te resetten.

Stap 3: Stel de database in

U moet de icingagebruikersnaam maken en het schema in de database importeren. Dit gebeurt op dezelfde manier op zowel CentOS 6 als 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Importeer vervolgens het schema in de database die u zojuist hebt gemaakt.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

U moet het $newRootPasswordMySQL / MariaDB-wachtwoord invoeren dat u tijdens de mysql_secure_installationbovenstaande opdracht hebt gebruikt , niet het wachtwoord dat u $someIcingaPasswordzojuist hebt gemaakt - dat wachtwoord wordt later gebruikt.

Schakel de ido(database) module in.

sudo icinga2 feature enable ido-mysql

U moet het /etc/icinga2/features-enabled/ido-mysql.confbestand bewerken om de database-informatie toe te voegen. U kunt dit doen met de volgende opdracht.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

Zoek in dat bestand de regels die zijn becommentarieerd (begin met //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

... en bewerk ze met de gebruiker / het wachtwoord dat u zojuist hebt gemaakt.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Zorg ervoor dat u de commentaarcommentaar verwijdert door de eerste twee schuine strepen te verwijderen.

Start vervolgens de service opnieuw op om de wijzigingen op te halen.

sudo service icinga2 restart

U moet een verbinding toevoegen tussen de clientserver en de Icinga2-master die al is geconfigureerd. U moet dat doen met Firewalld op CentOS 7 of IPTables in CentOS 6 of 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Bewerk nu het hosts-bestand om de master als lokale domeinnaam toe te voegen.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Stap 4: Initialiseer de master

Deze stap moet worden uitgevoerd op de Icinga2-master. U moet het als master initialiseren en vervolgens een certificaatondertekeningsverzoek genereren dat uw klant zal gebruiken om te communiceren.

sudo icinga2 node wizard

Hiermee wordt de knooppuntwizard uitgevoerd, die verschillende vragen zal stellen. Het scherm ziet er als volgt uit en de antwoorden die u geeft, worden vermeld.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Start Icinga2 vervolgens opnieuw op om de wijzigingen op te halen.

sudo service icinga2 restart

Nu het een master is, kunt u het gebruiken om de tekenreeks voor het ondertekenen van een certificaat te genereren.

sudo icinga2 pki ticket --cn icinga2client.example.com

Je krijgt een touwtje $pkiString. Kopieer die string, want je hebt hem nodig op de client.

Stap 5: Initialiseer de client

Voer de knooppuntwizard uit om de certificaten te genereren en verbinding te maken met de master.

sudo icinga2 node wizard

Het komt met een vergelijkbare pagina als hierboven. Deze pagina wordt hieronder weergegeven met antwoorden.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Ga je gang en start Icinga2 opnieuw op om de wijzigingen op te halen.

sudo icinga2 restart

Dit is mogelijk al gedaan, maar u moet ervoor zorgen dat de opdracht- en API-functies zijn ingeschakeld.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

Als ze niet waren ingeschakeld, staat er "feature enabled", dus u moet de Icinga2-daemon opnieuw opstarten. Maar eerst moet u het eigendom van de bestanden in de /etc/icinga2map wijzigen, omdat sommige ervan de verkeerde rechten hebben na het uitvoeren van de knooppuntwizard. Ze moeten allemaal hun eigenaar en groep hebben ingesteld icinga. Wijzig de rechten met behulp van de volgende opdracht:

sudo chown -R icinga:icinga /etc/icinga2/

Nu kunt u de Icinga2-daemon opnieuw opstarten.

sudo service icinga2 restart

Stap 6: Configureer de client

De clientconfiguratie vereist het bewerken van een paar verschillende bestanden.

• /etc/icinga2/zones.conf: Bevat de eindpunten (servers) en zones die ze bevatten. Zo worden de servers gepartitioneerd. Zorg ervoor dat de clientnamen overeenkomen met de servernamen.
• /etc/icinga2/icinga2.conf: U accepteert opdrachten en configuraties van de master, dus u moet een kleine bewerking in dit bestand uitvoeren om dubbele opdrachtdefinities te vermijden.

Ten eerste gaan we het zones.confbestand aanpassen om de server en de zone waarin het zich bevindt te definiëren, en een "globale" zone creëren voor opdrachtdefinities die universeel zijn voor ALLE servers, in plaats van uniek voor elk (zoals schijfcontroles) .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

Het is belangrijk om te weten dat er momenteel slechts 2 knooppunten per zone kunnen zijn. U kunt zoveel zones maken als u wilt, maar als er meer dan 2 knooppunten per zone zijn, bestaat de kans dat de Icinga2-service niet goed werkt. Dit is geen probleem op de client, tenzij je al 2 knooppunten in de zone hebt clientZone, in welk geval je een andere zonenaam moet maken.

Breng nu de wijziging aan in het /etc/icinga2/icinga2.confbestand. Je moet uit de rij reageren include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Controleer de configuratie om ervoor te zorgen dat alles correct is opgemaakt.

sudo icinga2 daemon -C

Als u toestemmingsproblemen krijgt, komt dit waarschijnlijk omdat het item eigendom is van root:root. Bekend om op icinga:icingate lossen.

sudo chown -R icinga:icinga /etc/icinga2/

Er zijn andere problemen met de configuraties, over het algemeen is de informatie die wordt gegeven door de uitvoer van het sudo icinga2 daemon -Ccommando uitgebreid genoeg om ze op te sporen. Het aanpakken van elk mogelijk probleem dat zich voordoet, valt buiten het bestek van deze gids.

Als de verificatie slaagt, ga je gang en laad je de service opnieuw:

sudo service icinga2 restart

U moet de icingagebruiker sudo-machtigingen geven zodat de opdrachten kunnen worden uitgevoerd. Deze sudo-rechten zijn beperkt tot de specifieke plugin-directory. Dit kan gewoon aan het einde van het bestand worden geplaatst.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Nu is de clientconfiguratie officieel afgerond. U hoeft geen wijzigingen meer aan te brengen, alle servicecontroles worden geconfigureerd op de master en worden doorgevoerd naar de client. U moet echter alle aanvullende plug-ins installeren die u mogelijk nodig heeft. Plug-ins kunnen ook worden geschreven met python, perl, BASH, PHP en andere scripttalen.

Stap 7: Voeg client toe aan masterconfiguratie

U moet teruggaan naar de master om de client te configureren zodat deze kan worden verbonden. Er zijn een paar stappen die moeten worden genomen:

1. Voeg hostconfiguratie toe aan repository.d.
2. Host aan zone toevoegen als eindpunt.
3. Configureer eventuele controles voor de klant. Dit valt enigszins buiten het bereik van deze handleiding, ik zal alleen een basis uitleg geven van de stappen.

De hostconfiguratie wordt in het /etc/icinga2/repository.d/hosts/icinga2client.example.com.confbestand ingevoerd .

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Nu bestaat de host in de clientconfiguratie, maar deze moet in een zone worden geplaatst. Deze zone bevindt zich in de /etc/icinga2/repository.d/zonesmap, met dezelfde naam als de zonenaam, om het bijhouden gemakkelijker te maken.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Vervolgens moet je de global-templateszone toevoegen.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Voeg ten slotte het clienteindpunt toe, zodat de array "clientZone" -eindpunten wordt gevuld wanneer deze wordt uitgevoerd.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Om ervoor te zorgen dat er geen toestemmingsproblemen zijn, moet u doorgaan en de eigenaar / groep opnieuw wijzigen.

sudo chown -R icinga:icinga /etc/icinga2

Controleer de configuratiewijzigingen om er zeker van te zijn dat er geen problemen meer zijn.

sudo icinga2 daemon -C

Als de verificatie slaagt, ga je gang met het opnieuw laden.

sudo service icinga2 restart

Als u uw Icinga2-website bezoekt, ziet u dat de server toegankelijk wordt.

Stap 8: aangepaste opdrachten en controles

U kunt fouten tegenkomen over "opdracht niet gevonden" of "controle niet gedefinieerd". Dit is waar de zone met globale sjablonen in het spel komt. U moet de configuratie in /etc/icinga2/conf.d/bestanden kopiëren en in /etc/icinga2/zones.d/global-templates/bestanden plaatsen. Als u bijvoorbeeld een opdracht "check_software" wilt maken, moet u het volgende doen.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

Het software_service_check.shbestand moet in de /usr/lib64/nagios/pluginsmap op de client staan .

Voeg vervolgens de servicecontrole toe aan het /etc/icinga2/repository.d/hosts/services.confbestand.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Je moet de rechten opnieuw wijzigen.

sudo chown -R icinga:icinga /etc/icinga2

Controleer vervolgens de configuratie opnieuw.

sudo icinga2 daemon -C

Als het tot slot lukt, herlaad dan:

sudo service icinga2 restart

Gefeliciteerd! U gebruikt Icinga2 nu in een master-client-model en kunt nu voorkomen dat u de onveilige NRPE-controles hoeft te gebruiken!