Modyfikacja Icinga2 w celu użycia modelu głównego / klienta w CentOS 6 lub CentOS 7

• Wymagania wstępne
• Krok 1: Zaktualizuj system
• Krok 2: Zainstaluj wymagane pakiety
• Krok 3: Skonfiguruj bazę danych
• Krok 4: Zainicjuj wzorzec
• Krok 5: Zainicjuj klienta
• Krok 6: Skonfiguruj klienta
• Krok 7: Dodaj klienta do konfiguracji głównej
• Krok 8: Niestandardowe polecenia i kontrole

Icinga2 to potężny system monitorowania, a stosowany w modelu master-client może zastąpić potrzebę sprawdzania monitorowania opartego na NRPE. Model główny-klient jest bezpieczniejszy z różnych powodów . Pozwala także na bardziej rozproszone monitorowanie, umożliwiając modyfikację czeków na jednym serwerze i przenoszenie go na inne. Daje także jedną scentralizowaną lokalizację dla zmian.

Na przykład: Załóżmy, że masz 4 różne serwery WWW z równoważeniem obciążenia. Jeśli wiesz, że zbliża się skok obciążenia (być może sprzedaż lub coś, w związku z czym spodziewasz się dużej aktywności), możesz zwiększyć poziomy, na których wysokie użycie procesora ostrzega administratorów systemu. Jeśli korzystasz z czeków NRPE, musisz przejść na każdy serwer i zmodyfikować /etc/nrpe.d/common_commands.cfgdokument na każdym z nich. W modelu master-client możesz po prostu zmodyfikować definicje hostów w /etc/icinga2/repository.d/hosts/folderze, a następnie ponownie załadować Icinga. Czeki zostaną rozpowszechnione na każdym serwerze i zostaną odebrane automatycznie. Możesz także bardzo łatwo dodawać czeki, modyfikując /etc/icinga2/repository.d/services/pliki, a one będą automatycznie propagowane i rozpoznawane, dopóki wtyczki będą istniały na serwerach klientów.

Wymagania wstępne

• Instancja serwera z Icinga2 i Icingaweb2 jest już zainstalowana i skonfigurowana ( instrukcje ) o nazwie icinga2master.example.com.
• Świeża instancja serwera Vultr CentOS 6 lub 7, którą chcesz monitorować, o nazwie icinga2client.example.com.
• Dostęp do Sudo.

Niektóre z tych instrukcji odzwierciedlają instrukcje instalacji wymienione powyżej, ale należy to zrobić na komputerze klienta, a nie na serwerze.

Krok 1: Zaktualizuj system

Dodaj repozytorium „ICINGA” do systemu klienta, aby zainstalować pakiety Icinga.

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

Krok 2: Zainstaluj wymagane pakiety

Zainstaluj wymagane pakiety.

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7 używa MariaDB zamiast MySQL, więc potrzebne pakiety są nieco inne. Uruchom usługi i ustaw je tak, aby uruchamiały się przy rozruchu.

sudo chkconfig icinga2 on
sudo service icinga2 start

Ustaw usługę MySQL, aby uruchamiała się przy rozruchu i uruchom ją teraz, abyśmy mogli ją zabezpieczyć.

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

Zabezpiecz instalację MySQL / MariaDB. Zarówno CentOS 6, jak i 7 używają tego samego polecenia.

sudo mysql_secure_installation

Podczas tego procesu odpowiedz na pytania, jak pokazano:

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

Zanotuj, $newRootPasswordponieważ będziesz go potrzebować kilka razy, a resetowanie jest uciążliwe.

Krok 3: Skonfiguruj bazę danych

Musisz utworzyć icinganazwę użytkownika i zaimportować schemat do bazy danych. Odbywa się to w ten sam sposób na CentOS 6 i 7.

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

Następnie zaimportuj schemat do właśnie utworzonej bazy danych.

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

Trzeba będzie wprowadzić $newRootPasswordMySQL / hasło MariaDB użyty podczas mysql_secure_installationkomendy powyżej, nie$someIcingaPassword właśnie stworzył - że jeden jest używany później.

Włącz idomoduł (bazy danych).

sudo icinga2 feature enable ido-mysql

Musisz edytować /etc/icinga2/features-enabled/ido-mysql.confplik, aby dodać informacje o bazie danych. Możesz to zrobić za pomocą następującego polecenia.

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

W tym pliku znajdź linie, które zostały zakomentowane (zacznij od //).

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

... i edytuj je przy użyciu właśnie utworzonego użytkownika / hasła.

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

Upewnij się, że odkomentujesz linie, usuwając początkowe dwa ukośniki.

Następnie uruchom ponownie usługę, aby pobrać zmiany.

sudo service icinga2 restart

Konieczne będzie dodanie połączenia między serwerem klienta a serwerem Icinga2, który został już skonfigurowany. Musisz to zrobić za pomocą Firewalld na CentOS 7 lub IPTables na CentOS 6 lub 7.

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

Teraz edytuj plik hosts, aby dodać wzorzec jako lokalną nazwę domeny.

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

Krok 4: Zainicjuj wzorzec

Ten krok należy wykonać na komputerze głównym Icinga2. Konieczne będzie zainicjowanie go jako wzorca, a następnie wygenerowanie żądania podpisania certyfikatu, którego klient użyje do komunikacji.

sudo icinga2 node wizard

Spowoduje to uruchomienie kreatora węzła, który zada kilka pytań. Ekran będzie wyglądał następująco, a odpowiedzi, które podasz, zostaną wymienione.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Następnie uruchom ponownie Icinga2, aby pobrać zmiany.

sudo service icinga2 restart

Teraz, gdy jest to master, możesz go użyć do wygenerowania ciągu żądania podpisania certyfikatu.

sudo icinga2 pki ticket --cn icinga2client.example.com

Dostaniesz trochę sznurka $pkiString. Skopiuj ten ciąg, ponieważ będzie potrzebny na kliencie.

Krok 5: Zainicjuj klienta

Uruchom kreatora węzła, aby wygenerować certyfikaty i połączyć się z urządzeniem głównym.

sudo icinga2 node wizard

Pojawi się strona podobna do powyższej. Ta strona jest pokazana poniżej z dołączonymi odpowiedziami.

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

Śmiało i uruchom ponownie Icinga2, aby pobrać zmiany.

sudo icinga2 restart

Można to już zrobić, ale należy upewnić się, że funkcje polecenia i interfejsu API są włączone.

sudo icinga2 feature enable command
sudo icinga2 feature enable api

Jeśli nie zostały włączone, pojawi się komunikat „funkcja włączona”, dlatego należy ponownie uruchomić demona Icinga2. Najpierw jednak musisz zmienić własność plików w /etc/icinga2katalogu, ponieważ niektóre z nich mają nieprawidłowe uprawnienia po uruchomieniu kreatora węzła. Wszyscy powinni mieć swojego właściciela i grupę ustawione na icinga. Zmień uprawnienia, używając następującego polecenia:

sudo chown -R icinga:icinga /etc/icinga2/

Teraz możesz zrestartować demona Icinga2.

sudo service icinga2 restart

Krok 6: Skonfiguruj klienta

Konfiguracja klienta wymaga edycji kilku różnych plików.

• /etc/icinga2/zones.conf: Zawiera punkty końcowe (serwery) i strefy, które je zawierają. W ten sposób serwery są partycjonowane. Upewnij się, że nazwy klientów są zgodne z nazwami serwerów.
• /etc/icinga2/icinga2.conf: Akceptujesz polecenia i konfiguracje z poziomu głównego, więc musisz wykonać niewielką edycję tego pliku, aby uniknąć powielania definicji poleceń.

Najpierw zmodyfikujemy zones.confplik, aby zdefiniować serwer i strefę, w której się on znajduje, a także utworzymy strefę „globalną” dla definicji poleceń, które są uniwersalne dla WSZYSTKICH serwerów, a nie unikalne dla każdego (np. Sprawdzanie dysku) .

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

Ważne jest, aby wiedzieć, że w tej chwili mogą być tylko 2 węzły na strefę. Możesz utworzyć dowolną liczbę stref, ale jeśli w każdej strefie będzie więcej niż 2 węzły, istnieje szansa, że ​​usługa Icinga2 nie będzie działać poprawnie. Nie stanowi to problemu na kliencie, chyba że masz już 2 węzły w strefie clientZone, w takim przypadku musisz utworzyć inną nazwę strefy.

Teraz dokonaj modyfikacji w /etc/icinga2/icinga2.confpliku. Musisz skomentować linię include_recursive "conf.d".

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

Sprawdź konfigurację, aby upewnić się, że wszystko jest poprawnie sformatowane.

sudo icinga2 daemon -C

Jeśli masz problemy z uprawnieniami, to prawdopodobnie dlatego, że element jest własnością root:root. Chown icinga:icingato rozwiązać.

sudo chown -R icinga:icinga /etc/icinga2/

Istnieją inne problemy z konfiguracjami, generalnie informacje podane z danych wyjściowych sudo icinga2 daemon -Cpolecenia będą wystarczająco szczegółowe, aby je wyśledzić. Rozwiązanie każdego potencjalnego problemu, który się pojawi, nie wchodzi w zakres tego przewodnika.

Jeśli weryfikacja się powiedzie, przejdź ponownie i ponownie załaduj usługę:

sudo service icinga2 restart

Musisz dać icingaużytkownikowi uprawnienia sudo, aby można było uruchamiać polecenia. Te uprawnienia sudo będą ograniczone do określonego katalogu wtyczek. Można to po prostu umieścić na końcu pliku.

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

Teraz konfiguracja klienta została oficjalnie zakończona. Nie trzeba wprowadzać żadnych dalszych modyfikacji, wszelkie kontrole usług zostaną skonfigurowane w systemie głównym i zostaną przeniesione do klienta. Będziesz jednak musiał zainstalować wszelkie dodatkowe wtyczki, których możesz potrzebować. Wtyczki można również pisać przy użyciu Pythona, Perla, BASH, PHP i innych języków skryptowych.

Krok 7: Dodaj klienta do konfiguracji głównej

Musisz wrócić do urządzenia głównego, aby skonfigurować klienta, aby można go było podłączyć. Istnieje kilka kroków, które należy podjąć:

1. Dodaj konfigurację hosta do repository.d.
2. Dodaj hosta do strefy jako punkt końcowy.
3. Skonfiguruj wszelkie kontrole dla klienta. Jest to nieco poza zakresem tego przewodnika, przedstawię tylko podstawowe wyjaśnienie związanych z tym kroków.

Konfiguracja hosta zostanie wprowadzona do /etc/icinga2/repository.d/hosts/icinga2client.example.com.confpliku.

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

Teraz host istnieje w konfiguracji klienta, ale musi zostać umieszczony w strefie. Ta strefa będzie w /etc/icinga2/repository.d/zonesfolderze o tej samej nazwie co nazwa strefy, aby ułatwić śledzenie.

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

Następnie musisz dodać global-templatesstrefę.

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

Na koniec dodaj punkt końcowy klienta, aby tablica punktów końcowych „clientZone” była zapełniana podczas działania.

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

Aby upewnić się, że nie występują problemy z uprawnieniami, śmiało i ponownie zmień właściciela / grupę.

sudo chown -R icinga:icinga /etc/icinga2

Sprawdź zmiany konfiguracji, aby upewnić się, że nie ma już problemów.

sudo icinga2 daemon -C

Jeśli weryfikacja się powiedzie, przeładuj.

sudo service icinga2 restart

Jeśli odwiedzisz witrynę Icinga2, zobaczysz, że serwer staje się dostępny.

Krok 8: Niestandardowe polecenia i kontrole

Mogą wystąpić błędy związane z „nie znaleziono polecenia” lub „sprawdź nie zdefiniowano”. Tutaj zaczyna się strefa szablonów globalnych. Będziesz musiał skopiować konfigurację do /etc/icinga2/conf.d/plików i umieścić je w /etc/icinga2/zones.d/global-templates/plikach. Na przykład, aby utworzyć polecenie „check_software”, należy wykonać następujące czynności.

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

software_service_check.shPlik musi istnieć w /usr/lib64/nagios/pluginskatalogu na kliencie .

Następnie dodaj czek usługi do /etc/icinga2/repository.d/hosts/services.confpliku.

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

Musisz ponownie zmienić uprawnienia.

sudo chown -R icinga:icinga /etc/icinga2

Następnie ponownie sprawdź konfigurację.

sudo icinga2 daemon -C

Wreszcie, jeśli się powiedzie, załaduj ponownie:

sudo service icinga2 restart

Gratulacje! Używasz teraz Icinga2 w modelu master-client i możesz teraz uniknąć konieczności korzystania z niepewnych kontroli NRPE!