Implementação da ferramenta NAGIOS em uma rede corporativa de uma instituição financeira. Eider Jackson Conzatti

Transcrição

1 Implementação da ferramenta NAGIOS em uma rede corporativa de uma instituição financeira. Eider Jackson Conzatti Curso de Especialização em Redes e Segurança de Sistemas Pontifícia Universidade Católica do Paraná Curitiba, Novembro de 2010 Resumo O presente artigo trata da implementação de uma ferramenta de gerencia de redes para monitorar a disponibilidades de link s, servidores, hosts e serviços na Cooperativa de Crédito de Livre Admissão de Associados do Planalto Catarinense SICOOB/SC CREDIPLANALTO, que nos últimos anos teve um expressivo aumento no número de filiais, soluções de segurança e serviços prestados aos clientes. O risco operacional e de imagem motivaram a realização desse estudo para monitorar e fornecer alertas dos eventos gerados pela indisponibilidade dos itens monitorados. Este artigo está divido em duas partes, a primeira descreve o cenário, e a segunda a implementação as principais configurações utilizadas.

2 1 Introdução A Cooperativa de Crédito de Livre Admissão de Associados do Planalto Catarinense SICOOB/SC CREDIPLANALTO, atualmente com sete unidades, distribuídas nos seguintes municípios: matriz em Papanduva/SC a sua topologia de rede está demonstrada na figura 01. Figura 1: Topologia da Matriz da Crediplanalto. Uma filial em Mafra/SC, uma filial em Santa Cecília/SC quem tem as topologias demonstradas na figura 02.

3 Figura 2: Topologia das filiais de Mafra/SC e Santa Cecília/SC Duas filiais em Santa Terezinha, uma filial em Monte Castelo/SC e uma filial em Major Vieira/SC, a figura 03 demonstra a topologia dessas quatro filiais. Figura 3: Topologia das filiais de Santa Terezinha/SC, Monte Castelo/SC e Major Vieira/SC.

4 Esse numero de filiais motivaram a necessidade de monitoramento constante sobre links ADSL, Links MPLS e serviços essenciais para a rede da empresa (serviço e autenticação de diretório, banco de dados, , dhcp, dns, http, antivírus). Além dos links e serviços, serão monitorados os hosts responsáveis pela VPN mantida entre a matriz e filiais, os servidores e serviços do circuito fechado de TV e os hosts e serviços que mantém os terminais de auto-atendimento funcionando que atendem das 06:00 hrs até as 22:00 hrs. Os serviços e hosts descritos nesse projeto foram selecionados como essenciais para a cooperativa, pois a indisponibilidade de algum(uns) pode trazer sérios prejuízos financeiros e prejudicar a imagem da Crediplanalto. Atualmente o departamento de tecnologia da informação age de forma reativa, sendo acionado por algum colaborador ou cliente externo que reclama de algum serviço ou host que não está funcionando. Existem serviços que necessitam estar em pleno funcionamento durante 24 horas por dia, um exemplo são os servidores e serviços do circuito fechado de TV. 2 - Implementação Escolha do sistema operacional Por questões de familiaridade, foi escolhido o sistema operacional Fedora GNU/Linux versão 13 executando em ambiente virtualizado pelo software: Oracle VM Virtual Box na versão r Software de monitoramento O custo de licenciamento, implementação e manutenção de ferramentas proprietárias me levou e optar por uma solução open source. Após pesquisas, optei por utilizar o Nagios na versão 3.0. Além dos custos, o que foi levado em consideração, é que a cooperativa não ficará presa a uma solução de determinada empresa, pois além de ser open source existe uma grande comunidade na internet interessada em estudar e contribuir para o desenvolvimento do Nagios. A ferramenta Nagios é uma popular aplicação de monitoração e gerencia de rede de código aberto distribuída sob a licença GPL. Ele pode monitorar tanto hosts quanto serviços em sistemas UNIX/Linux e Windows, alertando o administrador quando ocorrerem problemas em serviços e ativos de rede e também quando os problemas forem resolvidos.

5 Originalmente escrito sob o nome NetSaint, o Nagios foi criado e ainda mantido por Ethan Galstad e sua equipe de mais de 150 desenvolvedores espalhados por todo mundo. Este software de monitoramento utiliza duas formas de gerenciamento [12]: Com agente: Um programa instalado em um ativo de rede envia os dados para o gerente (servidor do Nagios) processar, demonstrado na figura 4 Servidor Nagios/ Gerente Servidor Gerenciado Agente Instaldo Nagios Disco M I B S Memória Processos I/O Plugin Plugin ETC Nscliente ou Nrpe Figura 4: Nagios Gerencia com agente Sem agente, onde os serviços disponíveis são testados remotamente, esse modelo está ilustrado na figura 5.

6 Servidor Nagios/ Gerente Nagios Servidor Gerenciado Sem Agente Instaldo Serviços de Rede FTP HTTP POP DNS Plugin PING ETC Figura 5: Nagios Gerencia sem agente 2.3 Pré-Requisitos Para iniciar a instalação do Nagios é necessária a instalação dos softwares: Apache, PHP, compilador GCC e GD development libraries Instalação e configuração do Nagios. Por escolha própria, resolvi baixar os pacotes e compilar manualmente a instalação do Nagios, com isso aprendi a utilizar o comando make, que até então eu desconhecia. Na sequencia segue os passos da instalação: pacotes: Primeiramente foi criado um diretório temporário para baixar e descompactar os nhambu eider] # mkdir /tmp/nagios Na sequência foram baixados dois pacotes: nagios-3.07b.tar.gz e nagios-plugis tar.gz, disponíveis em e respectivamente. O primeiro passo será instalar a aplicação do Nagios, descompactar o arquivo.tar.gz nhambu eider] # cd /tmp/nagios nhambu eider] # tar xvzf nagios-3.07b.tar.gz

7 Depois de descompactado o arquivo nagios-3.07b.tar.gz, acessaremos o diretório nagios3-.07b nhambu eider] # cd nagios-3.07b De acordo com a recomendação da documentação a instalação será no diretório /usr/local/nagios nhambu eider] # mkdir /usr/local/nagios Nesse ponto será criado um usuário e um grupo denominado nagios que serão utilizados para carregar o serviço. nhambu eider] # usradd nagios nhambu eider] # groupadd nagios Agora serão especificados alguns parâmetros, em seguida será criado o make file que será utilizado para compilar e instalar o software. nhambu eider] #./configure --prefix=/usr/local/nagios --withcgiurl=/nagios/cgi-bin --with-htmurl=/nagios/ --with-nagios-user=nagios --with-nagios-grp=nagios nhambu eider] # make all nhambu eider] # make install nhambu eider] # make install-init nhambu eider] # make install-config Agora a aplicação do Nagios está instalada, em seguida instalaremos os plugins para que o nagios carregue as funções que serão utilizadas nesse projeto. nhambu eider] # cd /tmp/nagios/ nhambu eider] # tar xvzf nagios-plugis tar.gz nhambu eider] # cd nagios-plugis Após acessar o diretório com o conteúdo do pacote de plugins que foi descompactado, iremos compilá-lo e instalá-lo. nhambu eider] #./configure --prefix=/usr/local/nagios --with-nagiosuser=nagios -- with-nagios-group=nagios nhambu eider] # make all nhambu eider] # make install Para que possamos acessar o nagios pela interface web devermos configurar o Web Server Apache para que nos permita tal acesso. nhambu eider] # vi /etc/httpd/conf/httpd.conf

8 Adicione essas linhas no final do arquivo ScriptAlias /nagios/cgi-bin/ /usr/local/nagios/sbin <Directory "/usr/local/nagios/sbin/"> AllowOverride AuthConfig Options ExecCGI Order allow,deny Allow from all </Directory> Alias /nagios/ /usr/local/nagios/share/ <Directory "/usr/local/nagios/share"> Options None AllowOverride AuthConfig Order allow,deny Allow from all </Directory> Agora vamos criar um arquivo para permitir o acesso a pasta /sbin onde estão os scripts CGI do nagios. nhambu eider] # vi / usr/local/nagios/sbin/.htaccess Adicionar essas linhas no arquivo: AuthName "Nagios Access" AuthType Basic AuthUserFile /usr/local/nagios/etc/htpasswd.users require valid-user Agora será criado o usuário que poderá acessar a interface web de gerenciamento do nagios, optei por criar um usuário padrão recomendado na documentação, denominado nagiosamdin, esse usuário já tem as devidas permissões no arquivo CGI.cfg, que controla o acesso aos scripts CGI. nhambu eider] # htpasswd -c /usr/local/nagios/etc/htpasswd.user nagiosadmin nhambu eider] # New password: ***** Re-type new password: ***** Adding password for user nagiosadmin Antes de executar o Nagios coloque o SELinux em modo permissivo nhambu eider] # setenforce 0 Agora inicie o serviço do Nagios nhambu eider] # service nagios start

9 Starting nagios: done Cheque o status do Nagios nhambu eider] # service nagios status Nagios (pid XXXXX) is running Pronto o serviço do nagios está ativo na maquina Acessar a interface web do nagios. Para acessar a interface web do nagios demonstrada na figura 7, digite no seu browser o seguinte: ip do servidor nagios>/nagios, será solicitado o usuário e a senha cadastrados no arquivo htaccess, conforme mostra a figura a figura 6. Figura 6: Autenticação para acessar a interface web de gerenciamento do Nagios

10 Figura 7: Página inicial da interface web de gerencimaneto do Nagios Arquivos de configuração do Nagios. Para que o Nagios esteja funcionando perfeitamente é necessária a configuração de alguns arquivos, na tabela 1 é relacionado e descrito o significado dos arquivos e o utilizados nesse projeto. /usr/local/nagios/etc/nagios.cfg Inicia os serviços de monitoramento /usr/local/nagios/etc/cgi.cfg Configurações e permissões dos Programas CGI /usr/local/nagios/etc/hosts.cfg Cadastro e informações dos hosts. /usr/local/nagios/etc/hostgrioup,cfg Cadastro dos grupos que os hosts farão parte /usr/local/nagios/etc/objects/contacts.cfg Cadastro e informações dos contatos que receberão as notificações enviadas pelo Nagios. /usr/local/nagios/etc/objects/contactsgroups.cfg Cadastro dos grupos de contatos /usr/local/nagios/etc/services.cfg Cadastro e informações dos serviços que serão monitorados /usr/local/nagios/etc/objects/hostextinfo.cfg Definição das imagens que representarão cada host. Tabela 1: Nome e descrição dos arquivos de configuração utilizados nesse projeto. Em seguida serão apresentados os arquivos de configuração utilizados nesse projeto, será demonstrado apenas um exemplo em cada arquivo para não se tornar muito extenso: Para cadastrar os hosts deverá ser editado o arquivo hosts.cfg nhambu eider] # vi /usr/local/nagios/etc/hosts.cfg

11 define host{ use generic-host #Template utilizado host_name PAC00_CFTV #Nome do host para exibir alias CFTV PAPANDUVA #Nome para exibição address #Endereço IP do host check_command check-host-alive # Checa se o host esta ligado notification_period 24x7 #Periodo das notificações notification_options d,u,r #Opções de notificações contact_groups admins #Grupo que será notificado. } Após isso, o host deverá ser adicionado a um grupo, editar o arquivos hostgroups.cfg nhambu eider] # vi /usr/local/nagios/etc/hostsgroups.cfg define hostgroup{ hostgroup_name GRUPO_CFTV alias Maquinas Servidoras do CFTV members PAC00_CFTV,PAC02_CFTV,PAC03_CFTV,PAC04_CFTV,PAC05_CFTV,PAC06_CFT V,MTECASTELO_CFTV } Para personalizar a exibição da imagem de um host, deverá editado o arquivo hostextinfo.cfg. As imagens que serão utilizadas, deverão ser salvas na pasta /usr/local/nagios/share/images/logos. nhambu eider] # vi /usr/local/nagios/etc/hostextinfo.cfg define hostextinfo { host_name PAC00_CFTV,PAC02_CFTV,PAC03_CFTV,PAC04_CFTV,PAC_CFTV,PAC06_CFTV, MTECASTELO_CFTV icon_image ImgCftv.gif vrml_image ImgCftv.gif } Em seguida deverá ser criado o(s) contato(s) que receberão as notificações do Nagios, para isso edite o arquivo contacts.cfg: nhambu eider] # vi /usr/local/nagios/etc/contacts.cfg

12 define contact { contact_name eider use generic-contact alias Eider Jackson Conzatii service_notification_period 24x7 host_notification_period 24x7 service_notification_options w,u,c,r host_notification_options d,u,r service_notification_commands notify-service-by- host_notification_commands notify-host-by- eider@crediplanalto.com.br } Em seguida será criado o(s) grupo(s) que irão conter os contatos, cadastrados no arquivo contacts.cfg nhambu eider] # vi /usr/local/nagios/etc/contactsgroups.cfg define contactgroup{ contactgroup_name alias members } admins Nagios Administradores eider Após alterar os arquivos de configuração, é necessário verificar se as alterações estão corretas, com os comandos: nhambu eider] # cd /usr/local/nagios/bin nhambu eider] #./nagios v /usr/local/nagios/etc/nagios.cfg Após esses comandos será apresentado o resultado da verificação das configurações, se aparecer a mensagem Things look okay, significa que todas as configurações estão corretas, após isso o serviço Nagios deverá ser reiniciado, através do comando: nhambu eider] # service nagios reload Running configuration check...done. Running nagios configurations done. Para que o nagios envie alertas por foi instalado e configurado o software ssmtp, conforme demonstrado com os comandos abaixo: nhambu eider] # yum install ssmtp Após a conclusão da instalação, edite o arquivo ssmtp.conf

13 nhambu eider] # vi /etc/ssmtp/ssmtp.conf Adicione as seguintes linhas nesse arquivo: mailhub= :25 # Servidor de com opção de relay habilitada AuthUser=nagios@crediplanalto.com.br AuthPass=********************** UseSTARTTLS=YES FromLineOverride=YES hostname=localhost rewritedomain=crediplanalto.com.br AuthMetod=plain FromLineOverride=NO A imagem 8 mostra um exemplo de enviado pelo nagios, notificando que um determinado host estava off-line, essa mensagem pode ser persoanlizada no arquivo de configuração: /usr/local/nagios/etc/objects/commands.cfg ** PROBLEM Host Alert: MTECASTELO_LINK_EXT is DOWN ** nagios@crediplanalto.com.br Para: Eider J. Conzatti Cc: ***** Nagios ***** Notification Type: PROBLEM Host: MTECASTELO_LINK_EXT State: DOWN Address: Info: CRITICAL - Host Unreachable ( ) Date/Time: Wed Sept 22 18:39:57 EDT 2010 Figura 8: Modelo de disparado pelo Nagios e enviado pelo ssmtp. 2.7 Interface WEB A interface WEB disponibiliza várias funcionalidades, inclusive telas que demonstram o status dos hosts e dos serviços configurados anteriormente. A figura 9 traz a tela onde são listados todos os hosts cadastrados no arquivos hosts.cfg, juntamente com os ícones personalizados definidos no arquivo hostextinfo.cfg

14 Figura 9: Tela da visualização dos hosts cadastrados no arquivo hosts.cfg Além dos hosts, também poderemos verificar se os serviços cadastrados no arquivos services.cfg estão OK, conforme demonstrado no figura 5. Figura 10: Tela que demonstra os status dos serviços cadastrados no arquivo service.cfg Com base no arquivo hostgroups.cfg é possível verificar os hosts separados por grupos, conforme demonstrado na figura 11.

15 Figura 11: Grupos de hosts cadastrados no arquivos hostgroup.cfg 2.8 Utilizando o agente NsClient++ Nesse projeto será utilizado o modelo de gerencia com agente de conforme demonstra a figura 4. O agente utilizado nesse projeto foi o NsClient++ na versão de 32 e 64 bits que pode ser obtido através do endereço A escolha desse agente se deu pelo motivo de que a maioria dos hosts no ambiente da Crediplanalto utiliza sistema operacional Windows. A figura 12 demonstra quais as opções devem ser marcadas no momento da instalação do agente NsClient++

16 Figura 12: Opções para a instalação do NsClient++ Após a instalação o agente NsClient++ fica rodando como daemon, e é carregado automaticamente pelo sistema operacional. O campo Allowed host pode ser preenchido para permitir que apenas determinado servidor do nagios se conecte, nesse projeto o campo foi deixado em branco, ou seja, permite que qualquer servidor se conecte a esse cliente. O campo NSCliente password é a senha que o servidor nagios traz para se conectar, nesse projeto a senha foi deixada em branco. 2.8 Avaliação do Nagios Foram realizados diversos testes no ambiente de produção, alguns testes podem ser observadosnas figuras 13 e 14, onde o nagios satisfatoriamente cumpriu seu papel, tanto alterando o status na interface web quanto no envio dos s de notificação.

17 Figura 13: Teste realizado com um host off line Figura 14: Teste realizado com serviços off-line Abaixo destacamos algumas vantagens e desvantagens. Vantagens: Open source; Flexível, pois permite a criação de plugins e a inserção de comandos personalizados, Escalável; Notificações através de , mensagens instantâneas, sms entre outros;

18 Interface de monitoramento web; Vasto material de pesquisa disponível na web. Desvantagens: Dificuldade de configuração, pois são feitas através de arquivos texto; A cada nova mudança de configuração é necessário reiniciar o serviço para que as mesmas entrem em vigor. 3 Conclusão Realmente essa ferramenta marcou um novo cenário no departamento de T.I. da Crediplanalto, ajudando a monitorar de forma dinâmica os serviços de rede e os hosts. Também foi possível automatizar alguns processos manuais, por ex: checar se os servidores do circuito fechado de TV e os caixas eletrônicos estavam ligados. Esse projeto ajudou o departamento de T.I. a agir de forma preventiva, por exemplo, saber que um link de comunicação está off line logo no início do expediente, permitindo assim tomar as devidas providências antes de iniciar o atendimento ao público. Também permitir monitorar os caixas eletrônicos durante o final de semana, pois era um problema comum os clientes não conseguirem utilizar os serviços, devido a queda do link de comunicação, ou travamentos do software ou hardware. O monitoramento das VPN s é outro fato importante, visto que vários serviços dependem da mesma para funcionar, ex: servidor de diretório, servidor de , intranet, anti-vírus entre outros. O planejamento estratégico da diretoria da Crediplanalto prevê para os próximos três anos uma expansão expressiva tanto no número de clientes quanto de novas filiais, e com certeza o software nagios será uma das ferramentas que auxiliará o departamento de T.I nesse novo horizonte. 4 Bibliografia [1] - Acessado em Julho de [2] - Acessado em Agosto de [3] - Acessado em Agosto de 2009.

19 [4] - Acessado em Agosto de [5] - Acessado em Agosto de 2009 [6] - Acessado em Agosto de [7] - Acessado em Setembro de [8] - Acessado em Setembro de 2009 [9] - Acessado em Setembro de [10] - Acessado em Setembro de 2009 [11] Acessado em Setembro de [12] - Acessado em Outubro de 2009.