第3章相关设置.docx

《第3章相关设置.docx》由会员分享，可在线阅读，更多相关《第3章相关设置.docx（17页珍藏版）》请在淘文阁 - 分享文档赚钱的网站上搜索。

1、第3章相关设置本章包括对CGI页眉、页脚、安全认证的设置，以及Nagios配置文件校验、联系人待 命设置。3.1CGI设置通过设置CGI的页眉、页脚更好地向最终用户提供信息，使用Apache的摘要认证实现 用户访问权限。3.1.1 自定义CGI的页眉和页脚如果为客户自定义安装Nagios,那么可能会对CGI的页眉、页脚进行自定义，以便在 CGI输出中显示，这对于最终联系人来说非常有用。需要说明的一点是，需要这些页眉、页脚文件是可执行的（这里的“可执行”指定的是 可以被浏览器解释执行），自定义的页眉、页脚文件在显示到客户端之前不会经过预处理。 在CGI中，包含在页眉、页脚中的内容文件将会被简单地

2、读取并显示在CGI的输出中，这就 意味着它们仅包含Web浏览器能够理解的语言（例如，HTML、JavaScript等）。如果用户自定义页眉、页脚文件是可执行的，那么这些文件被CGI调用并在客户端浏览 器被执行后，其输出将会被返回给用户，因此，它们应该输出为有效的HTML格式文件。使用该功能，可以通过运行自己定义的CGI在Nagios中插入数据以便显示，这种方法 已经被用于从rrdtooL通过使用ddraw命令，插入图像，或者是显示在Nagios面板的命令 菜单上。可执行的自定义页眉、页脚文件在运行时与Nagios执行CGI使用的环境相同，因 此自定义的CGI可以解析查询信息、用户认证信息等，以

3、便于产生适当的输出内容。自定义CGI的工作情况在CGI的输出中可以包括自定义的CGI页眉、页脚，方法是在ssi/子目录（就是 /usr/local/nagios-3.3.l/share/ssi）中添力口某些适当的 HTML 文件。在CGI输出中，自定义的页眉添加到vBODY标签之后，而自定义的页脚添加到v/BODY 标签N前。有以下两个类型的自定义页眉和页脚。 全局的CGI页眉、页脚：这两个文件应该分别命名为和。如果这些文件存在，那 么它们将会被包含在所有的CGI输出中。Checked 8 services.Checking hosts.Checked 1 hosts.Checking hos

4、t groups.Checked 1 host groups.Checking service groups.Checked 0 service groups.Checking contacts.Checked 1 contacts.Checking contact groups.Checked 1 contact groups. Checking service escalations.Checked 0 service escalations.Checking service dependencies.Checked 0 service dependencies.Checking host

5、 escalations.Checked 0 host escalations.Checking host dependencies.Checked 0 host dependencies.Checking commands.Checked 25 commands.Checking time periods.Checked 5 time periods.Checking Checking Checking Checking Checkingfor circular paths between hosts.for circular host and service dependencies.gl

6、obal event handlers.obsessive compulsive processor commands.misc settings .Total Warnings: 0Total Errors:0Things look okay - No serious problems were detected during the pre-flight check rootff#如果在对Nagios配置时，忘记了输入某些关键数据或者是丢失了某些配置，那么Nagios 将会抛出一条警告或者错误信息，以便于指出错误在哪个位置。错误信息通常会打印出在配置文件中具体的行号，似乎是指出了问题的根源

7、所在。例如：rootff# /usr/local/nagios-3 . 3.1/bin/nagios -v /usr/local/nagiosCopyright (c) 2009-2011 Nagios Core Development Team and Community Contributors Copyright (c) 1999-2009 Ethan Galstad Last Modified: 07-25-2011 License: GPLWebsite:Reading configuration data.Error in configuration file 11 - Line

8、1322 (NULL value)Error processing main config file!* One or more problems was encountered while processing the config files.Check your configuration file (s) to ensure that they contain valid directives and data defintions. If you are upgrading from a previous version of Nagios, you should be aware

9、that some variables/definitions may have been removed or modified in this version. Make sure to read the HTML documentation regarding the config files, as well as the ,Whats New1 section to find out what has changed.rootff #如果在Nagios启动中，在配置文件中发现错误，它通常只是指出第一个错误，然后就 直接退出了，而不会检测后面是否有错误。一般来说，警告信息可以忽略，它们

10、多数是一些推荐或者是不必要的条件设置。 在进行完验证测试之后，就可以使用该配置文件了，例如，可以重新启动Nagios。设置联系人待命规则作为运维人员（或者称作系统管理员或网络管理员，但我觉得叫运维人员更合理），需 要处理寻呼机、手机等发送的警告。但是说老实话大家都不希望接收到这样的警告信息（接 到警告信息就意味着你必须去处理它们），因为没有人愿意凌晨4点起来去处理一个问题， 不过在午夜处理问题总比在第二天早上9点去面对发狂怒吼的老板要好多了，所以及时处理 问题还是必须的。对于幸运的运维人员，或者是运维人员中的管理人员，叫做运维总监或者是其他的什么 衔，可能会有一个运维团队，小的三、五人，大的几

11、十号人，那么必须有个明确的时间分工, 总不可能当一个服务器或者服务出现问题时所有的运维人员都得到警告通知或者说一同去 处理，这显然是不合理的，尤其是在夜间或者是节假日。下面分析的4种方案中，简单地指定了两个用户。对于多个用户则是在两个用户基础上 的细分而已。因此通过下面这个最简单的方案来理解运维人员的待命时间段。3.3.1 方案1:假日和周末现在假设你的运维团队有5个人，但是具有处理事故能力的可能只有你和Bob,为了使 用名字称呼，假设你叫John,也就是说，只有John和Bob能够负责Nagios警告的处理。下面指定一个处理规程。 John负责每周一到周五（每天24小时）接收Nagios发送

12、的所有通知，但是不包括假 日（可以理解为我国的法定假日）o Bob负责周末（周六和周日）和假日（可以理解为我国的法定假日）。之所以这么指定，主要是考虑到人文因素，比如Bob在这个公司比你的资历老，而且Bob比你年纪大，而你比较年轻，平日里（工作日）可以玩命地工作，但是到了休息日可能还 去会个女朋友。下面来定义通知的时间段。首先要定义三个时间段（timeperiod）。定义的这三个时间段要包含一年的每一天（可千万 不要说是365天，是一年的每一天，为什么这样说，你懂得!）：（1）工作日（从周一到周五）：weekdaysweekdays 00:00-24:00 00:00-24:00 00:00-

13、24:00 00:00-24:00 00:00-24:00define timeperiod name timeperiod_name monday tuesday Wednesday thursday friday)在这个定义中，时间段的名称叫做weekdays,并且weekdays时间段包括了周一到周 五的全天24小时。（2）周末:weekendsweekends 00:00-24:0000:00-24:00define timeperiod name timeperiod_name Saturday sunday)在这个定义中，时间段的名称叫做weekends,并且weekends时间段

14、包括了周六到周 日的全天24小时。（3）假日:define timeperiod name timeperiod_name j anuary 1 2008-03-23 2009-04-12 monday -1 mayjuly 4 monday 1 thursday december december)September4 november2531holidaysholidays 00:00-24:00 00:00-24:00 00:00-24:00 00:00-24:00 00:00-24:00 00:00-24:00 00:00-24:00 00:00-24:00 17:00-24:00Ne

15、w Year 1s DayEaster (2008)Easter (2009)Memorial Day (Last Monday in May)Independence DayLabor Day (1st Monday in September)Thanksgiving (4th Thursday in November) ChristmasNew Year1s Eve (5pm onwards)在这个定义中，时间段的名称叫做holidays, holidays时间段包括了所有假日的全天24 小时。下面定义John的待命时间，其待命时间包括weekdays,但是不包括holidays时间段中的

16、特定日期：define timeperiodtimeperiod_name john-oncalluseweekdays ; Include weekdaysexcludeholidays ; Exclude holiday dates/times defined elsewhereJ在这个定义中，定义了一个叫做john-oncall的时间段，即对John定义的待命时间段。 具体的定义是，它包括了周一到周五全天24小时。但是要注意，在前面定义处理规程时说 很清楚，不包括假日（就是特定的公休日），因此在本定义中使用了 exclude命令将前面定义 的holidays排除在外。联系人John的定义

17、：define contactcontact_namej ohn host_notification_periodjohn-oncallservice_notification_periodjohn-oncall 一 一在这个联系人定义中，通过该配置将联系人John和为他定义的待命时间联系起来。在前面定义了 John的待命时间及联系人John和其待命时间的关联。下面来定义联系人 Bob的待命时间。Bob的待命时间包括weekends和holidays时间段中的特定日期，这些在前面都定义过: define timeperiodtimeperiod_name bob-oncalluse weeke

18、nds,holidays; Include weekend and holiday date/times defined elsewhereJ在这个定义中，定义了一个叫做bob-oncall的时间段，即对Bob定义的待命时间段。 具体的定义是，它包括了周六到周日全天24小时，另外还包括在前面定义处理规程时说的 假日（就是特定的公休日）。联系人Bob的定义：define contact contact_name bob host_notification_period bob-oncallservice_notification_periodbob-oncallJ在这个联系人定义中，通过该配置将

19、联系人Bob和为他定义的待命时间联系起来。3.3.2 方案2:隔日交替通知在这个方案中，处理规程为John和Bob隔日交替接收警告处理问题一一不再分什么工 作日、周末或者假日了。既然是隔日交换，那么就必须确定第一天是由谁处理。这里假设由John处理，比如今 天是2012.4.9,且从今天开始执行，那么可以如下定义：define timeperiodtimeperiod_name j ohn-oncall2012-4-9 / 200:00-24:00; Every two days, starting Apr 9, 2012J在这个定义中，定义了一个叫做john-oncall的时间段，即John

20、的待命时间段。具体的 规定是从起每隔一天，全天24小时待命。下面来定义Bob的待命时间段。由于是隔日待命，因此Bob的定义应该是第二天（明天）, 也就是 2012-4-10：define timeperiodtimeperiod_name bob-oncall2012-4-10 / 200:00-24 :00 ; Every two days, starting Apr 10, 2012J在这个定义中，定义了一个叫做bob-oncall的时间段，即Bob的待命时间段。具体的 规定是从2012-4-10起每隔一天，全天24小时待命。前面定义了 John和Bob的待命时间段，即隔日，前面的定义包含

21、了全年的时间，下面 来定义联系人：联系人John的定义：define contact contact_name john host_notification_period john-oncallservice_notification_period john-oncallJ联系人Bob的定义： define contact contact_name bob host_notification_period bob-oncall service_notification_period bob-oncall ）3.3.3 方案3 :隔周交替通知在这个方案中，处理规程为John和Bob各1周（或者是

22、说14天），如果让John处理第 一个星期（从星期一到星期日）的警告，那么Bob将会处理随后的7天，如此周而复始。下面定义John可以接收通知的时间段。假设今天是Sunday、July 29t 2007,并且John 要处理这个星期的全部警告通知，那么可以定义如下设置：define timeperiodtimeperiod_name john-oncall2007-07-2 9/1400:00-24:00 ; Every 14 days, starting Sunday, July 29th, 20072007-07-30/1400:00-24:00 ; Every other Monday

23、starting July 30th,20072007-07-31/142007-08-01/142007-08-02/142007-08-03/142007-08-04/14)00 : 00-24 : 00 ; Every other Tuesday starting July 31st, 2007 00:00-24 : 00 ; Every other Wednesday starting August 1st, 2007 00:00-24:00 ; Every other Thursday starting August 2nd,2007 00:00-24 : 00 ; Every ot

24、her Friday starting August 3rd, 2007 00:00-24 : 00 ; Every other Saturday starting August 4th, 2007下面定义Bob可以接收通知的时间段。假设今天是Sunday、July29th 2007,并且John 要处理这个星期的全部警告通知，因此对于Bob来说，那么就是从今天起的7天以后的7天都算是他的待命时间段。因此，可以定义如下设置:define timeperiodtimeperiod_name bob-oncall2007-08-05/142007-08-06/142007-08-07/1400:0

25、0-24:00;Every00:00-24:00;Every00:00-24:00;Every2007-08-08/142007-08-09/142007-08-10/142007-08-11/1400:00-24:00;Every 00:00-24:00;Every 00:00-24:00;Every 00 : 00-24:00;Every14 days,starting Sunday,August 5th,2007 other Monday starting August 6th,2007 other Tuesday starting August 7th,2007 other Wedne

26、sday starting August 8th,2007 other Thursday starting August 9th,2007 other Friday starting August 10th,2007 other Saturday starting August 11th,2007这里需要理解一下“14”，在方案2定义的隔日中设置的是“2”，隔周不就是“14” 吗，是按天算的。联系人John的定义：define contactcontact_name john host_notification_period john-oncallservice_notification_pe

27、riod j ohn-oncall 联系人Bob的定义：define contactcontact_name bob host_notification_period bob-oncallservice_notification_periodbob-oncall ) - -方案4 :假期通知在这个方案中，处理规程如下。 John处理所有通知，除了休假的时候。 Bob处理通知的时间段就是John休假的时间。首先，定义一个包含John假期和休假的时间段：define timeperiodnamenamejohn-out-of-officetimeperiod_name j ohn-out-of-o

28、fficeday 15 00:00-24:00 ; 15th day of each monthday -1 00:00-24:00 ; Last day of each month (28th, 29th, 30th, or 31st) day -2 00 : 00-24 : 00 ; 2nd to last day of each month (27th, 28th, 29th, or 30th) january 2 00:00-24 :00 ; January 2nd each year june 1 - july 5 00:00-24:00 ; Yearly camping trip

29、(June 1st - July 5th) 2007-11-01 - 2007-11-10 00:00-24:00; Vacation to the US Virgin Islands (November Ist-lOth, 2007)J在这个定义中，将John休假的时间段定义为john-out-of-office (在整个章节中都是用了 国外的节日，原因是在我运用的环境中实时处理问题的只有我一个人，因此在讲述这一部分时并没有设置我国的法定节日还是个人的年假等），具体的休假要根据公司情况和运维人员 来设定，在这里只是给出一个方法而已，不要套用。下面定义John的待命时间段。对于John的待命时

30、间段定义很简单，除了上面定义的休 假时间段就是待命时间段：define timeperiod timeperiod name john-oncallmonday tuesday Wednesday thursday friday exclude )monday tuesday Wednesday thursday friday exclude )00:00-24:0000:00-24:0000:00-24:0000:00-24:0000:00-24:00john-out-of-office ; Exclude dates/times John is out在上面的定义中，设置了一个叫做john

31、-oncall的时间段名称，定义了 John的待命时间 为：从周一到周五，但是不包括休假中的时间，即排除John的假期。联系人John的定义：define contactcontact_name john host_notification_period john-oncallservice_notification_period j ohn-oncall 下面定义Bob的待命时间。Bob的待命时间就是John的不待命时间，因此他的待命时 间段定义如下：define timeperiodtimeperod_name bob-oncalluse john-out-of-office ; Incl

32、ude holiday date/times that John is outJ在这个定义中，定义了一个叫做bob-oncall的时间段，而时间段具体的内容使用了前面 定义的 john-out-of-office 时间段。联系人Bob的定义：define contactcontact_name bobhost_notification_period bob-oncallservice_notification_periodbob-oncall在这个方案中，需要清楚的一点是，对于大多数的周六和周日并没有包含在内，也就是 说，无论是John还是Bob,他们两个合并起来的时间有空闲，那就是大多数周六

33、和周日并 没有人处理警告事故。这是来自于官方文档的整理，但在实际的运维中，这是不可能的，因此可以将这一漏洞 要么交付于John,要么交付于Bob。例如交付于John：define timeperiodmonday tuesday Wednesday thursday fridaySaturday sundaymonday tuesday Wednesday thursday fridaySaturday sundayexclude )timeperiod name john-oncall 00:00-24:0000:00-24:0000:00-24:0000:00-24:0000:00-24:

34、0000:00-24:0000:00-24:00 john-out-of-office ; Exclude dates/times John is out 特定的CGI页眉、页脚：和，这里的CGINAME是原本相应CGI文件的文件名称, 就是原来的CGI文件除去.cgi扩展名的部分，例如，警告摘要CGI（也就是），它的特 定页眉、页脚将会各自被命名为 和。根据自己的需要来设置是否使用任何自定义的CGI页眉、页脚，也可以仅使用全局CGI 页眉，而使用特定的CGI页脚，或者是仅使用全局的CGI页脚，而使用特定的CGI页眉，这 些完全可以根据自己的需要进行设置。3.1.2 增强CGI的安全和认证下面

35、要讨论的问题是CGI Web界面的安全问题。加固一个Web服务器实现强壮的用户 验证和服务器安全非常必要。有很多增强监控服务器（就是安装Nagios的服务器）和Nagios环境的方法。下面我来看 一些能够增强安全的技术。 .其他技术借助其他技术可以实现CGI安全。 使用摘要身份验证。Apache提供了基本身份验证，在每一个http请求中，基本身 份验证都将会用“明文”的方式发送用户名和密码。可以考虑使用比较安全的认证 方法，例如，摘要身份验证，它是由用户名和密码创建的MD5哈希值，在每一个 请求中都会发送该摘要。 对于Web方式强制使用TLS/SSL。Apache通过mod.ssl模块来实现T

36、LS/SSL, TLS/SSL在客户端和服务器端之间实现了一条安全的加密通道，这种技术是建立在 强壮的公钥/私钥加密技术之上。 通过使用Apache提供的访问控制（Access Controls）。这种方式是通过锁定能够访问 Nagios Web部分的IP地址来实现，通过该模块可以限制IP地址、IP地址段或者 IP子网。如果在限制的IP地址之外想访问Nagios,那么可以使用VPN（有关VPN 的安装和使用可以参考构建虚拟专用通道一一OpenVPN服务器详解与架设指南 （基于Linux）或者是SSH方法，这种方法既简单也很强壮地限制了对HTTP/HTTPS 的访问。2.使用摘要式身份验证摘要式

37、身份验证的实现非常简单，需要使用htdigest工具来创建新类型的密码，然后修 改Apache的配置文件（相关的Nagios配置部分，通常是/etc/httpd/conf.d/,在具体的使用 中要根据实际的安装情况来定）。使用htdigest工具创建一个新密码，如果对htpasswd工具熟悉，那么需要了解它们的 区别，htpasswd工具需要支持realm参数，这里的realm相当于Apache配置中的AuthName 指令的值。htdigest -c /usr/local/nagios/etc/.digest_pw nNagios Access nagiosadmin接下来为Nagios编辑

38、Apache的配置文件（通常为/etc/httpd/conf.d/）。看下面的配置内 容：# BEGIN APACHE CONFIG SNIPPET -ScriptAlias /nagios/cgi-bin /usr/local/nagios/sbin”Options ExecCGIAllowOverride NoneOrder allow,deny Allow from all AuthType Digest AuthName Nagios Access AuthDigestFile /usr/local/nagios/etc/.digest_pw Require valid-user Al

39、ias /nagios /usr/local/nagios/shareOptions NoneAllowOverride NoneOrder allow,deny Allow from all AuthType Digest AuthName Nagios Access11 AuthDigestFile /usr/local/nagios/etc/.digest_pw Require valid-user # END APACHE CONFIG SNIPPETS根据实际情况修改这个配置，假如在安装Nagios时使用了-prefix选项，保存配置文件, 并对Apache服务器进行重新启动就可以了

40、。那么在访问时将会是如图3-1所示的界面。192.168.3. 96/nagios图3-1“需要验证”对话框3.使用 TLS/SSL首先要确定安装了 Apache和OpenSSL。默认情况下，mod_ssl模块会被支持使用，如 果没有支持，那么可能会有点麻烦（哈哈！你自己解决去吧！）。接下来的步骤是核实TLS/SSL的支持情况。通过HTTPS协议访问Nagios的Web接口， 例如，如果能够继续工作，那么就可以进入下一个步骤，如果出现如图3-2所示的界面，那 么可能需要的处理步骤还很多，例如，证书等，在这里假设这些都没问题。安全连接失败连接192.168. 3. 96时发生错误。SSL接收到一

41、个超出最大准许长度的记录。（错误码： ssl_error_rx_record_t oo_l ong）无法显示您尝试查看的页面，因为无法验证所收到数据的真实性。-请联系网站的所有者以告知此问题。或者使用帮助菜单中的相关命令来报告此问题站重试图3-2安全连接失败接下来的一步是编辑Apache的配置文件，编辑与Nagios相关的配置部分，典型的配置 文件是/etc/httpd/conf.d/ ,在该文件中相关的sbin和share的定义中添加指令 SSLRequireSSL,例如：# BEGIN APACHE CONFIG SNIPPET -ScriptAlias /nagios/cgi-bin ”

42、/usr/local/nagios/sbinSSLRequireSSL Alias /nagios /usr/local/nagios/share# Allow single IP addresses# Allow network/netmask pair# Allow network/nnn CIDR spec# Allow single IP addresses# Allow network/netmask pair# Allow network/nnn CIDR specSSLRequireSSL # END APACHE CONFIG SNIPPETS保存该文件并退出，然后再重新启动A

43、pache服务器。4 .使用IP子网锁定下面的一种方法是只允许特定的IP地址、IP地址段或者是IP子网访问CGI程序，这种 方法使用的是Apache的mod_authz_host模块。编辑Apache的配置文件与Nagios相关的部分，例如，/etc/httpd/conf.d/文件，通过使用Allow、Deny和Order指令来设置。例如:# BEGIN APACHE CONFIG SNIPPET -ScriptAlias /nagios/cgi-bin n/usr/local/nagios/sbinnAllowOverride NoneOrder deny,allow Deny from a

44、llAlias /nagios /usr/local/nagios/shareDirectory n/usr/loca1/nagios/shareAllowOverride NoneOrder deny,allow Deny from all# END APACHE CONFIG SNIPPET5 .注意事项 摘要数据使用明文方式发送的，但不是用户名和密码。 摘要认证不是普通支持的基本身份认证。 TLS/SSL有潜在的“中间人攻击(man-in-the-middle attacks) ”，攻击者能够在服务器和客户端之间插入自己的数据，例如，钓鱼攻击、ISP监控或者是重签LAN防火 墙证书，因此

45、需要弄懂证书校验过程。 Apache访问控制(access controls)仅支持HTTP/HTTPS协议，通过IPtables可以从防火墙级别进行更深层的控制。 更重要的是，安全是一个过程，而不是一个结果。3.1.3 在CGI中的认证和授权需要理解一下授权用户(authenticated user)和授权联系人(authenticated contact)的不 同之处。 授权用户是被授权通过用户名和密码来访问Web服务并且授予了 Nagios Web接口的用户。 授权联系人是授权用户，该授权用户的名称与contact定义中的联系人名字匹配。1 .设置用户身份认证在安装Nagios的过程中，

46、对Nagios提供的Web部分进行了适当的配置，根据需要， 若访问CGI,就必须通过用户认证，而且也设置了一个用户账户(nagiosadmin),允许它访问 CGIo为了接受host和service通知在定义了多个contact联系人，那么很有可能想让它们访 问Nagios的Web接口，可以使用以下的命令来添加额外的CGI认证用户，根据实际要添加 的用户名称来替代,在多数情况下，这里的username应该匹配contact中定义 的用户：htpasswd /usr/local/nagios/etc/ 例如：rootmfs2 nagios# htpasswd -c /usr/local/nagios/etc/ nagiosadminNew password:Re-type new password:Adding password for user nagiosadmin r