修改Icinga2以在CentOS 6或CentOS 7上使用主/客户端模型

• 先决条件
• 步骤1：更新系统
• 步骤2：安装必要的套件
• 步骤3：建立资料库
• 步骤4：初始化主机
• 步骤5：初始化客户端
• 步骤6：配置客户端
• 步骤7：将客户端添加到主配置
• 步骤8：自定义命令和检查

Icinga2是功能强大的监视系统，在主客户端模型中使用时，它可以代替对基于NRPE的监视检查的需要。出于各种原因，主客户端模型更加安全。通过允许在一个服务器上修改支票并传播到其他服务器，它还允许进行更多的分布式监视。它还为更改提供了一个集中的位置。

例如：假设您有4个不同的负载平衡Web服务器。如果您知道即将出现负载高峰（可能是销售或您预期会有很多活动的东西），则可能需要提高高CPU使用率提醒系统管理员的级别。如果您使用的是NRPE检查，则需要进入每台服务器并在每台服务器上修改/etc/nrpe.d/common_commands.cfg文档。在主客户端模型中，您可以简单地在/etc/icinga2/repository.d/hosts/文件夹中修改其主机定义，然后重新加载Icinga。支票将传播到每台服务器，并将自动收取。您也可以通过修改/etc/icinga2/repository.d/services/文件来轻松添加检查，只要插件存在于客户端服务器上，它们就会自动传播并被识别。

先决条件

• 与Icinga2和Icingaweb2服务器实例已经安装和配置（指令命名）icinga2master.example.com。
• 您希望监视的新Vultr CentOS 6或7服务器实例名为icinga2client.example.com。
• 须藤访问。

本指南中的某些指南将镜像上面列出的安装说明，但这必须在客户端计算机而不是服务器计算机上完成。

步骤1：更新系统

将“ ICINGA”存储库添加到客户端系统以安装Icinga软件包。

sudo cat > /etc/yum.repos.d/ICINGA-release.repo << 'EOF'
[icinga-stable-release]
name=ICINGA (stable release for epel)
baseurl=http://packages.icinga.org/epel/$releasever/release/
enabled=1
gpgcheck=1
gpgkey=http://packages.icinga.org/icinga.key
EOF

步骤2：安装必要的套件

安装所需的软件包。

# CentOS 6
sudo yum -y install icinga2 mysql-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

# CentOS 7
sudo yum -y install icinga2 mariadb-server mysql icinga2-ido-mysql nagios-plugins-disk nagios-plugins-load nagios-plugins-procs nagios-plugins-ssh nagios-plugins-users nagios-plugins-swap nagios-plugins-ping icingacli

CentOS 7使用MariaDB代替MySQL，因此所需的软件包略有不同。启动服务，并将其设置为在启动时启动。

sudo chkconfig icinga2 on
sudo service icinga2 start

将MySQL服务设置为在启动时启动并立即启动它，以便我们保护它。

# CentOS 6
sudo chkconfig mysqld on
sudo service mysqld start

#CentOS 7
sudo systemctl enable mariadb.service
sudo systemctl start mariadb.service

保护MySQL / MariaDB安装。CentOS 6和7使用相同的命令。

sudo mysql_secure_installation

在此过程中，请回答以下问题：

Enter current password for root (enter for none): Enter
Set root password? [Y/n]: Y
New password: $newRootPassword
Re-enter new password: $newRootPassword
Remove anonymous users? [Y/n]: Y
Disallow root login remotely? [Y/n]: Y
Remove test database and access to it? [Y/n]: Y
Reload privilege tables now? [Y/n]: Y

请记下，$newRootPassword因为您将需要多次，并且重置很麻烦。

步骤3：建立资料库

您需要创建icinga用户名，并将架构导入数据库。在CentOS 6和7上都以相同的方式进行。

sudo mysql -u root -p
>CREATE DATABASE icinga;
>GRANT SELECT, INSERT, UPDATE, DELETE, DROP, CREATE VIEW, INDEX, EXECUTE ON icinga.* TO 'icinga'@'localhost' IDENTIFIED BY '$someIcingaPassword'; 
>exit

接下来，将模式导入到刚刚创建的数据库中。

sudo mysql -u root -p icinga < /usr/share/icinga2-ido-mysql/schema/mysql.sql

您将需要输入$newRootPassword你的过程中使用的MySQL / MariaDB的密码mysql_secure_installation命令上面，不是在$someIcingaPassword你刚才创建的- ，一个是以后使用。

启用ido（数据库）模块。

sudo icinga2 feature enable ido-mysql

您需要编辑/etc/icinga2/features-enabled/ido-mysql.conf文件以添加数据库信息。您可以使用以下命令进行操作。

sudo vi /etc/icinga2/features-enabled/ido-mysql.conf

在该文件中，找到被注释掉的行（以开头//）。

//user = "icinga"
//password = "icinga"
//host = "localhost"
//database = "icinga"

...并使用您刚创建的用户/密码进行编辑。

user = "icinga"
password = "$someIcingaPassword"
host = "localhost"
database = "icinga"

确保通过删除开头的两个斜杠取消注释行。

接下来，重新启动服务以获取更改。

sudo service icinga2 restart

您将需要在客户端服务器和已配置的Icinga2主服务器之间添加连接。您需要使用CentOS 7上的Firewalld或CentOS 6或7中的IPTables来执行此操作。

# CentOS 6
sudo vi /etc/sysconfig/iptables
...
-A INPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT
...
#Icinga2 Master
-A OUTPUT -p tcp -m state --state NEW -m tcp --dport 5665 -j ACCEPT

sudo iptables restart

# CentOS 7    
sudo firewall-cmd --add-port=5665/tcp --permanent
sudo firewall-cmd --reload

现在，编辑主机文件以将主服务器添加为本地域名。

sudo vi /etc/hosts
...
$masterIP  icinga2master icinga2master.example.com

步骤4：初始化主机

此步骤需要在Icinga2主服务器上完成。您需要将其初始化为主机，然后生成证书签名请求，客户端将使用该请求进行通信。

sudo icinga2 node wizard

这将运行节点向导，该向导将询问几个问题。屏幕将如下所示，并列出您将给出的答案。

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.

Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: n
Starting the Master setup routine...
Please specify the common name (CN) [icinga2-master1.localdomain]: icinga2master.example.com
Checking for existing certificates for common name 'icinga2master.example.com'...
Certificates not yet generated. Running 'api setup' now.
information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca/ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca/ca.crt'.
information/cli: Generating new CSR in '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2master.example.com.key'.
information/base: Writing certificate signing request to '/etc/icinga2/pki/icinga2master.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/etc/icinga2/pki/icinga2master.example.com.crt'.
information/cli: Copying CA certificate to '/etc/icinga2/pki/ca.crt'.
Generating master configuration for Icinga 2.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
Please specify the API bind host/port (optional):
Bind Host []: <hit enter>
Bind Port []: <hit enter>
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

然后，重新启动Icinga2以获取更改。

sudo service icinga2 restart

现在它是一个主服务器，您可以使用它来生成证书签名请求字符串。

sudo icinga2 pki ticket --cn icinga2client.example.com

您将得到一些字符串$pkiString。复制该字符串，因为您将需要在客户端上使用它。

步骤5：初始化客户端

运行节点向导以生成证书并连接到主服务器。

sudo icinga2 node wizard

它将提供与上述类似的页面。该页面如下所示，包括答案。

Welcome to the Icinga 2 Setup Wizard!

We'll guide you through all required configuration details.



Please specify if this is a satellite setup ('n' installs a master setup) [Y/n]: Y
Starting the Node setup routine...
Please specify the common name (CN) [icinga2client.example.com]:
Please specify the master endpoint(s) this node should connect to:
Master Common Name (CN from your master setup): icinga2master.example.com
Do you want to establish a connection to the master from this node? [Y/n]: Y
Please fill out the master connection information:
Master endpoint host (Your master's IP address or FQDN): icinga2master.example.com
Master endpoint port [5665]: 5665
Add more master endpoints? [y/N]: N
Please specify the master connection for CSR auto-signing (defaults to master endpoint host):
Host [icinga2master.example.com]: icinga2master.example.com
Port [5665]: 5665
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.key.orig'.
information/cli: Created backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig'.
information/base: Writing private key to '/etc/icinga2/pki/icinga2client.example.com.key'.
information/base: Writing X509 certificate to '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Fetching public certificate from master (icinga2master.example.com, 5665):

Certificate information:

 Subject:     CN = icinga2master.example.com
 Issuer:      CN = Icinga CA
 Valid From:  Jan 10 21:08:37 2017 GMT
 Valid Until: Jan  7 21:08:37 2032 GMT
 Fingerprint: FE 72 AB F3 18 A5 12 E0 0C 5D 94 8B 96 C4 57 3B 00 5C E0 04

Is this information correct? [y/N]: Y
information/cli: Received trusted master certificate.

Please specify the request ticket generated on your Icinga 2 master.
 (Hint: # icinga2 pki ticket --cn 'icinga2client.example.com'): $pkiString

information/cli: Requesting certificate with ticket '$pkiString'.

warning/cli: Backup file '/etc/icinga2/pki/icinga2client.example.com.crt.orig' already exists. Skipping backup.
information/cli: Writing signed certificate to file '/etc/icinga2/pki/icinga2client.example.com.crt'.
information/cli: Writing CA certificate to file '/etc/icinga2/pki/ca.crt'.
Please specify the API bind host/port (optional):
Bind Host []: <enter key>
Bind Port []: <enter key>
Accept config from master? [y/N]: Y
Accept commands from master? [y/N]: Y
information/cli: Disabling the Notification feature.
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Enabling the Apilistener feature.
warning/cli: Feature 'api' already enabled.
information/cli: Created backup file '/etc/icinga2/features-available/api.conf.orig'.
information/cli: Generating local zones.conf.
information/cli: Dumping config items to file '/etc/icinga2/zones.conf'.
information/cli: Created backup file '/etc/icinga2/zones.conf.orig'.
information/cli: Updating constants.conf.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
information/cli: Updating constants file '/etc/icinga2/constants.conf'.
Done.

Now restart your Icinga 2 daemon to finish the installation!

继续并重新启动Icinga2以获取更改。

sudo icinga2 restart

这可能已经完成，但是您需要确保已启用命令和API功能。

sudo icinga2 feature enable command
sudo icinga2 feature enable api

如果未启用它们，它将显示“ feature enabled”，因此您需要重新启动Icinga2守护程序。但是首先，您需要更改/etc/icinga2目录中文件的所有权，因为其中一些文件在运行节点向导后具有错误的权限。他们都应将其所有者和组设置为icinga。使用以下命令更改权限：

sudo chown -R icinga:icinga /etc/icinga2/

现在，您可以重新启动Icinga2守护程序。

sudo service icinga2 restart

步骤6：配置客户端

客户端配置需要编辑一些不同的文件。

• /etc/icinga2/zones.conf：包含端点（服务器）和包含它们的区域。这就是服务器的分区方式。确保客户端名称与服务器名称匹配。
• /etc/icinga2/icinga2.conf注意：您正在接受来自主服务器的命令和配置，因此您需要对此文件进行较小的编辑，以避免重复的命令定义。

首先，我们将修改zones.conf文件以定义服务器及其所在的区域，并为所有服务器通用的命令定义创建“全局”区域，而不是每个服务器都唯一（例如磁盘检查） 。

sudo vi /etc/icinga2/zones.conf

object Zone clientZone { 
        endpoints = [ "icinga2master.example.com" ]
}

object Zone "global-templates" { # Add global templates zone
        global = true
}

object Endpoint NodeName {
        host = "$icinga2clientIP" 
}

object Zone ZoneName {
        endpoints = [ NodeName ]
        parent = clientZone
} 

重要的是要知道，目前每个区域只能有2个节点。您可以根据需要创建任意多个区域，但是如果每个区域有2个以上的节点，则Icinga2服务可能无法正常工作。在客户端上这不是问题，除非您在zone中已经有2个节点clientZone，在这种情况下，您将需要命名另一个zone名称。

现在，在/etc/icinga2/icinga2.conf文件中进行修改。您需要注释掉该行include_recursive "conf.d"。

sudo vi /etc/icinga2/icinga2.conf
...
//include_recursive "conf.d"
...

验证配置以确保所有内容均正确格式化。

sudo icinga2 daemon -C

如果您遇到权限问题，则可能是因为该项目归拥有root:root。急着icinga:icinga解决。

sudo chown -R icinga:icinga /etc/icinga2/

配置还有其他问题，通常sudo icinga2 daemon -C命令输出中给出的信息会很冗长，无法对其进行跟踪。解决出现的每个潜在问题不在本指南的范围之内。

如果验证成功，请继续并重新加载服务：

sudo service icinga2 restart

您需要授予icinga用户sudo权限，以便可以运行命令。这些sudo权限将仅限于特定的插件目录。可以将其放在文件末尾。

sudo vi /etc/sudoers
...
Defaults:icinga !requiretty
icinga          ALL=(ALL) NOPASSWD: /usr/lib64/nagios/plugins/

现在，客户端配置已正式完成。您无需进行任何其他修改，任何服务检查都将在主服务器上进行配置，并向下传播到客户端。但是，您将需要安装可能需要的所有其他插件。还可以使用python，perl，BASH，PHP和其他脚本语言编写插件。

步骤7：将客户端添加到主配置

您将需要回到主服务器上来配置客户端，以便可以连接它。需要采取一些步骤：

1. 将主机配置添加到repository.d。
2. 将主机添加到区域作为端点。
3. 为客户端配置所有检查。这稍微超出了本指南的范围，我仅提供有关步骤的基本说明。

主机配置将输入到/etc/icinga2/repository.d/hosts/icinga2client.example.com.conf文件中。

sudo vi /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf
object Host "icinga2client.example.com" {
  import "satellite-host"
  address = "$icinga2clientIP"
  vars.os = "Linux"
}
sudo chown icinga:icinga /etc/icinga2/repository.d/hosts/icinga2client.example.com.conf

现在，主机已存在于客户端配置中，但需要将其放入区域中。该区域将位于/etc/icinga2/repository.d/zones文件夹中，其名称与区域名称相同，以便于跟踪。

sudo vi /etc/icinga2/repository.d/zones/clientZone.conf
object Zone "clientZone" {
        endpoints = [ "icinga2client.example.com" ]
        parent = "icinga2master.example.com"
}

接下来，您需要添加global-templates区域。

sudo vi /etc/icinga2/repository.d/zones/global-templates.conf
object Zone "global-templates" {
        global = true
}

最后，添加客户端端点，以便在运行时填充“ clientZone”端点数组。

sudo vi /etc/icinga2/repository.d/endpoints/icinga2client.example.com.conf

#Change values to match the host you're adding
object Endpoint "icinga2client.example.com" {
        host = "$icinga2clientIP"
}

为了确保没有权限问题，请继续并再次更改所有者/组。

sudo chown -R icinga:icinga /etc/icinga2

验证配置更改以确保没有其他问题。

sudo icinga2 daemon -C

如果验证成功，请继续重新加载。

sudo service icinga2 restart

如果您访问Icinga2网站，则将看到该服务器可访问。

步骤8：自定义命令和检查

您可能会遇到有关“找不到命令”或“未定义检查”的错误。这是全局模板区域起作用的地方。您将需要将配置复制到/etc/icinga2/conf.d/文件中并将其放入/etc/icinga2/zones.d/global-templates/文件中。例如，要创建“ check_software”命令，您需要执行以下操作。

sudo mkdir /etc/icinga2/zones.d/global-templates
sudo vi /etc/icinga2/zones.d/global-templates/commands.conf
object CheckCommand "check_software" {
  import "plugin-check-command"
  command = [ "/usr/bin/sudo",  PluginDir + "/software_service_check.sh" ]
}

该software_service_check.sh文件将需要存在于客户端的/usr/lib64/nagios/plugins文件夹中。

接下来，将服务检查添加到/etc/icinga2/repository.d/hosts/services.conf文件中。

sudo vi /etc/icinga2/repository.d/hosts/services/services.conf
apply Service "Check Software Service" {
  import "mail-service"
  check_command = "check_software" # This check command is the same name as the one you defined in global-templates/commands.conf

  assign where host.vars.client_endpoint # This will apply to every client server. If you need it to be more restrictive, you should look into custom variables
}

您需要再次更改权限。

sudo chown -R icinga:icinga /etc/icinga2

然后，重新验证配置。

sudo icinga2 daemon -C

最后，如果成功，请重新加载：

sudo service icinga2 restart

恭喜你！您现在在主客户端模型中使用Icinga2，现在可以避免使用不安全的NRPE检查！