Cách cài đặt phần mềm giám sát Icinga 2 trên Debian 12

[theanh]

Icinga 2 là một hệ thống giám sát nguồn mở kiểm tra tính khả dụng của tài nguyên mạng, thông báo cho người dùng về sự cố ngừng hoạt động và tạo dữ liệu hiệu suất để báo cáo. Bạn có thể giám sát các dịch vụ mạng (SMTP, POP3, HTTP, NNTP, ping), tài nguyên máy chủ (sử dụng CPU, sử dụng Đĩa) và các thành phần mạng (bộ chuyển mạch, bộ định tuyến, cảm biến nhiệt độ và độ ẩm) bằng Icinga2. Nó có thể được tích hợp với các plugin Nagios.

Trong hướng dẫn sau, bạn sẽ tìm hiểu cách cài đặt Icinga2 trên máy chủ Debian 12 và kết nối nó với một nút máy khách. Thay vì máy chủ Apache mặc định, chúng tôi sẽ sử dụng Nginx để chạy Icinga2 Web.

Điều kiện tiên quyết​

• 
  Hai máy chạy Debian 12. Một trong số chúng sẽ hoạt động như máy chủ Master và máy còn lại sẽ hoạt động như máy khách để giám sát.
  
• 
  Một người dùng không phải root có quyền sudo trên cả hai máy chủ.
  
• 
  Một tên miền đủ điều kiện (FQDN) cho máy chủ master, icinga.example.com và nút máy khách, client.example.com.
  
• 
  Đảm bảo mọi thứ được cập nhật.

$ sudo apt update && sudo apt upgrade

[*]
Một số gói mà hệ thống của bạn nhu cầu.

$ sudo apt install wget curl nano software-properties-common dirmngr apt-transport-https gnupg2 ca-certificates lsb-release debian-archive-keyring ufw unzip -y

Một số gói này có thể đã được cài đặt trên hệ thống của bạn.

Bước 1 - Cấu hình Tường lửa trên Máy chủ chính​

Bước đầu tiên là cấu hình tường lửa. Debian đi kèm với ufw (Uncomplicated Firewall) theo mặc định.

Kiểm tra xem tường lửa có đang chạy không.

$ sudo ufw status

Bạn sẽ nhận được kết quả sau.

Status: inactive

Cho phép cổng SSH để tường lửa không làm gián đoạn kết nối hiện tại khi bật nó.

$ sudo ufw allow OpenSSH

Cho phép cổng 5665 được yêu cầu bởi máy khách Icinga2 để kết nối với máy chủ.

$ sudo ufw allow 5665

Cho phép các cổng HTTP và HTTPS như tốt.

$ sudo ufw allow http
$ sudo ufw allow https

Bật Tường lửa

$ sudo ufw enable
Command may disrupt existing ssh connections. Proceed with operation (y|n)? y
Firewall is active and enabled on system startup

Kiểm tra trạng thái của tường lửa một lần nữa.

$ sudo ufw status

Bạn sẽ thấy kết quả tương tự.

Status: active
To Action From
-- ------ ----
OpenSSH ALLOW Anywhere
80/tcp ALLOW Anywhere
443 ALLOW Anywhere
5665 ALLOW Anywhere
OpenSSH (v6) ALLOW Anywhere (v6)
80/tcp (v6) ALLOW Anywhere (v6)
443 (v6) ALLOW Anywhere (v6)
5665 (v6) ALLOW Anywhere (v6)

Bước 2 - Cài đặt MariaDB Server​

Debian 12 đi kèm với phiên bản MariaDB mới nhất. Bạn có thể cài đặt nó bằng một lệnh duy nhất.

$ sudo apt install mariadb-server

Kiểm tra phiên bản MySQL.

$ mysql --version
mysql Ver 15.1 Distrib 10.11.4-MariaDB, for debian-linux-gnu (x86_64) using EditLine wrapper

Chạy tập lệnh cài đặt an toàn MariaDB.

$ sudo mariadb-secure-installation

Bạn sẽ được yêu cầu nhập mật khẩu gốc. Nhấn Enter vì chúng tôi chưa đặt bất kỳ mật khẩu nào cho nó.

NOTE: RUNNING ALL PARTS OF THIS SCRIPT IS RECOMMENDED FOR ALL MariaDB SERVERS IN PRODUCTION USE! PLEASE READ EACH STEP CAREFULLY!
In order to log into MariaDB to secure it, we'll need the current
password for the root user. If you've just installed MariaDB, and
haven't set the root password yet, you should just press enter here.
Enter current password for root (enter for none):

Tiếp theo, bạn sẽ được hỏi xem bạn có muốn chuyển sang phương pháp xác thực socket Unix không. Plugin unix_socket cho phép bạn sử dụng thông tin xác thực hệ điều hành của mình để kết nối với máy chủ MariaDB. Vì bạn đã có tài khoản root được bảo vệ, hãy nhập n để tiếp tục.

OK, successfully used password, moving on...
Setting the root password or using the unix_socket ensures that nobody
can log into the MariaDB root user without the proper authorisation.
You already have your root account protected, so you can safely answer 'n'.
Switch to unix_socket authentication [Y/n] n

Tiếp theo, bạn sẽ được hỏi xem bạn có muốn thay đổi mật khẩu root của mình không. Trên Debian 12, mật khẩu root gắn chặt với việc bảo trì hệ thống tự động, vì vậy bạn nên để nguyên. Nhập n để tiếp tục.

... skipping.
You already have your root account protected, so you can safely answer 'n'.
Change the root password? [Y/n] n

Tiếp theo, bạn sẽ được hỏi một số câu hỏi để cải thiện tính bảo mật của MariaDB. Nhập Y để xóa người dùng ẩn danh, không cho phép đăng nhập root từ xa, xóa cơ sở dữ liệu thử nghiệm và tải lại các bảng đặc quyền.

... skipping.
By default, a MariaDB installation has an anonymous user, allowing anyone
to log into MariaDB without having to have a user account created for
them. This is intended only for testing, and to make the installation
go a bit smoother. You should remove them before moving into a
production environment.
Remove anonymous users? [Y/n] y ... Success!
Normally, root should only be allowed to connect from 'localhost'. This
ensures that someone cannot guess at the root password from the network.
Disallow root login remotely? [Y/n] y ... Success!
By default, MariaDB comes with a database named 'test' that anyone can
access. This is also intended only for testing, and should be removed
before moving into a production environment.
Remove test database and access to it? [Y/n] y - Dropping test database... ... Success! - Removing privileges on test database... ... Success!
Reloading the privilege tables will ensure that all changes made so far
will take effect immediately.
Reload privilege tables now? [Y/n] y ... Success!
Cleaning up...
All done! If you've completed all of the above steps, your MariaDB
installation should now be secure.
Thanks for using MariaDB!

Bạn có thể vào shell MariaDB bằng cách nhập sudo mysql hoặc sudo mariadb trên dòng lệnh.

Bước 3 - Cấu hình MariaDB​

Đăng nhập vào shell MariaDB. Nhập mật khẩu gốc của bạn khi được nhắc.

$ sudo mysql

Tạo cơ sở dữ liệu Icinga.

MariaDB [(none)]> CREATE DATABASE icinga2;

Tạo tài khoản người dùng SQL cho Icinga2. Không thay đổi cơ sở dữ liệu và tên người dùng vì chúng đã được thiết lập theo mặc định. Nếu bạn muốn thay đổi chúng, bạn sẽ cần thực hiện một số bước bổ sung trong khi cài đặt trình điều khiển MySQL ở Bước 5. Nhập mật khẩu và bạn sẽ nhận được lỗi, sau đó được yêu cầu cấu hình lại nơi bạn có thể chỉ định tên cơ sở dữ liệu và người dùng tùy chỉnh của mình.

MariaDB [(none)]> CREATE USER 'icinga2'@'localhost' IDENTIFIED BY 'Your_password2';

Cấp tất cả các quyền trên cơ sở dữ liệu cho người dùng.

MariaDB [(none)]> GRANT ALL PRIVILEGES ON icinga2.* TO 'icinga2'@'localhost';

Vì chúng ta không sửa đổi người dùng root, bạn nên tạo một người dùng SQL khác để thực hiện các tác vụ quản trị sử dụng xác thực mật khẩu. Chọn một mật khẩu mạnh cho người dùng này.

MariaDB> GRANT ALL ON *.* TO 'navjot'@'localhost' IDENTIFIED BY 'Yourpassword32!' WITH GRANT OPTION;

Xóa quyền người dùng.

MariaDB [(none)]> FLUSH PRIVILEGES;

Thoát shell.

MariaDB [(none)]> exit

Bước 4 - Cài đặt Icinga2 và các plugin giám sát trên Máy chủ chính​

Chúng tôi sẽ sử dụng kho lưu trữ chính thức của Icinga2 để cài đặt. Tải xuống và nhập khóa GPG Icinga2.

$ wget -O - https://packages.icinga.com/icinga.key | sudo gpg --dearmor -o /usr/share/keyrings/icinga-archive-keyring.gpg

Chạy các lệnh sau để tạo và thêm thông tin kho lưu trữ Icinga2 vào danh sách nguồn APT.

$ echo "deb [signed-by=/usr/share/keyrings/icinga-archive-keyring.gpg] https://packages.icinga.com/debian icinga-`lsb_release -cs` main" | sudo tee /etc/apt/sources.list.d/$(lsb_release -cs)-icinga.list
$ echo "deb-src [signed-by=/usr/share/keyrings/icinga-archive-keyring.gpg] http://packages.icinga.com/debian icinga-`lsb_release -cs` main" | sudo tee -a /etc/apt/sources.list.d/$(lsb_release -cs)-icinga.list

Cập nhật kho lưu trữ hệ thống danh sách.

$ sudo apt update

Cài đặt Icinga2, Icingacli và các plugin giám sát.

$ sudo apt install icinga2 monitoring-plugins -y

Bước 5 - Cài đặt trình điều khiển IDO MySQL trên Máy chủ chính​

Để Icinga2 hoạt động, nó cần có cơ sở dữ liệu. Để làm được điều đó, chúng ta cần cài đặt trình điều khiển IDO MySQL và thiết lập kết nối cơ sở dữ liệu. Chạy lệnh sau để cài đặt trình điều khiển MySQL.

$ sudo apt install -y icinga2-ido-mysql

Tiếp theo, bạn sẽ được yêu cầu bật tính năng ido-mysql. Chọn Có để tiếp tục.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22229%22%3E%3C/svg%3E


Tiếp theo, bạn sẽ được nhắc thiết lập trình điều khiển và tạo cơ sở dữ liệu bằng tiện ích dbconfig-common. Chọn Có để tiếp tục.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22136%22%3E%3C/svg%3E


Tiếp theo, bạn sẽ được yêu cầu nhập mật khẩu MySQL cho cơ sở dữ liệu icinga2. Nhập mật khẩu được cấu hình ở bước 3 để tiếp tục.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22727%22%20height=%22278%22%3E%3C/svg%3E


Bạn sẽ được yêu cầu xác nhận lại mật khẩu.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22467%22%20height=%22270%22%3E%3C/svg%3E


Bạn có thể kiểm tra thông tin chi tiết về cơ sở dữ liệu trong /etc/icinga2/features-available/ido-mysql.conf tệp.

$ sudo cat /etc/icinga2/features-available/ido-mysql.conf
/** * The db_ido_mysql library implements IDO functionality * for MySQL. */
library "db_ido_mysql"
object IdoMysqlConnection "ido-mysql" { user = "icinga2", password = "Your_password2", host = "localhost", database = "icinga2"
}

Kích hoạt ido-mysql tính năng.

$ sudo icinga2 feature enable ido-mysql
Enabling feature ido-mysql. Make sure to restart Icinga 2 for these changes to take effect.

Khởi động lại Icinga2 dịch vụ.

$ sudo systemctl restart icinga2

Xác minh trạng thái dịch vụ.

$ sudo systemctl status icinga2
? icinga2.service - Icinga host/service/network monitoring system Loaded: loaded (/lib/systemd/system/icinga2.service; enabled; preset: enabled) Drop-In: /etc/systemd/system/icinga2.service.d ??limits.conf Active: active (running) since Mon 2024-01-08 07:35:29 UTC; 4s ago Process: 15404 ExecStartPre=/usr/lib/icinga2/prepare-dirs /etc/default/icinga2 (code=exited, status=0/SUCCESS) Main PID: 15411 (icinga2) Status: "Startup finished." Tasks: 14 Memory: 13.6M CPU: 858ms CGroup: /system.slice/icinga2.service ??15411 /usr/lib/x86_64-linux-gnu/icinga2/sbin/icinga2 --no-stack-rlimit daemon --close-stdio -e /var/log/icinga2/error.log ??15433 /usr/lib/x86_64-linux-gnu/icinga2/sbin/icinga2 --no-stack-rlimit daemon --close-stdio -e /var/log/icinga2/error.log ??15438 /usr/lib/x86_64-linux-gnu/icinga2/sbin/icinga2 --no-stack-rlimit daemon --close-stdio -e /var/log/icinga2/error.log

Bước 6 - Cấu hình Icinga2 API​

Để quản lý và cấu hình giám sát Icinga2 thông qua HTTP, bạn cần cấu hình Icinga2 API. Chạy lệnh sau để bật API Icinga2, tạo chứng chỉ TLS cho Icinga2 và cập nhật cấu hình Icinga2.

$ sudo icinga2 api setup

Bạn sẽ nhận được kết quả tương tự.

information/cli: Generating new CA.
information/base: Writing private key to '/var/lib/icinga2/ca//ca.key'.
information/base: Writing X509 certificate to '/var/lib/icinga2/ca//ca.crt'.
information/cli: Generating new CSR in '/var/lib/icinga2/certs//icinga.example.com.csr'.
information/base: Writing private key to '/var/lib/icinga2/certs//icinga.example.com.key'.
information/base: Writing certificate signing request to '/var/lib/icinga2/certs//icinga.example.com.csr'.
information/cli: Signing CSR with CA and writing certificate to '/var/lib/icinga2/certs//icinga.example.com.crt'.
information/pki: Writing certificate to file '/var/lib/icinga2/certs//icinga.example.com.crt'.
information/cli: Copying CA certificate to '/var/lib/icinga2/certs//ca.crt'.
information/cli: Adding new ApiUser 'root' in '/etc/icinga2/conf.d/api-users.conf'.
information/cli: Reading '/etc/icinga2/icinga2.conf'.
information/cli: Enabling the 'api' feature.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
information/cli: Updating 'NodeName' constant in '/etc/icinga2/constants.conf'.
information/cli: Created backup file '/etc/icinga2/constants.conf.orig'.
information/cli: Updating 'ZoneName' constant in '/etc/icinga2/constants.conf'.
information/cli: Backup file '/etc/icinga2/constants.conf.orig' already exists. Skipping backup.
Done.
Now restart your Icinga 2 daemon to finish the installation!

Lệnh trên tạo ra một Tệp /etc/icinga2/conf.d/api-users.conf có người dùng mặc định root có tất cả các quyền đối với API Icinga2. Chúng tôi cần một người dùng mới với các quyền tối thiểu theo yêu cầu của Icinga Web.

Mở tệp api-users.conf để chỉnh sửa.

$ sudo nano /etc/icinga2/conf.d/api-users.conf

Thêm mã sau vào cuối tệp. Chọn mật khẩu mạnh cho API.

/** api for icingaweb2 */
object ApiUser "icingaweb2" { password = "PassWordApiIcingaWeb2" permissions = [ "status/query", "actions/*", "objects/modify/*", "objects/query/*" ]
}

Ghi lại thông tin đăng nhập cần thiết sau này để truy cập trang web. Theo mặc định, máy chủ API Icinga2 lắng nghe trên cổng 5665. Khởi động lại dịch vụ để các thay đổi có hiệu lực.

$ sudo systemctl restart icinga2

Bước tiếp theo là cài đặt giao diện Icinga Web. Nó được cấu hình sẵn cho Apache nhưng chúng ta sẽ sử dụng máy chủ Nginx. Do đó, trước tiên, chúng ta cần cài đặt Nginx và chứng chỉ SSL.

Bước 7 - Cài đặt Nginx​

Debian 12 đi kèm với phiên bản Nginx cũ hơn. Để cài đặt phiên bản mới nhất, bạn cần tải xuống kho lưu trữ Nginx chính thức.

Nhập khóa ký của Nginx.

$ curl https://nginx.org/keys/nginx_signing.key | gpg --dearmor \
| sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null

Thêm kho lưu trữ cho phiên bản chính của Nginx.

$ echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg arch=amd64] \
http://nginx.org/packages/mainline/debian `lsb_release -cs` nginx" \
| sudo tee /etc/apt/sources.list.d/nginx.list

Cập nhật hệ thống kho lưu trữ.

$ sudo apt update

Cài đặt Nginx.

$ sudo apt install nginx

Xác minh cài đặt. Trên hệ thống Debian, lệnh sau chỉ hoạt động với sudo.

$ sudo nginx -v
nginx version: nginx/1.25.3

Khởi động Nginx máy chủ.

$ sudo systemctl start nginx

Kiểm tra trạng thái dịch vụ.

$ sudo systemctl status nginx
? nginx.service - nginx - high performance web server Loaded: loaded (/lib/systemd/system/nginx.service; enabled; preset: enabled) Active: active (running) since Mon 2024-01-08 07:43:24 UTC; 4s ago Docs: https://nginx.org/en/docs/ Process: 16330 ExecStart=/usr/sbin/nginx -c /etc/nginx/nginx.conf (code=exited, status=0/SUCCESS) Main PID: 16331 (nginx) Tasks: 3 (limit: 2299) Memory: 2.9M CPU: 16ms CGroup: /system.slice/nginx.service ??16331 "nginx: master process /usr/sbin/nginx -c /etc/nginx/nginx.conf" ??16332 "nginx: worker process" ??16333 "nginx: worker process"
Jan 08 07:43:24 icinga systemd[1]: Starting nginx.service - nginx - high performance web server...
Jan 08 07:43:24 icinga systemd[1]: Started nginx.service - nginx - high performance web server.

Bước 8 - Cài đặt SSL​

Chúng ta cần cài đặt Certbot để tạo chứng chỉ SSL. Bạn có thể cài đặt Certbot bằng kho lưu trữ của Debian hoặc lấy phiên bản mới nhất bằng công cụ Snapd. Chúng tôi sẽ sử dụng phiên bản Snapd.

Debian 12 không đi kèm Snapd đã cài đặt. Cài đặt gói Snapd.

$ sudo apt install snapd

Chạy các lệnh sau để đảm bảo phiên bản Snapd của bạn được cập nhật.

$ sudo snap install core && sudo snap refresh core

Cài đặt Certbot.

$ sudo snap install --classic certbot

Sử dụng lệnh sau để đảm bảo lệnh Certbot có thể chạy được bằng cách tạo liên kết tượng trưng đến /usr/bin thư mục.

$ sudo ln -s /snap/bin/certbot /usr/bin/certbot

Kiểm tra xem Certbot có hoạt động bình thường không.

$ certbot --version
certbot 2.8.0

Chạy lệnh sau để tạo SSL Chứng chỉ.

$ sudo certbot certonly --nginx --agree-tos --no-eff-email --staple-ocsp --preferred-challenges http -m [emailprotected] -d icinga.example.com

Lệnh trên sẽ tải chứng chỉ xuống thư mục /etc/letsencrypt/live/icinga.example.com trên máy chủ của bạn.

Tạo nhóm Diffie-Hellman chứng chỉ.

$ sudo openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096

Kiểm tra dịch vụ lập lịch gia hạn Certbot.

$ sudo systemctl list-timers

Bạn sẽ tìm thấy snap.certbot.renew.service là một trong những dịch vụ được lên lịch chạy.

NEXT LEFT LAST PASSED UNIT ACTIVATES
-----------------------------------------------------------------------------------------------------------------------------------------
Mon 2024-01-08 09:47:46 UTC 1h 56min left Sun 2024-01-07 09:47:46 UTC 22h ago systemd-tmpfiles-clean.timer systemd-tmpfiles-clean.service
Mon 2024-01-08 13:35:00 UTC 5h 43min left - - snap.certbot.renew.timer snap.certbot.renew.service
Tue 2024-01-09 00:00:00 UTC 16h left Mon 2024-01-08 00:00:01 UTC 7h ago dpkg-db-backup.timer dpkg-db-backup.service

Thực hiện chạy thử quy trình để kiểm tra xem quá trình gia hạn SSL có hoạt động tốt không.

$ sudo certbot renew --dry-run

Nếu bạn không thấy lỗi nào, bạn đã hoàn tất. Chứng chỉ của bạn sẽ tự động gia hạn.

Bước 9 - Cấu hình Nginx và PHP​

Vì Icinga được cấu hình cho Apache, nên gói PHP-FPM không được cài đặt theo mặc định. Bạn cũng sẽ cần mô-đun PHP Imagick nếu muốn xuất đồ thị sang PDF. Chạy lệnh sau để cài đặt PHP-FPM và thư viện PHP Imagick.

$ sudo apt install php-fpm php-imagick

Cấu hình PHP-FPM​

Mở tệp /etc/php/8.2/fpm/pool.d/www.conf.

$ sudo nano /etc/php/8.2/fpm/pool.d/www.conf

Chúng ta cần đặt người dùng/nhóm Unix của các quy trình PHP thành nginx. Tìm các dòng user=www-data và group=www-data trong tệp và thay đổi chúng thành nginx.

...
; Unix user/group of processes
; Note: The user is mandatory. If the group is not set, the default user's group
; will be used.
user = nginx
group = nginx
...

Tìm listen.owner = www-data và listen.group = www-data dòng trong tệp và thay đổi chúng thành nginx.

; Set permissions for unix socket, if one is used. In Linux, read/write
; permissions must be set in order to allow connections from a web server. Many
; BSD-derived systems allow connections regardless of permissions. The owner
; and group can be specified either by name or by their numeric IDs.
; Default Values: user and group are set as the running user
; mode is set to 0660
listen.owner = nginx
listen.group = nginx

Lưu tệp bằng cách nhấn Ctrl + X và nhập Y khi được nhắc.

Khởi động lại PHP-FPM dịch vụ.

$ sudo systemctl restart php8.2-fpm

Cấu hình Nginx​

Tạo và mở tệp /etc/nginx/conf.d/icinga.conf cho chỉnh sửa.

$ sudo nano /etc/nginx/conf.d/icinga.conf

Dán mã sau vào đó.

server { listen 443 ssl http2; listen [::]:443 ssl http2; server_name icinga.example.com; access_log /var/log/nginx/icinga.access.log; error_log /var/log/nginx/icinga.error.log; # SSL ssl_certificate /etc/letsencrypt/live/icinga.example.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/icinga.example.com/privkey.pem; ssl_trusted_certificate /etc/letsencrypt/live/icinga.example.com/chain.pem; ssl_session_timeout 5m; ssl_session_cache shared:MozSSL:10m; ssl_session_tickets off; ssl_protocols TLSv1.2 TLSv1.3; ssl_prefer_server_ciphers on; ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384; ssl_ecdh_curve X25519:prime256v1:secp384r1:secp521r1; ssl_stapling on; ssl_stapling_verify on; ssl_dhparam /etc/ssl/certs/dhparam.pem; resolver 8.8.8.8; location ~ ^/index\.php(.*)$ { # fastcgi_pass 127.0.0.1:9000; fastcgi_pass unix:/run/php/php8.2-fpm.sock; # Depends On The PHP Version fastcgi_index index.php; # try_files $uri =404; # fastcgi_split_path_info ^(.+\.php)(/.+)$; include fastcgi_params; fastcgi_param SCRIPT_FILENAME /usr/share/icingaweb2/public/index.php; fastcgi_param ICINGAWEB_CONFIGDIR /etc/icingaweb2; fastcgi_param REMOTE_USER $remote_user; } location ~ ^/(.*)? { alias /usr/share/icingaweb2/public; index index.php; rewrite ^/$ /dashboard; try_files $1 $uri $uri/ /index.php$is_args$args; } location ~ \.php$ { return 404; }
}
# enforce HTTPS
server { listen 80; listen [::]:80; server_name icinga.example.com; return 301 https://$host$request_uri;
}

Lưu ý thư mục gốc được sử dụng trong cấu hình Nginx là /usr/share/icingaweb2/public.

Lưu tệp bằng cách nhấn Ctrl + X và nhập Y khi được nhắc sau khi hoàn tất.

Mở tệp /etc/nginx/nginx.conf để chỉnh sửa.

$ sudo nano /etc/nginx/nginx.conf

Thêm dòng sau vào trước dòng include /etc/nginx/conf.d/*.conf;.

server_names_hash_bucket_size 64;

Lưu tệp bằng cách nhấn Ctrl + X và nhập Y khi được nhắc.

Xác minh tệp cấu hình Nginx cú pháp.

$ sudo nginx -t
nginx: the configuration file /etc/nginx/nginx.conf syntax is ok
nginx: configuration file /etc/nginx/nginx.conf test is successful

Khởi động lại dịch vụ Nginx.

$ sudo systemctl restart nginx

Bước 10 - Chuẩn bị thiết lập Web​

Trước khi truy cập Icinga Web, chúng ta cần cài đặt nó cùng với công cụ dòng lệnh.

$ sudo apt install icingaweb2 icingacli

Thêm người dùng Nginx vào icingaweb2 nhóm.

$ sudo usermod -aG icingaweb2 nginx

Đặt quyền cho thư mục Icingaweb thành Nhóm icingaweb2.

$ sudo icingacli setup config directory --group icingaweb2
Successfully created configuration directory /etc/icingaweb2

Khi sử dụng Icinga Web, bạn được yêu cầu xác thực bằng mã thông báo. Tạo mã thông báo bằng lệnh sau.

$ sudo icingacli setup token create
The newly generated setup token is: 56951f01f9f77a68

Ghi lại mã thông báo vì bạn sẽ cần nó sau. Bạn luôn có thể lấy lại nó sau bằng lệnh sau.

$ sudo icingacli setup token show
The current setup token is: 56951f01f9f77a68

Bước tiếp theo là tạo cơ sở dữ liệu và người dùng cơ sở dữ liệu. Đăng nhập vào shell MariaDB.

$ sudo mysql

Tạo cơ sở dữ liệu Web Icinga.

MariaDB [(none)]> CREATE DATABASE icingaweb2;

Tạo tài khoản người dùng SQL cho Icinga Web.

MariaDB [(none)]> CREATE USER 'icingaweb2'@'localhost' IDENTIFIED BY 'Your_password3';

Cấp tất cả các quyền trên cơ sở dữ liệu cho người dùng.

MariaDB [(none)]> GRANT ALL PRIVILEGES ON icingaweb2.* TO 'icingaweb2'@'localhost';

Xóa người dùng quyền.

MariaDB [(none)]> FLUSH PRIVILEGES;

Thoát khỏi shell.

MariaDB [(none)]> exit

Khởi động lại Nginx và PHP-FPM để áp dụng quyền thay đổi.

$ sudo systemctl restart nginx php8.2-fpm

Bước 11 - Thiết lập IcingaWeb​

Mở URL https://icinga.example.com/setup trong trình duyệt của bạn và bạn sẽ nhận được màn hình sau.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22532%22%3E%3C/svg%3E


Nhập mã thông báo được tạo ở bước trước và nhấn nút Tiếp theo để tiếp tục.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22305%22%3E%3C/svg%3E


Trên màn hình tiếp theo, hãy chọn các mô-đun bạn muốn cài đặt và nhấp vào Tiếp theo để tiếp tục. Mô-đun Giám sát được chọn cho bạn theo mặc định. Ở trang tiếp theo, bạn sẽ thấy các yêu cầu và liệu chúng đã được đáp ứng hay chưa. Đảm bảo tất cả các yêu cầu đều được đánh dấu màu xanh lá cây.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22678%22%20height=%22750%22%3E%3C/svg%3E


Nhấp vào Tiếp theo để chuyển đến trang tiếp theo để chọn loại xác thực.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22197%22%3E%3C/svg%3E


Theo mặc định, loại xác thực được đặt thành Cơ sở dữ liệu. Nhấp vào Tiếp theo để tiếp tục. Bạn sẽ được yêu cầu điền thông tin xác thực cơ sở dữ liệu ở trang tiếp theo.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22670%22%3E%3C/svg%3E


Điền thông tin xác thực cơ sở dữ liệu đã tạo ở bước 10. Nhấp vào nút Xác thực cấu hình để xác minh thông tin xác thực. Sau khi xác minh, hãy nhấp vào Tiếp theo để tiếp tục. Tiếp theo, bạn sẽ được yêu cầu đặt tên cho chương trình xác thực.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22205%22%3E%3C/svg%3E


Giữ nguyên giá trị mặc định và nhấp vào Tiếp theo để tiếp tục. Ở trang tiếp theo, bạn sẽ được yêu cầu tạo một tài khoản quản trị viên.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22325%22%3E%3C/svg%3E


Nhập thông tin đăng nhập cho tài khoản quản trị viên mới của bạn và nhấp vào Tiếp theo để tiếp tục. Tiếp theo, bạn sẽ thấy trang Cấu hình ứng dụng.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22523%22%3E%3C/svg%3E


Enable strict content security policy chưa được chọn. Chọn mục này và để nguyên tất cả các giá trị mặc định khác. Nhấp vào Next để tiếp tục. Bạn sẽ được yêu cầu xem lại cấu hình ở trang cuối cùng.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22423%22%3E%3C/svg%3E


Bạn có thể quay lại để thay đổi bất kỳ cài đặt nào. Nếu bạn hài lòng, hãy nhấp vào Tiếp theo để tiếp tục.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22224%22%3E%3C/svg%3E


Nhấp vào Tiếp theo để tiếp tục cấu hình mô-đun giám sát. Tiếp theo, bạn sẽ được yêu cầu cung cấp thông tin xác thực cơ sở dữ liệu Icinga.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22678%22%20height=%22750%22%3E%3C/svg%3E


Điền thông tin xác thực cơ sở dữ liệu ở bước 3 và nhấp vào Xác thực cấu hình để xác minh kết nối. Sau khi xác minh, hãy nhấp vào Tiếp theo để tiếp tục. Tiếp theo, bạn sẽ được yêu cầu điền thông tin chi tiết về API.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22536%22%3E%3C/svg%3E


Điền thông tin xác thực API được tạo ở bước 6, 127.0.0.1 làm Máy chủ và nhấp vào Xác thực cấu hình để xác minh kết nối. Nhấp vào Tiếp theo để tiếp tục. Tiếp theo, bạn sẽ được yêu cầu chọn các biến tùy chỉnh được bảo vệ để giám sát bảo mật.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22211%22%3E%3C/svg%3E


Giữ nguyên các giá trị mặc định và nhấp vào Tiếp theo để tiếp tục. Tiếp theo, bạn sẽ được yêu cầu xem lại cấu hình Giám sát. Bạn có thể quay lại và thay đổi nếu muốn.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22325%22%3E%3C/svg%3E


Nếu bạn hài lòng, hãy nhấp vào Hoàn tất để hoàn tất quá trình cài đặt.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22217%22%3E%3C/svg%3E


Sau khi hoàn tất thành công, hãy nhấp vào Nút Đăng nhập vào Icinga Web 2 để mở trang đăng nhập (https://icinga.example.com).


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22695%22%20height=%22750%22%3E%3C/svg%3E


Nhập thông tin tài khoản quản trị viên của bạn và nhấp vào nút Đăng nhập để mở bảng điều khiển Icinga Web.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22422%22%3E%3C/svg%3E


Truy cập Tổng quan >> Trang Dịch vụ để kiểm tra trạng thái của máy chủ chính tương tự như sau.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22398%22%3E%3C/svg%3E

Bước 12 - Khởi tạo Máy chủ chính​

Bước tiếp theo là khởi tạo máy chủ chính thành nút chính. Nút chính đóng vai trò là bộ điều khiển chính cho ngăn xếp giám sát. Chạy lệnh sau để bắt đầu quá trình khởi tạo.

$ sudo icinga2 node wizard

Bạn sẽ được nhắc nếu đó là thiết lập tác nhân. Nhập n để thiết lập nút chính.

Welcome to the Icinga 2 Setup Wizard!
We will guide you through all required configuration details.
Please specify if this is an agent/satellite setup ('n' installs a master setup) [Y/n]: n

Tiếp theo, bạn sẽ được yêu cầu nhập tên chung hoặc tên miền. Nhấn Enter để chọn giá trị mặc định được hiển thị nếu đó là giá trị đúng. Nếu không, hãy nhập tên miền và nhấn Enter.

Please specify the common name (CN) [icinga.example.com]:
Reconfiguring Icinga...
Checking for existing certificates for common name 'icinga.example.com'...
Certificate '/var/lib/icinga2/certs//icinga.example.com.crt' for CN 'icinga.example.com' already existing. Skipping certificate generation.
Generating master configuration for Icinga 2.
'api' feature already enabled.

Tiếp theo, nhập tên vùng chính và nhấn Enter để tiếp tục. Trong trường hợp của chúng tôi, nó giống với tên miền máy chủ.

Master zone name [master]: icinga.example.com

Tiếp theo, bạn sẽ được hỏi xem bạn có muốn thêm bất kỳ vùng toàn cầu bổ sung nào không. Nhấn n để bỏ qua việc thêm và nhấn Enter để tiếp tục.

Default global zones: global-templates director-global
Do you want to specify additional global zones? [y/N]: n

Trong bước tiếp theo, hãy để API bind host và port làm mặc định và nhấn Enter để tiếp tục.

Please specify the API bind host/port (optional):
Bind Host []:
Bind Port []:

Tiếp theo, nhấn Y để vô hiệu hóa cấu hình bên trong /etc/icinga2/conf.d/ thư mục vì chúng ta sẽ sử dụng cấu hình Vùng Icinga2 sau.

Do you want to disable the inclusion of the conf.d directory [Y/n]: Y
Disabling the inclusion of the conf.d directory...
Checking if the api-users.conf file exists...
Done.
Now restart your Icinga 2 daemon to finish the installation!

Khởi động lại dịch vụ để áp dụng các thay đổi.

$ sudo systemctl restart icinga2

Và cuối cùng nhưng không kém phần quan trọng, hãy chạy lệnh sau để tạo phiếu cho máy chủ khách hàng. Sử dụng tên miền của máy khách làm đối số.

$ sudo icinga2 pki ticket --cn 'client.example.com'
c81f2a3b86534f34160ed8b776906e5452d8d09c

Ghi lại vé để sử dụng sau.

Bước 13 - Khởi tạo Icinga2 Agent trên Máy chủ máy khách​

Đăng nhập vào máy chủ máy khách và cài đặt Icinga2 cùng các plugin giám sát. Chạy các lệnh sau để thực hiện điều đó.

$ wget -O - https://packages.icinga.com/icinga.key | sudo gpg --dearmor -o /usr/share/keyrings/icinga-archive-keyring.gpg
$ echo "deb [signed-by=/usr/share/keyrings/icinga-archive-keyring.gpg] https://packages.icinga.com/debian icinga-`lsb_release -cs` main" | sudo tee /etc/apt/sources.list.d/$(lsb_release -cs)-icinga.list
$ echo "deb-src [signed-by=/usr/share/keyrings/icinga-archive-keyring.gpg] http://packages.icinga.com/debian icinga-`lsb_release -cs` main" | sudo tee -a /etc/apt/sources.list.d/$(lsb_release -cs)-icinga.list
$ sudo apt update
$ sudo apt install icinga2 monitoring-plugins -y

Xác minh xem dịch vụ Icinga đã được bật và đang chạy chưa.

$ sudo systemctl status icinga2
? icinga2.service - Icinga host/service/network monitoring system Loaded: loaded (/lib/systemd/system/icinga2.service; enabled; preset: enabled) Drop-In: /etc/systemd/system/icinga2.service.d ??limits.conf Active: active (running) since Mon 2024-01-08 12:52:53 UTC; 35s ago Main PID: 19530 (icinga2) Status: "Startup finished." Tasks: 12 Memory: 13.4M CPU: 216ms CGroup: /system.slice/icinga2.service ??19530 /usr/lib/x86_64-linux-gnu/icinga2/sbin/icinga2 --no-stack-rlimit daemon --close-stdio -e /var/log/icinga2/error.log ??19573 /usr/lib/x86_64-linux-gnu/icinga2/sbin/icinga2 --no-stack-rlimit daemon --close-stdio -e /var/log/icinga2/error.log ??19578 /usr/lib/x86_64-linux-gnu/icinga2/sbin/icinga2 --no-stack-rlimit daemon --close-stdio -e /var/log/icinga2/error.log

Khởi động Trình hướng dẫn nút Icinga để khởi tạo tác nhân trên máy khách máy chủ.

$ sudo icinga2 node wizard

Bạn sẽ được nhắc nếu đó là thiết lập tác nhân. Nhập Y để thiết lập tác nhân.

Welcome to the Icinga 2 Setup Wizard!
We will guide you through all required configuration details.
Please specify if this is an agent/satellite setup ('n' installs a master setup) [Y/n]: Y

Tiếp theo, bạn sẽ được yêu cầu chỉ định tên chung. Để nguyên giá trị mặc định và nhấn Enter để tiếp tục.

Starting the Agent/Satellite setup routine...
Please specify the common name (CN) [client.example.com]:

Tiếp theo, chỉ định điểm cuối cha là icinga.example.com và nhập Y để thiết lập kết nối đến nút cha từ máy khách.

Please specify the parent endpoint(s) (master or satellite) where this node should connect to:
Master/Satellite Common Name (CN from your master/satellite node): icinga.example.com
Do you want to establish a connection to the parent node from this node? [Y/n]: Y

Tiếp theo, nhập địa chỉ IP của máy chủ chính và giữ nguyên giá trị cổng như mặc định.

Please specify the master/satellite connection information:
Master/Satellite endpoint host (IP address or FQDN): 199.247.31.184
Master/Satellite endpoint port [5665]:

Nhập N để từ chối thêm master điểm cuối.

Add more master/satellite endpoints? [y/N]: N

Tiếp theo, bạn sẽ thấy thông tin chứng chỉ cho máy chủ chính. Nhấn Y để xác nhận thông tin và tiếp tục.

Parent certificate information: Version: 3 Subject: CN = icinga.example.com Issuer: CN = Icinga CA Valid From: Jan 8 07:36:55 2024 GMT Valid Until: Feb 8 07:36:55 2025 GMT Serial: 3a:e5:5e:e6:d5:5e:cc:1d:89:be:18:0b:10:cb:7d:54:8f:82:b1:5e Signature Algorithm: sha256WithRSAEncryption Subject Alt Names: icinga.example.com Fingerprint: DB 62 0D 2D AF 73 02 F2 86 92 5E A8 50 CD 0F 4F F2 D6 9E 86 AE F6 F9 E4 D7 F2 F2 60 78 1B 92 E5
Is this information correct? [y/N]: Y

Tiếp theo, nhập phiếu yêu cầu được tạo ở lần trước bước.

Please specify the request ticket generated on your Icinga 2 master (optional). (Hint: # icinga2 pki ticket --cn 'client.example.com'): c81f2a3b86534f34160ed8b776906e5452d8d09c

Giữ nguyên API bind host và port theo mặc định và nhấn Enter để tiếp tục.

Please specify the API bind host/port (optional):
Bind Host []:
Bind Port []:

Tiếp theo, nhập Y hai lần để chấp nhận cấu hình và lệnh từ máy chủ chính node.

Accept config from parent node? [y/N]: Y
Accept commands from parent node? [y/N]: Y

Nhấn Enter để chấp nhận tên vùng cục bộ mặc định là tên miền của máy khách. Nhập tên miền chính làm tên vùng cha để tiếp tục.

Reconfiguring Icinga...
Disabling feature notification. Make sure to restart Icinga 2 for these changes to take effect.
Enabling feature api. Make sure to restart Icinga 2 for these changes to take effect.
Local zone name [client.example.com]:
Parent zone name [master]: icinga.example.com

Nhấn N để bỏ qua việc thêm toàn cầu bổ sung vùng.

Default global zones: global-templates director-global
Do you want to specify additional global zones? [y/N]: N

Nhấn Y để bỏ qua việc vô hiệu hóa các cấu hình từ /etc/icinga2/conf.d/ thư mục.

Do you want to disable the inclusion of the conf.d directory [Y/n]: Y
Disabling the inclusion of the conf.d directory...
Done.
Now restart your Icinga 2 daemon to finish the installation!

Khởi động lại dịch vụ Icinga để áp dụng cấu hình thay đổi.

$ sudo systemctl restart icinga2

Bước 14 - Tạo cấu hình vùng trên máy chủ chính​

Đăng nhập lại vào máy chủ và tạo một thư mục mới làm vùng mặc định.

$ sudo mkdir -p /etc/icinga2/zones.d/icinga.example.com/

Tiếp theo, tạo một tệp cấu hình trong thư mục vừa tạo và mở tệp đó để chỉnh sửa.

$ sudo nano /etc/icinga2/zones.d/icinga.example.com/client.example.com.conf

Dán mã sau vào đó. Địa chỉ IP trong mã phải khớp với địa chỉ IP công khai của máy khách.

// Endpoints
object Endpoint "client.example.com" {
}
// Zones
object Zone "client.example.com" { endpoints = [ "client.example.com" ] parent = "icinga.example.com"
}
// Host Objects
object Host "client.example.com" { check_command = "hostalive" address = "95.179.138.148" vars.client_endpoint = name
}

Lưu tệp bằng cách nhấn Ctrl + X và nhập Y khi được nhắc sau khi hoàn tất.

Tạo và mở tệp dịch vụ để chỉnh sửa.

$ sudo nano /etc/icinga2/zones.d/icinga.example.com/services.conf

Dán mã sau vào nó.

// Ping apply Service "Ping" { check_command = "ping4" assign where host.address // check executed on master } // System Load apply Service "System Load" { check_command = "load" command_endpoint = host.vars.client_endpoint // Check executed on client01 assign where host.vars.client_endpoint } // SSH Service apply Service "SSH Service" { check_command = "ssh" command_endpoint = host.vars.client_endpoint assign where host.vars.client_endpoint } // Icinga 2 Service apply Service "Icinga2 Service" { check_command = "icinga" command_endpoint = host.vars.client_endpoint assign where host.vars.client_endpoint }

Chạy lệnh sau để xác minh cấu hình.

$ sudo icinga2 daemon -C

Bạn sẽ nhận được kết quả tương tự.

[2024-01-08 13:01:26 +0000] information/cli: Icinga application loader (version: r2.14.1-1)
[2024-01-08 13:01:26 +0000] information/cli: Loading configuration file(s).
[2024-01-08 13:01:26 +0000] information/ConfigItem: Committing config item(s).
[2024-01-08 13:01:26 +0000] information/ApiListener: My API identity: icinga.example.com
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 1 IcingaApplication.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 1 Host.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 1 FileLogger.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 1 IdoMysqlConnection.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 4 Zones.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 1 CheckerComponent.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 2 Endpoints.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 2 ApiUsers.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 1 ApiListener.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 1 NotificationComponent.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 246 CheckCommands.
[2024-01-08 13:01:26 +0000] information/ConfigItem: Instantiated 4 Services.
[2024-01-08 13:01:26 +0000] information/ScriptGlobal: Dumping variables to file '/var/cache/icinga2/icinga2.vars'
[2024-01-08 13:01:27 +0000] information/cli: Finished validating the configuration file(s).

Khởi động lại dịch vụ Icinga để áp dụng các thay đổi cấu hình.

$ sudo systemctl restart icinga2

Bước 15 - Xác minh trên Bảng điều khiển Icinga​

Mở Bảng điều khiển web Icinga2 để xác minh thông tin máy khách. Chọn Tổng quan >> Máy chủ từ menu bên trái và bạn sẽ thấy màn hình sau.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22727%22%3E%3C/svg%3E


Có thể mất một thời gian để trạng thái của máy khách hiển thị là ĐANG LÊN. Nhấp vào Máy khách để xem thêm thông tin chi tiết về máy khách đó. Chọn Tổng quan >> Dịch vụ và bạn sẽ thấy các trạng thái sau về máy khách.


data:image/svg+xml,%3Csvg%20xmlns=%22http://www.w3.org/2000/svg%22%20width=%22750%22%20height=%22398%22%3E%3C/svg%3E


Điều này xác nhận rằng máy khách đang gửi số liệu thống kê chính xác đến máy chủ chính Icinga.

Kết luận​

Điều này kết thúc hướng dẫn của chúng tôi về cách cài đặt Phần mềm giám sát Icinga trên máy chủ Debian 12 và cấu hình nó để giám sát máy khách chạy cùng Hệ điều hành. Nếu bạn có bất kỳ câu hỏi nào, hãy đăng chúng trong phần bình luận bên dưới.