Monitoraggio dei certificati Let's Encrypt con Checkmk

Una soluzione di monitoraggio completa come Checkmk è forse eccessiva solo per monitorare i certificati Let’s Encrypt? Assolutamente no! Checkmk è facile da configurare grazie alla sua installazione in un unico pacchetto, ha requisiti hardware moderati ed è facilmente estendibile. Soprattutto quando inizi a renderti conto che semplici dashboard che mostrano solo l'uptime non soddisfano più tutte le tue esigenze, sarai felice di poter aggiungere il monitoraggio basato su agenti agli host dove è importante – e senza dover cambiare soluzione di monitoraggio per farlo.

Per monitorare lo stato di salute del server Checkmk stesso, si consiglia di installare e configurare correttamente un agente di monitoraggio. Checkmk include pacchetti di agenti per la maggior parte delle distribuzioni Linux. Questi pacchetti possono essere scaricati dall'interfaccia web di Checkmk. Invece di scaricare e poi caricare di nuovo, si può semplicemente prendere il pacchetto di installazione dal file system:

find /opt/omd/ -name '*agent*.deb'

E installarlo (assicurarsi di essere l'utente root):

apt install /opt/omd/versions/2.4.0pXX.cre/share/check_mk/agents/check-mk-agent_2.4.0pXX-1_all.deb

Accedi ora all'interfaccia grafica di Checkmk che si trova all'indirizzo

http://hostname/sitename

Accedi come cmkadmin con la password appena definita. Poi, vai su Setup > Hosts e crea una prima cartella per contenere il server Checkmk stesso. Io ho usato infrastructure come nome della cartella. In questa cartella, crea un host localhost che utilizzi le impostazioni predefinite. Fai clic su Save & run service discovery.

Nota: in Checkmk si può usare Help > Show inline help per leggere informazioni dettagliate sulle opzioni disponibili per ogni impostazione.

Nel rilevamento dei servizi, di solito dovrai cliccare su "Accept all" due volte per confermare i servizi trovati. Ora clicca sull’ottagono giallo che indica che alcune modifiche non sono state ancora attivate. In Checkmk, le modifiche non vengono attivate automaticamente al momento del salvataggio, per permettere agli amministratori di attivare le modifiche che potrebbero dipendere le une dalle altre.

Avrai notato che il Check_MK Agent service (sì, questo usa la vecchia grafia) ha lo stato WARN. Questo accade perché la comunicazione tra l'agente Checkmk e il server - a questo punto - non è criptata. Vai in una shell di root un'ultima volta per abilitare mTLS registrando l'agente al sito:

cmk-agent-ctl register --hostname localhost --server localhost --site my1stcheckmk --user cmkadmin

Attempting to register at localhost, port 8000. Server certificate details:

PEM-encoded certificate:
-----BEGIN CERTIFICATE-----
MIIFSDCCAzCgAwIBAgIUHG9nA6WWO8J6TySCuhF4LBWTCQEwDQYJKoZIhvcNAQEN
q5oZixF2aR7DVvTKz6W8d72wlaOmNTzmlxmBBeWc9keMCCuUD9jNPBKQ8oJg0R2v
1b9kYDypqoukSYZV
-----END CERTIFICATE-----

Issued by:
	Site 'my1stcheckmk' local CA
Issued to:
	my1stcheckmk
Validity:
	From Fri, 14 Feb 2025 16:35:36 +0000
	To   Wed, 14 Feb 2035 16:35:36 +0000

Do you want to establish this connection? [Y/n]
> y

Checkmk utilizza un approccio basato su regole per configurare quasi ogni cosa. I criteri per le regole possono essere le cartelle, le etichette e il nome degli oggetti. Per il monitoraggio dei certificati, è opportuno creare una cartella letsencrypt, dove saranno collocati tutti gli host che corrispondono ai certificati. Questa volta, fai attenzione ai dettagli della cartella e imposta No API integrations, No Checkmk agent. Questo è il modo più diretto per definire che tutti gli host in questa cartella sono monitorati solo con active check. Gli active check ("controlli attivi") sono quelli dedicati al controllo diretto di un servizio esposto, e che non interpretano l'output dell'agente. Quindi, per gli host che verranno inseriti in questa cartella non è necessaria l'installazione dell'agente come fatto in precedenza per localhost.

Come passo successivo, si consiglia di aggiungere gli host da controllare: Vai su Setup > Hosts, apri la nuova cartella e fai clic sul menu Hosts. Qui si trova la voce Import hosts via CSV file. È possibile caricare un file CSV o incollare il contenuto di un file CSV in un campo di testo. Se devi aggiungere solo una decina di host, puoi semplicemente digitare i nomi degli host, uno per riga, nel campo. Nomina la singola colonna digitando 'hostname' nella prima riga:

hostname
docs.checkmk.com
checkmk.com
download.checkmk.com
play.checkmk.com
trust.checkmk.com

Ora puoi sperimentare tutta la potenza delle regole: Apri il menu Setup e digita "certificate" nel campo di ricerca. Sotto HTTP, TCP, Email vedrai la voce "Check certificates". Fai clic su questo suggerimento per modificare/aggiungere le regole.

È ora possibile aggiungere una nuova regola per il controllo dei certificati. Segui i suggerimenti della schermata seguente per quanto riguarda il prefisso, il nome e l'endpoint. Qui abbiamo impostato un avviso a 22 giorni di validità residua del certificato. Se hai intenzione di rinnovarlo quotidianamente, potresti impostare anche 28 giorni. Infine, la cosa più importante è la condizione: applica la regola alla cartella appena creata senza ulteriori limitazioni. In questo modo, la regola verrà associata, con i parametri specificati, a tutti gli host presenti in quella cartella.

Dover guardare una dashboard per individuare i problemi non è sempre il modo più efficiente per poter identificarli. La strada da percorrere è quella delle notifiche e degli avvisi, e le e-mail dominano ancora i metodi di notifica. Per questo motivo, ha senso iniziare con le e-mail.

C'è una differenza significativa tra Checkmk Raw e Checkmk Cloud per quanto riguarda le e-mail: Checkmk Raw si affida interamente all'MTA ('mail transfer agent') del sistema, quindi come minimo è necessario configurare qualcosa come il Nullmailer, che è solo un relay. In alternativa, per le e-mail HTML Checkmk Cloud offre la cosiddetta "consegna sincrona", che esclude l'MTA locale e consegna direttamente a uno smarthost. Questa soluzione è più semplice da configurare e consente di rilevare meglio le consegne di e-mail non riuscite.

A questo punto si consiglia di creare un normale utente di monitoraggio con un indirizzo e-mail, per separare le attività di amministrazione da quelle di monitoraggio. Compila almeno il nome, il nome utente e l'indirizzo e-mail, e aggiungi questo utente al gruppo di contatti Everything. Man mano che il tuo ambiente di monitoraggio diventa più grande, potresti creare gruppi di contatto dedicati per specifici progetti e rimuovere il gruppo di contatto Everything da tutti gli utenti.

In Checkmk è attiva una regola di notifica predefinita: è visibile accedendo a Setup > Events > Notifications, nella sezione Global Notification Rules della pagina Notifications. Questa regola informa automaticamente tutti i contatti in caso di cambiamenti di stato di host o servizi. Quando un nuovo utente viene aggiunto al gruppo Everything, riceverà automaticamente le notifiche, ad esempio quando un servizio passa a WARN, CRIT o torna a OK. Cliccando sull’icona a forma di matita puoi modificare la regola predefinita, ad esempio per personalizzare il campo del mittente nelle e-mail generate.

Test delle notifiche: È possibile verificare se le notifiche vengono inviate correttamente. Per farlo, vai alla pagina Notifications e clicca su Test Notifications, quindi seleziona un host e il servizio corrispondente, e spunta la casella Trigger notifications. Dopo pochi secondi, riceverai i risultati del test e una notifica di prova nella tua casella di posta elettronica.