Как безопасно контролировать удаленные серверы с помощью Zabbix на CentOS 7

Предпосылки
Установите Apache и PHP
Установите и настройте PostgreSQL
Установить Zabbix
Настройте Zabbix агент на сервере
Настройте агент на удаленных машинах Linux
Установите Zabbix Host
Вывод

Zabbix - это бесплатное корпоративное программное обеспечение с открытым исходным кодом, используемое для контроля доступности систем и сетевых компонентов. Zabbix может контролировать тысячи серверов, виртуальных машин или сетевых компонентов одновременно. Zabbix может отслеживать практически все, что связано с системой, такие как процессор, память, дисковое пространство и ввод-вывод, процессы, сеть, базы данных, виртуальные машины и веб-службы. Если доступ к IPMI предоставляется Zabbix, он также может контролировать аппаратное обеспечение, такое как температура, напряжение и так далее.

Предпосылки

Экземпляр сервера Vultr CentOS 7.
Пользователь Sudo .

В этом руководстве мы будем использовать 192.0.2.1в качестве общедоступного IP-адреса сервера Zabbix и 192.0.2.2в качестве общедоступного IP-адреса хоста Zabbix, который мы будем контролировать удаленно. Обязательно замените все вхождения примера IP-адреса фактическими общедоступными IP-адресами.

Обновите базовую систему, используя руководство Как обновить CentOS 7 . После обновления системы перейдите к установке зависимостей.

Установите Apache и PHP

После установки веб-сайта Zabbix он автоматически создает конфигурацию для Apache.

Установите Apache для обслуживания внешнего интерфейса Zabbix или веб-интерфейса.

sudo yum -y install httpd

Запустите Apache и включите его при загрузке автоматически.

sudo systemctl start httpd
sudo systemctl enable httpd

Добавьте и включите Remiрепозиторий, поскольку репозиторий по умолчанию YUMсодержит более старую версию PHP.

sudo rpm -Uvh http://rpms.remirepo.net/enterprise/remi-release-7.rpm
sudo yum -y install yum-utils
sudo yum-config-manager --enable remi-php71

Установите последнюю версию PHP вместе с модулями, необходимыми Zabbix.

sudo yum -y install php php-cli php-gd php-bcmath php-ctype php-xml php-xmlreader php-xmlwriter php-session php-sockets php-mbstring php-gettext php-ldap php-pgsql php-pear-Net-Socket

Установите и настройте PostgreSQL

PostgreSQL - это объектно-реляционная система баз данных. Вам нужно будет добавить репозиторий PostgreSQL в вашу систему, так как репозиторий YUM по умолчанию содержит более старую версию PostgreSQL.

sudo rpm -Uvh https://download.postgresql.org/pub/repos/yum/9.6/redhat/rhel-7-x86_64/pgdg-centos96-9.6-3.noarch.rpm

Установите сервер базы данных PostgreSQL.

sudo yum -y install postgresql96-server postgresql96-contrib

Инициализируйте базу данных.

sudo /usr/pgsql-9.6/bin/postgresql96-setup initdb

initdb создает новый кластер баз данных, который представляет собой группу баз данных, управляемых одним сервером.

Отредактируйте, pg_hba.confчтобы включить аутентификацию на основе MD5.

sudo nano /var/lib/pgsql/9.6/data/pg_hba.conf

Найдите следующие строки и измените peerна trustи idnetна md5.

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# "local" is for Unix domain socket connections only
local   all             all                                     peer
# IPv4 local connections:
host    all             all             127.0.0.1/32            idnet
# IPv6 local connections:
host    all             all             ::1/128                 idnet

После обновления конфигурация должна выглядеть так, как показано ниже.

# TYPE  DATABASE        USER            ADDRESS                 METHOD

# "local" is for Unix domain socket connections only
local   all             all                                     trust
# IPv4 local connections:
host    all             all             127.0.0.1/32            md5
# IPv6 local connections:
host    all             all             ::1/128                 md5

Запустите сервер PostgreSQL и включите его автоматический запуск при загрузке.

sudo systemctl start postgresql-9.6
sudo systemctl enable postgresql-9.6

Измените passwordдля пользователя PostgreSQL по умолчанию.

sudo passwd postgres

Войдите в систему как пользователь PostgreSQL.

sudo su - postgres

Создайте нового пользователя PostgreSQL для Zabbix.

createuser zabbix

Переключитесь на оболочку PostgreSQL.

psql

Установите пароль для вновь созданного пользователя базы данных для базы данных Zabbix.

ALTER USER zabbix WITH ENCRYPTED password 'StrongPassword';

Создайте новую базу данных для Zabbix.

CREATE DATABASE zabbix OWNER zabbix;

Выход из psqlоболочки.

\q

Переключиться на sudoпользователя от текущего postgresпользователя.

exit

Установить Zabbix

Zabbix предоставляет двоичные файлы для CentOS, которые можно установить непосредственно из репозитория Zabbix. Добавьте репозиторий Zabbix в вашу систему.

sudo rpm -ivh http://repo.zabbix.com/zabbix/3.4/rhel/7/x86_64/zabbix-release-3.4-1.el7.centos.noarch.rpm

Установите Zabbix serverи Zabbix web.

sudo yum -y install zabbix-server-pgsql zabbix-web-pgsql

Импортируйте базу данных PostgreSQL.

zcat /usr/share/doc/zabbix-server-pgsql-3.4.*/create.sql.gz | psql -U zabbix zabbix

Вы должны увидеть что-то похожее на следующее в конце вывода.

...
INSERT 0 1
INSERT 0 1
COMMIT

Откройте файл конфигурации Zabbix, чтобы обновить детали базы данных.

sudo nano /etc/zabbix/zabbix_server.conf

Найдите следующие строки и обновите значения в соответствии с вашей конфигурацией базы данных. Вам нужно будет раскомментировать DBHostи DBPortлинии.

DBHost=localhost
DBName=zabbix
DBUser=zabbix
DBPassword=StrongPassword
DBPort=5432

Zabbix автоматически устанавливает файл виртуального хоста для Apache. Нам потребуется настроить виртуальный хост для обновления часового пояса и версии PHP.

sudo nano /etc/httpd/conf.d/zabbix.conf

Найдите следующие строки.

<IfModule mod_php5.c>
...
#php_value date.timezone Europe/Riga

Поскольку мы используем PHP версии 7, вам также необходимо обновить mod_phpверсию. Обновите линии в соответствии с вашим часовым поясом, как показано ниже.

<IfModule mod_php7.c>
...
php_value date.timezone Asia/Kolkata

Теперь перезапустите Apache, чтобы применить эти изменения в конфигурации.

sudo systemctl restart httpd

Запустите Zabbix сервер и включите его автоматический запуск при загрузке.

sudo systemctl start zabbix-server
sudo systemctl enable zabbix-server

Теперь у вас должен быть запущен Zabbix сервер. Вы можете проверить состояние процесса, запустив это.

sudo systemctl status zabbix-server

Измените брандмауэр, чтобы разрешить стандарт HTTPи HTTPSпорт. Вам также нужно будет разрешить порт 10051через брандмауэр, который будет использоваться Zabbix для получения событий от агента Zabbix, работающего на удаленных машинах.

sudo firewall-cmd --zone=public --permanent --add-service=http
sudo firewall-cmd --zone=public --permanent --add-service=https
sudo firewall-cmd --zone=public --permanent --add-port=10051/tcp
sudo firewall-cmd --reload

Чтобы получить доступ к панели администрирования, вы можете открыть http://192.0.2.1/zabbixс помощью вашего любимого браузера. Вы увидите приветственное сообщение. На следующем интерфейсе должны быть выполнены все предпосылки. Следуйте инструкциям на странице установщика для установки программного обеспечения. После установки программного обеспечения войдите в систему, используя имя пользователя Adminи пароль zabbix. Zabbix теперь установлен и готов к сбору данных от агента Zabbix.

Настройте Zabbix агент на сервере

Для мониторинга сервера, на котором установлен Zabbix, вы можете настроить агент на сервере. Агент Zabbix будет собирать данные о событиях с сервера Linux, чтобы отправить их на сервер Zabbix. По умолчанию порт 10050используется для отправки событий и данных на сервер.

Установите Zabbix агент.

sudo yum -y install zabbix-agent

Запустите агент и включите его для автоматического запуска при загрузке.

sudo systemctl start zabbix-agent
sudo systemctl enable zabbix-agent

Связь между агентом Zabbix и сервером Zabbix осуществляется локально, поэтому нет необходимости устанавливать какое-либо шифрование.

Прежде чем Zabbix сервер сможет получать какие-либо данные, вам необходимо включить host. Войдите в панель администрирования веб-сервера Zabbix и перейдите по ссылке Configuration >> Host. Вы увидите отключенную запись хоста Zabbix сервера. Выберите запись и нажмите кнопку «Включить», чтобы включить мониторинг приложения сервера Zabbix и базовой системы CentOS, на которой установлен сервер Zabbix.

Настройте агент на удаленных машинах Linux

Существует три метода, с помощью которых удаленный агент Zabbix может отправлять события на Zabbix сервер. Первый способ заключается в использовании незашифрованного соединения, а второй - в использовании защищенного предварительного общего ключа. Третий и наиболее безопасный способ - это шифрование передачи с использованием сертификатов RSA.

Прежде чем мы приступим к установке и настройке агента Zabbix на удаленной машине, нам нужно сгенерировать сертификаты в системе Zabbix-сервера. Мы будем использовать самозаверяющие сертификаты.

Выполните следующие команды на Zabbix сервере как sudoпользователь .

Создайте новый каталог для хранения ключей Zabbix и сгенерируйте закрытый ключ для CA.

mkdir ~/zabbix-keys && cd ~/zabbix-keys
openssl genrsa -aes256 -out zabbix-ca.key 4096

Он попросит вас ввести ключевую фразу для защиты закрытого ключа. После создания закрытого ключа перейдите к созданию сертификата для CA.

openssl req -x509 -new -key zabbix-ca.key -sha256 -days 3560 -out zabbix-ca.crt

Укажите парольную фразу закрытого ключа. Он попросит у вас несколько деталей о вашей стране, штате, организации. Предоставьте детали соответственно.

[user@vultr zabbix-keys]$ openssl req -x509 -new -key zabbix-ca.key -sha256 -days 3560 -out zabbix-ca.crt
Enter passphrase for `zabbix-ca.key`:
You are about to be asked to enter information that will be incorporated
into your certificate request.
What you are about to enter is what is called a Distinguished Name or a DN.
There are quite a few fields but you can leave some blank
For some fields there will be a default value,
If you enter '.', the field will be left blank.
-----
Country Name (2 letter code) [XX]:IN
State or Province Name (full name) []:My State
Locality Name (eg, city) [Default City]:My City
Organization Name (eg, company) [Default Company Ltd]:My Organization
Organizational Unit Name (eg, section) []:My Unit
Common Name (eg, your name or your server's hostname) []:Zabbix CA
Email Address []:[email protected]

Мы успешно сгенерировали сертификат CA. Сгенерируйте закрытый ключ и CSR для Zabbix сервера.

openssl genrsa -out zabbix-server.key 2048
openssl req -new -key zabbix-server.key -out zabbix-server.csr

Пожалуйста, не предоставляйте парольную фразу для шифрования закрытого ключа при выполнении вышеуказанной команды. Используя CSR, создайте сертификат для Zabbix сервера.

openssl x509 -req -in zabbix-server.csr -CA zabbix-ca.crt -CAkey zabbix-ca.key -CAcreateserial -out zabbix-server.crt -days 1825 -sha256

Аналогично, сгенерируйте закрытый ключ и CSR для хоста или агента Zabbix.

openssl genrsa -out zabbix-host1.key 2048
openssl req -new -key zabbix-host1.key -out zabbix-host1.csr

Теперь сгенерируйте сертификат.

openssl x509 -req -in zabbix-host1.csr -CA zabbix-ca.crt -CAkey zabbix-ca.key -CAcreateserial -out zabbix-host1.crt -days 1460 -sha256

Скопируйте сертификаты в каталог конфигурации Zabbix.

sudo mkdir /etc/zabbix/keys
sudo cp zabbix-ca.* zabbix-server.* /etc/zabbix/keys

Предоставьте право собственности на сертификаты Zabbixпользователю.

sudo chown -R zabbix: /etc/zabbix/keys

Откройте файл конфигурации Zabbix сервера, чтобы обновить путь сертификатов.

sudo nano /etc/zabbix/zabbix_server.conf

Найдите эти строки в файле конфигурации и измените их, как показано на рисунке.

TLSCAFile=/etc/zabbix/keys/zabbix-ca.crt
TLSCertFile=/etc/zabbix/keys/zabbix-server.crt
TLSKeyFile=/etc/zabbix/keys/zabbix-server.key

Сохраните файл и выйдите из редактора. Перезапустите Zabbix сервер, чтобы изменения в конфигурации вступили в силу.

sudo systemctl restart zabbix-server

Скопируйте сертификаты с помощью scpкоманды на хост-компьютер, который вы хотите отслеживать.

cd ~/zabbix-keys
scp zabbix-ca.crt zabbix-host1.* [email protected]:~

Убедитесь, что вы заменили 192.0.2.2фактическим IP-адресом удаленного хоста, на который вы хотите установить Zabbix агент.

Установите Zabbix Host

Теперь, когда мы скопировали сертификаты в хост-систему, мы готовы установить Zabbix агент.

С этого момента все команды должны выполняться на хосте, который вы хотите отслеживать .

Добавьте репозиторий Zabbix в систему.

sudo rpm -ivh http://repo.zabbix.com/zabbix/3.4/rhel/7/x86_64/zabbix-release-3.4-1.el7.centos.noarch.rpm

Установите Zabbix агент в систему.

sudo yum -y install zabbix-agent

Переместите ключ и сертификаты в каталог конфигурации Zabbix.

sudo mkdir /etc/zabbix/keys
sudo mv ~/zabbix-ca.crt ~/zabbix-host1.* /etc/zabbix/keys/

Предоставьте право собственности на сертификаты пользователю Zabbix.

sudo chown -R zabbix: /etc/zabbix/keys

Откройте файл конфигурации агента Zabbix, чтобы обновить IP-адрес сервера и путь к ключу и сертификатам.

sudo nano /etc/zabbix/zabbix_agentd.conf

Найдите следующую строку и внесите необходимые изменения, чтобы они выглядели так, как показано ниже.

Server=192.0.2.1                    # Replace with actual Zabbix server IP
ServerActive=192.0.2.1              # Replace with actual Zabbix server IP
Hostname=Zabbix host1               # Provide a appropriate name or hostname

Имя хоста должно быть уникальной строкой, которая не указана ни для какой другой хост-системы. Пожалуйста, запишите имя хоста, так как нам нужно будет установить точное имя хоста на Zabbix сервере.

Furthur, обнови значения этих параметров.

TLSConnect=cert
TLSAccept=cert
TLSCAFile=/etc/zabbix/keys/zabbix-ca.crt
TLSCertFile=/etc/zabbix/keys/zabbix-host1.crt
TLSKeyFile=/etc/zabbix/keys/zabbix-host1.key

Теперь перезапустите Zabbix агент и включите его автоматический запуск при загрузке.

sudo systemctl restart zabbix-agent
sudo systemctl enable zabbix-agent

Вы успешно настроили Zabbix агент в хост-системе. Просмотрите панель администрирования Zabbix, https://192.0.2.1/zabbixчтобы добавить вновь настроенный хост.

Перейдите Configuration >> Hostsи нажмите на Create Hostкнопку в правом верхнем углу.