ניטור וניהול מרחוק של התקנים מבוססי Linux/OpenWrt/Lede דרך יציאה 80, המשך

זה החלק האחרון של המאמר, הנה ההתחלה habr.com/en/post/445568
בפעם האחרונה שכתבתי על איך הטמעתי ניטור מכשירים, עכשיו נדבר על ניהול. בדיונים עם "טכנאים" מהצד של הלקוח, אני נתקל לעתים קרובות בתפיסה מוגבלת של היכולות של מכשירים קטנים כל כך (עם משאבי זיכרון וביצועים נמוכים), רבים מאמינים ש"הכי הרבה שאנחנו צריכים זה לשלוח אתחול מחדש, בשביל משהו יותר רציני, נשלח צוות".
אבל בפועל מראה שזה לא לגמרי נכון. להלן רשימה קטנה של משימות טיפוסיות נפוצות:

1. אבחון ופתרון בעיות ברשת. מאחורי יציאת ה-ethernet של הנתב שלך יש בדרך כלל חומרה נוספת שיש לה כתובת IP פנימית משלה. לפעמים, אתה יכול (צריך) "פינג" לזה. או ניהול מנהרה - אם המנהרה פתאום לא עולה על נתב הפועל באמצעות מודם 3G, אבל אנחנו יכולים לראות את הנתב עצמו.
2. תחזוקת מערכת. עדכון קושחה, שדרוג סקריפט שירות.
3. פעולה מאזנת. אפשר לקרוא לזה "סטייה", אבל המושג "שיווי משקל" כמו, אני מצטט, "היכולת של אמן קרקס לשמור על שיווי משקל בתנוחת גוף לא יציבה" - מתאים יותר. מצבים כאלה נוצרים בשל התקציב המוגבל של הלקוח. להלן נתתי כמה דוגמאות, אבל... הם לא קשורים ישירות לנושא הסיפור, שמתי אותם בהערות

ניטור Wi-Fiנושא אופנתי בחמש השנים האחרונות, בעיקר בקרב רשתות השיווק הפדרליות. אתה מטייל בנחת בין קומות המסחר, והטלפון הנייד שלך עם Wi-Fi מופעל, בניסיון "להיצמד" לשרשור כלשהו של הרשת, שולח בקביעות מנות Probe Request, אותן ניתן לנתח על מנת לחשב עבור אתה: באיזו תדירות אתה מגיע לחנות הזו, מאילו סיבות אתה הולך לאורך מסלולים וכן הלאה. לאחר מכן נאספים הנתונים, מנתחים אותם, מציירים מפות חום ומנהלים "סוחטים" כסף מההנהלה או מהמשקיעים עבור תמונות כאלה. טוב, בינתיים... "אין כסף, אבל תחזיקו מעמד...", וכבר צריך להראות את התוצאה (האמיתית) מתחיל השיר הישן והטוב: "כן, כן, אז כמובן שאנחנו יתקין את ה-cis וכל מה שאתה רוצה, אבל עכשיו אנחנו צריכים להראות ללקוח את התוצאה! אגב, שכחנו לומר שהלקוח איפשר לנו לחבר את הציוד שלנו לנקודה החמה שלו באמצעות Wi-Fi, אבל באופן כללי, ממש כאילו היינו לקוחות אורחים”. ולכן אנחנו צריכים לעשות נתבים מאזנים - כמה ממשקי משנה WiFi מועלים, אחד מהם נצמד לנקודה החמה, והשני מנטר את הסביבה, מעלה בטירוף את תוצאת tcpdump לעצמה, ואז אורז את תוכן הקובץ לארכיון ומסתכן מת מ"אכילת יתר" מנסה לירוק את התוכן בשרת ה-FTP. אין זה מפתיע שלעתים קרובות נתב האיזון "מתקלקל" ואיכשהו צריך "להחייאה" מרחוק.

רַדִיוּסקל יותר לתאר את המצב כאן עם משהו כמו ההצהרה הזו של הלקוח: "אנחנו רוצים רשת מבוזרת של נקודות חמות שתעבוד על ציוד שהדגם שלו לא ידוע מראש, דרך ערוצים, אבל אילו אנחנו עדיין לא מכירים. אה, שכחנו לומר, אנחנו לא רק רוצים להציג פרסום ללקוחות, אלא גם לנתח את כל מה שמסביב למיקום שבו מותקן הנקודה החמה. לא, אנחנו לא יודעים למה עדיין, אבל אנחנו נבין את זה, אל תטיל ספק בכך, הצלחנו להמציא את הרעיון הזה".

ואסור לשכוח שבשל הרבה נסיבות שלא ידועות בעבר, הבקרה חייבת להתבצע בתנאים לא סטנדרטיים, כאשר אנחנו לא יכולים להתחבר לנתב ישירות דרך יציאת ה-IP: ונאלצים פשוט להמתין לפעילות ממנו. אם נפשט את עצמנו, הדיאלוג בין השרת לנתב יכול להיות מיוצג כך:

• נתב: שלום. אני ראוטר כזה וכזה, יש משימות בשבילי?
• שרת: נתב כזה וכזה, רשמתי אותך, שאתה חי. הנה האתגר: הראה לי את התוצאה של הפקודה ifconfig?
• נתב: שלום. אני ראוטר כזה וכזה, בפעם האחרונה שביקשת להציג את התוצאה של ifconfig, הנה היא. האם יש משימות עבורי?
• שרת: נתב כזה וכזה, רשמתי אותך, שאתה חי. אין משימות עבורך.

השאלה המעניינת ביותר: איך נתב מרוחק יכול לשלוח כמות מסוימת של מידע? בחלק האחרון תיארתי שבשל משאבים מוגבלים, לנתב יש רק wget "מופשט", שפועל רק דרך GET ותו לא; אין לקוח FTP או תלתל. ליתר דיוק, אנחנו צריכים שיטה אוניברסלית, ללא קשר לתכונות של הרכבת תמונה. הסתפקתי בשימוש ב-wget. ליתר דיוק, איך "הפסקתי" - פשוט לא הייתה לי ברירה :)

רק כתב ויתורפתרון הניהול שלי עובד, לא מאוד מוגבל, ואני בטוח שהוא עקום, גם אם הוא מתאים לרוב הלקוחות שלי. איך יכולת לעשות זאת בחוכמה - כתוב כלי עזר קטן ששולח נתונים בינאריים של POST דרך יציאה 80. כלול אותו (כלי השירות) בקושחת הנתב וגשת אליו באמצעות bash. אבל המציאות היא ש: א) אנחנו צריכים במהירות ב) אנחנו כנראה צריכים לעשות הכל ב"גן החיות של הנתבים" הקיים ג) "אל תזיק!" - אם הנתב עובד ומבצע משימות אחרות, נסה לבצע שינויים שלא ישפיעו על הפונקציונליות הקיימת.

בואו נעבור ליישום. נניח שהלקוח שלך רוצה לאתחל את הנתב מ-zabbix בקלות ובאופן טבעי, בלחיצת עכבר. היום נתחיל לתאר את היישום עם Zabbix.
בתפריט "ניהול" -> "סקריפטים", הוסף סקריפט חדש. אנו קוראים לזה "אתחול מחדש", הזן "php /usr/share/zabbix/reboot.php {HOST.HOST}" כפקודה

הבא: תפריט "ניטור" -> "נתונים אחרונים" -> "לחץ לחיצה ימנית על צומת הרשת הרצוי." כך יראה התפריט לאחר הוספת הסקריפט.

בהתאם לכך, שמנו את הסקריפט reboot.php בספריית /usr/share/zabbix (שלך עשוי להיות שונה, אני משתמש בספריית השורש zabbixa).

כתב ויתור בטיחותכדי להבהיר את ההסבר בסקריפט, אני משתמש רק במזהה הנתב, אבל לא משתמש בסיסמה. לא מומלץ לעשות זאת בגרסת הייצור! מדוע עשיתי זאת: כי השאלה הגדולה היא היכן לאחסן סיסמאות לנתבים? ב-zabbixe עצמו ב"נתוני מלאי"? פרקטיקה שנויה במחלוקת. לחילופין: הגבל גישה חיצונית לקובץ reboot.php עצמו

קובץ reboot.php

<?php
	// присваиваем параметры с консоли переменным
	$user = $argv[1];
	// ВНИМАНИЕ. Вот здесь в целях безопасности все-таки прописывать пароль устройства! Но для демонстрации мы будем обращаться к базе данных без использования пароля. 
	//$password = $argv[2];
		
	$conn=new mysqli("localhost","db_user","db_password","db_name");
	if (mysqli_connect_errno()) {
		exit();
	}
	$conn->set_charset("utf8");
			
	// "Отправляем" команду reboot за счет изменения поля task таблицы users. В поле task можно отправлять любую команду.
	$sql_users=$conn->prepare("UPDATE users SET task='reboot' WHERE id=? AND status='active';");
	$sql_users->bind_param('s', $user);
	$sql_users->execute();
	$sql_users->close();
?>

זה הכל. השאלה נותרה פתוחה: "כיצד להשיג את התוצאה של ביצוע פקודה מהמכשיר." בואו נסתכל על המשימה באמצעות הפקודה ifconfig כדוגמה. ניתן לשלוח פקודה זו למכשיר:

message=`ifconfig`; wget "http://xn--80abgfbdwanb2akugdrd3a2e5gsbj.xn--p1ai/a.php?u=user&p=password!&m=$message" -O /tmp/out.txt

, שבו
message=`ifconfig` - אנו מקצים את התוצאה של פלט הפקודה ifconfig למשתנה $message
wget"xn--80abgfbdwanb2akugdrd3a2e5gsbj.xn--p1ai/a.php — סקריפט ה-a.php שלנו שרושם נתבים ומקבל מהם הודעות
u=user&p=password!&m=$הודעה — אישורים והערך של משתנה הבקשה m — מקצה את התוכן של משתנה $message
-O /tmp/out.txt - אנחנו לא צריכים פלט לקובץ /tmp/out.txt במקרה זה, אבל אם פרמטר זה לא צוין, wget לא עובד

למה זה לא עובד?כי זה חור אבטחה פוטנציאלי. השגיאה הכי לא מזיקה שיכולה לקרות היא אם, למשל, יש תו "&" בפלט של הפקודה שלך. לכן יש צורך לסנן גם את כל מה שנשלח מהנתבים וגם את כל מה שמגיע לשרת. כן, אני מתבייש, באמת. להגנתי, אני יכול רק לכתוב שכל המאמר מוקדש לאופן ניהול נתבים עם קושחה וערוצי תקשורת מוגדרים מראש שאינם מוגדרים מראש.

ובכן, התחלה לעתיד: עדיין לא הבנתי איך להשתמש בכלי zabbix סטנדרטיים כדי לשקף את התוצאות (למשל, תוצאה של ביצוע פקודה) שמגיעות לשרת.

אני מזכיר לך שניתן להשיג את כל המקורות ממאגר Git בכתובת: github.com/BazDen/iotnet.online.git

מקור: www.habr.com