SSL cert lejáratának monitorozása Zabbixszal

A statisztikák szerint a világ weboldalainak 64%-án a Let’s Encrypt certjei találhatóak:

Jómagam is tőlük szerzem be a tanúsítványokat, mivel ingyenesek és automatikusan frissíthetőek. Első alkalommal regisztrálnunk kell egy accountot, amihez meg kellett adnunk az e-mail címünket. Ezt arra használták, hogy a cert lejárata előtt bizonyos idővel küldtek nekünk egy emlékeztetőt.

Majd két hónappal ezelőtt elkezdték tájékoztatni a felhasználóikat, hogy hamarosan meg fog szűnni a certek lejáratának e-mail-ben történő értesítése.

Ha tippelnem kellene, erre azért van szükség, mert közel 600 millió aktív certjük van, ami nem kevés elküldött levelet jelent 🙂

A tájékoztató levélben még tippeket is adtak, hogy mivel lehet kiváltani ezt a funkciót.

Aki nem első alkalommal jár a weboldalamon, az már sejtheti, hogy erre is a zabbixot használom, na jó, benne van a címében is 😀

Mire lesz szükségünk?

1. kell egy megfelelő templét (Website certificate by Zabbix agent 2), amit innen tudsz letölteni, ha véletlenül nem lenne benne a zabbixodban
2. és a zabbbix agent v2-es kiadása

Én hogyan csináltam?

Minden szerveremen v1-es agent fut, és őszintén szólva, semmi kedvem nem volt lecserélni. Mégis találtam erre megoldást. Mivel a zabbix szerverem minden komponense docker konténerekben fut, adta magát az ötlet, hogy egy zabbix-agent2 is a szerver mellett fusson.

A meglévő docker-compose.yml fájlomat ennyivel kellett kiegészítenem:

  zabbix-agent2:
    container_name: zabbix-agent2
    image: zabbix/zabbix-agent2:alpine-7.0-latest
    restart: always
    environment:
      - ZBX_SERVER_HOST=zabbix-server
      - ZBX_SERVER_PORT=10051
      - ZBX_HOSTNAME=zabbix-agent2
      - ZBX_ACTIVE_ALLOW=false

Vegyük elő a zabbixunkat, és adjunk hozzá egy új hosztot:

1. kötelező paraméter, a monitorozni kívánt weboldalunk neve
2. a szükséges templét
3. kötelező paraméter, a csoport neve tetszőlegesen bármi lehet
4. ez a zabbix agent 2 konténer neve, ne felejts el a DNS gombra kattintani
5. a monitorozást bízzuk a szerverre
6. még nem végeztünk, kattintsunk a Macros linkre

Megjegyzés a 4-es ponthoz: ha nem konténerben fut a zabbixod, hanem repository-ból telepített, akkor értelemszerűen a zabbix-agent2 is „telepítős” lesz, azaz IP címmel (127.0.0.1) fogod megtalálni az agent2-t. Ebben az esetben maradjon a szürke gomb (Connect to) az IP beállítson.

A felhasznált makró neve: {$CERT.WEBSITE.HOSTNAME}, az értéke pedig a weboldalunk címe. Most már elmenthetjük. És ennyi az egész, mostantól nyugodtan alhatunk, a zabbix időben jelezni fogja, ha közeleg a certünk lejárati ideje.

Milyen adatokat kapunk a zabbixtól?

Menjünk a Monitoring -> Latest data menüpontra, majd írjuk be a korábban létrehozott hosztunk nevét:

A legfontosabb paramétert sárgával kiemeltem.

Mint már említettem, nálam minden webszerveremen automatizált a cert megújítás, így a zabbixnak még sosem kellett jeleznie, hogy hamarosan lejár valamelyik certem.