Icinga 2: распределённый мониторинг корпоративной сети

Icinga 2 — мощная open-source система мониторинга, форк Nagios с полностью переписанным ядром на C++. Главное преимущество Icinga 2 — нативная поддержка распределённой архитектуры с зонами, сателлитами и агентами, связанными по защищённому TLS-каналу.

Распределённая модель Icinga 2 строится на трёх ролях:

• Master — центральный узел, хранит конфигурацию, принимает результаты проверок, запускает уведомления. Здесь же работают Icinga Web 2, IDO (база данных), API
• Satellite — промежуточный узел в удалённом филиале/ЦОД. Выполняет проверки локально, передаёт результаты на Master. Может работать автономно при разрыве связи с мастером
• Agent — устанавливается на каждый контролируемый хост. Выполняет локальные проверки (CPU, RAM, диски, сервисы) и отправляет результаты сателлиту или напрямую мастеру

Связь между узлами осуществляется по протоколу Icinga 2 Cluster (TCP 5665) с двусторонней TLS-аутентификацией. Каждый узел имеет собственный сертификат, подписанный CA мастера.

Установка на Ubuntu 22.04/24.04 с базой данных PostgreSQL и веб-интерфейсом:

# Подключение репозитория Icinga
apt install -y apt-transport-https gnupg
curl -fsSL https://packages.icinga.com/icinga.key | gpg --dearmor -o /usr/share/keyrings/icinga.gpg
echo "deb [signed-by=/usr/share/keyrings/icinga.gpg] https://packages.icinga.com/ubuntu icinga-$(lsb_release -cs) main" > /etc/apt/sources.list.d/icinga.list
apt update

# Установка Icinga 2 и IDO PostgreSQL
apt install -y icinga2 icinga2-ido-pgsql monitoring-plugins

# Включение модулей
icinga2 feature enable ido-pgsql api command

# Инициализация мастера
icinga2 node wizard
# Выбрать: master
# CN: icinga-master.msk.local
# Зона: master

Настройка базы данных IDO:

# PostgreSQL
sudo -u postgres psql
CREATE USER icinga2 WITH PASSWORD 'StrongIDOPass';
CREATE DATABASE icinga2 OWNER icinga2;
\q

# Импорт схемы
PGPASSWORD=StrongIDOPass psql -U icinga2 -d icinga2 < /usr/share/icinga2-ido-pgsql/schema/pgsql.sql

# /etc/icinga2/features-available/ido-pgsql.conf
object IdoMysqlConnection "ido-pgsql" {
  user = "icinga2"
  password = "StrongIDOPass"
  host = "localhost"
  database = "icinga2"
}

На сателлите устанавливается полноценный Icinga 2, но в роли подчинённого узла:

# На satellite (10.1.1.10):
apt install -y icinga2 monitoring-plugins

# Запуск визарда в режиме satellite
icinga2 node wizard
# Выбрать: satellite/client
# CN: icinga-sat.spb.local
# Master CN: icinga-master.msk.local
# Master host: 10.0.1.10
# Master port: 5665
# Принять сертификат: yes
# Зона: satellite-spb
# Parent zone: master

На мастере подтвердите запрос сертификата:

# На Master — список ожидающих подписи
icinga2 ca list

# Подписать сертификат сателлита
icinga2 ca sign <fingerprint>

# Или автоматическая подпись (удобно для массового деплоя)
icinga2 ca sign --all

После подписи сертификата связь между мастером и сателлитом устанавливается автоматически. Проверка:

# На Master — статус кластера
icinga2 daemon -C  # Проверка конфигурации
curl -k -s -u root:icinga https://localhost:5665/v1/status/CIB | python3 -m json.tool

Агент Icinga 2 устанавливается на каждый контролируемый сервер для выполнения локальных проверок. Для массового развёртывания используйте скрипт:

#!/bin/bash
# deploy_icinga_agent.sh — запускать на целевом хосте
set -e

MASTER_HOST="10.0.1.10"
MASTER_CN="icinga-master.msk.local"
ZONE_NAME=$(hostname -f)
TICKET=$(curl -k -s -u root:icinga \
  "https://${MASTER_HOST}:5665/v1/actions/generate-ticket" \
  -d "{\"cn\": \"${ZONE_NAME}\"}" \
  -H 'Content-Type: application/json' | python3 -c 'import sys,json;print(json.load(sys.stdin)["results"][0]["ticket"])')

apt install -y icinga2 monitoring-plugins

# Автоматическая настройка агента с ticket-based PKI
icinga2 node setup \
  --ticket "$TICKET" \
  --cn "$ZONE_NAME" \
  --endpoint "$MASTER_CN,$MASTER_HOST,5665" \
  --zone "$ZONE_NAME" \
  --parent_zone "master" \
  --trustedcert /var/lib/icinga2/certs/trusted-master.crt \
  --accept-config --accept-commands

systemctl enable --now icinga2

Icinga Director — веб-модуль для управления конфигурацией через GUI вместо редактирования текстовых файлов. Незаменим при сотнях хостов:

# Установка Director
apt install -y icingaweb2-module-director

# Создание БД Director
sudo -u postgres psql
CREATE DATABASE director OWNER icingaweb2;
\q

# Миграция схемы
icingacli module enable director
icingacli director migration run

# Настройка API endpoint для Director
# /etc/icinga2/conf.d/api-users.conf
object ApiUser "director" {
  password = "DirectorApiPass"
  permissions = [ "*" ]
}

Director предоставляет: импорт хостов из CSV/LDAP/AWS/VMware, шаблоны хостов и сервисов через GUI, визуальный редактор проверок и уведомлений, деплой конфигурации в один клик с предварительным review.

Icinga 2 поддерживает гибкую систему уведомлений с эскалациями, расписаниями и фильтрацией:

// /etc/icinga2/zones.d/master/notifications.conf

// Email уведомления
object NotificationCommand "mail-host-notification" {
  command = [ SysconfDir + "/icinga2/scripts/mail-host-notification.sh" ]
  env = {
    NOTIFICATIONTYPE = "$notification.type$"
    HOSTALIAS = "$host.display_name$"
    HOSTADDRESS = "$address$"
    HOSTSTATE = "$host.state$"
    HOSTOUTPUT = "$host.output$"
    USEREMAIL = "$user.email$"
  }
}

// Telegram уведомления
object NotificationCommand "telegram-notification" {
  command = [ "/usr/local/bin/icinga2-telegram.sh" ]
  env = {
    TG_BOT_TOKEN = "123456:ABC..."
    TG_CHAT_ID = "-100123456789"
    NOTIFICATION_TYPE = "$notification.type$"
    HOST_NAME = "$host.name$"
    SERVICE_NAME = "$service.name$"
    SERVICE_STATE = "$service.state$"
    SERVICE_OUTPUT = "$service.output$"
  }
}

// Применение уведомлений
apply Notification "telegram-admins" to Service {
  command = "telegram-notification"
  users = [ "admin-team" ]
  
  // Только критические состояния
  states = [ Critical, Unknown ]
  types = [ Problem, Recovery ]
  
  // Эскалация: повторять каждые 30 мин
  interval = 30m
  
  assign where service.vars.priority == "high"
}

Для графиков производительности Icinga 2 интегрируется с InfluxDB/Graphite через PerfData writer:

# Включение InfluxDB writer
icinga2 feature enable influxdb

# /etc/icinga2/features-available/influxdb.conf
object InfluxdbWriter "influxdb" {
  host = "localhost"
  port = 8086
  database = "icinga2"
  username = "icinga2"
  password = "InfluxPass"
  
  host_template = {
    measurement = "$host.check_command$"
    tags = {
      hostname = "$host.name$"
    }
  }
  service_template = {
    measurement = "$service.check_command$"
    tags = {
      hostname = "$host.name$"
      service = "$service.name$"
    }
  }
  
  flush_interval = 10s
  flush_threshold = 1024
}

systemctl restart icinga2

Для визуализации графиков в Icinga Web 2 установите модуль Grafana:

apt install -y icingaweb2-module-grafana
icingacli module enable grafana

# Настройка в Icinga Web 2 → Configuration → Modules → Grafana:
# Host: http://grafana.local:3000
# Default dashboard: icinga2-default
# Datasource: icinga2-influxdb