Plugin Checkmk untuk memantau OPNSense

Mengapa plugin OPNsense Checkmk masuk akal

Apakah Anda mengoperasikan firewall OPNSense dan ingin melihat metrik, status, dan peristiwa keamanan secara terpusat di Pemantauan Checkmk? Inilah yang cocok untuk plugin ringan: plugin ini menyediakan data yang relevan sehingga Checkmk dapat membacanya sebagai host. Hasilnya: tampilan yang konsisten mengenai ketersediaan, beban sistem, antarmuka, DynDNS, pembaruan, dan lainnya – langsung di dasbor pemantauan Anda. Instalasi yang bersih dan beberapa praktik terbaik akan menjaga cara ini berjalan lancar dan tetap aman.

Jika Anda baru mengenal Checkmk, ada baiknya Anda mempelajari dasar-dasarnya secara singkat. Kami telah merangkumnya dalam ikhtisar kami: Apa itu Checkmk – fungsi dan area penerapannya. Untuk skenario OPNsense Anda juga akan menemukan pengenalan praktis untuk memantau OPNsense dengan Checkmk – ikuti langkah-langkahnya, ini adalah dasar yang akan kami bangun.

Persyaratan untuk instalasi

Agar plugin OPNsense Checkmk dapat berjalan dengan andal, poin-poin berikut harus dipenuhi:

• Akses administratif ke firewall OPNsense Anda (SSH atau konsol lokal)
• Akses ke server Checkmk Anda (untuk membuat host dan menguji)
• Aksesibilitas jaringan antara Checkmk dan firewall sesuai dengan pedoman keamanan Anda
• Hapus proses rilis: Periksa sumber skrip dan kode sebelum digunakan dalam jaringan produktif

Catatan keamanan: Plugin komunitas dibuat di banyak lingkungan. Meskipun demikian, selalu periksa sumber dan kodenya. Setel pluginnya pertama di lingkungan pengujian dan aktifkan berbagi di firewall begitu saja bersifat membatasi seperlunya (prinsip hak istimewa paling rendah) – Sebanyak diperlukansesedikit mungkin.

Panduan Langkah-demi-Langkah: Instalasi Plugin (cara)

Howto berikut menunjukkan cara minimal untuk menginstal plugin OPNsense untuk pemantauan Checkmk. Perintah tersebut berasal dari sumber yang didokumentasikan secara publik dari proyek komunitas. Periksalah di lingkungan Anda sebelum menjalankannya.

Pertama, masuk ke OPNSense Anda melalui baris perintah dan masuk ke shell. Caranya dengan menekan angka 8 – lalu “Enter”.

Di sini Anda dapat melihat lagi bahwa angka 8 adalah singkatan dari ‘Shell’. Pastikan untuk memeriksa apakah hal ini terjadi pada OPNSense Anda. Jika ada nomor yang berbeda untuk shell, tentu saja gunakan itu.

Setelah Anda berada di shell, tempelkan perintah berikut (satu per satu):

1. Muat Skrip Plugin (Start-Hook)

fetch -o /usr/local/etc/rc.syshook.d/start/99-checkmk_agent \
  

2. Jadikan itu dapat dieksekusi

chmod +x /usr/local/etc/rc.syshook.d/start/99-checkmk_agent

3. Mulai skrip satu kali (diinisialisasi tergantung pada konfigurasi/versi pendengar)

/usr/local/etc/rc.syshook.d/start/99-checkmk_agent

Server Anda kemudian disiapkan untuk pemantauan.

Apa yang dilakukan pendekatan ini?

• Script ditempatkan di folder startup rc.syshook sehingga dapat berjalan secara otomatis saat boot.
• Bergantung pada versi plugin, ini menginisialisasi titik akhir agen atau menghasilkan data yang dapat ditanyakan oleh Checkmk.

Periksa aturan firewall: Hanya izinkan server Checkmk untuk terhubung ke port TCP yang digunakan oleh plugin. Untuk agen Checkmk sering kali ini adalah port 6556. Periksa port yang sebenarnya digunakan dan uji aksesibilitas dari server pemantauan Anda, misalnya seperti ini:

# dari server Checkmk

nc -vz <OPNsense-IP> 6556

Jika tidak ada pendengar, plugin juga dapat ditanyakan melalui SSH atau perintah lokal. Periksa dokumentasi plugin dan logging Anda untuk menentukan metode pengambilan sebenarnya.

Buat host di Checkmk dan periksa data

Untuk memastikan bahwa Checkmk secara aktif menggunakan pemantauan OPNsense, buat firewall sebagai host:

• Buat host baru di antarmuka web Checkmk dan masukkan IP/FQDN OPNsense.
• Pilih jenis agen yang sesuai (agen TCP klasik atau agen khusus yang sesuai, bergantung pada varian plugin).
• Aktifkan perubahan dan lakukan penemuan layanan.

Jika Anda memerlukan penjelasan langkah demi langkah tentang cara membuat host, lihat artikel kami: Dasar-dasar Checkmk: Membuat host.

Layanan umum pertama yang mungkin muncul:

• Waktu sistem, waktu aktif, pemuatan, sistem file (tergantung pada cakupan plugin)
• Antarmuka‑Status dan Lalu Lintas
• Paket OPNsense/catatan pembaruan

Pemeriksaan terakhir bergantung pada plugin yang digunakan. Perhatikan ambang batas PERINGATAN/CRIT dan sesuaikan dengan lingkungan Anda.

Apa yang disediakan plugin dalam pemantauan sehari-hari?

Plugin OPNsense untuk Checkmk menargetkan pertanyaan admin yang berulang:

• Apakah firewall dapat diakses dan berfungsi dengan baik? Apa beban sistemnya?
• Apakah koneksi WAN berfungsi stabil? Apakah ada paket yang hilang atau latensi tinggi?
• Apakah konfigurasinya berubah, apakah pembaruan harus dilakukan, apakah ada risiko partisi penuh?

Jawaban di dasbor Checkmk ini memungkinkan tindakan aktif sebelum pengguna menyadari apa pun. Kami menunjukkan bagaimana Anda dapat membuat pemantauan Anda lebih efisien secara keseluruhan dalam artikel Pemantauan TI yang Efisien: Wawasan dan ekstensi untuk Checkmk.

Keamanan dan praktik terbaik

Bahkan plugin yang ramping pun harus dioperasikan dengan aman. Berikan perhatian khusus pada:

• Pembagian jaringan minimum: Hanya server Checkmk yang diizinkan menjangkau agen. Gunakan objek alias dan kumpulan aturan yang membatasi.
• Transportasi aman: Jika port agen yang tidak terenkripsi digunakan, tempatkan kueri dalam jaringan manajemen aman atau terowongankan kueri melalui SSH/VPN.
• Integritas kode: Periksa hash dan sumber skrip sebelum peluncuran. Perbarui secara berkala dan dokumentasikan versinya.
• Hak istimewa paling rendah: Gunakan akses hanya baca atau akun layanan khusus jika memungkinkan.
• Kualitas peringatan: Hindari membanjirnya notifikasi dan sesuaikan nilai ambang batas. Anda dapat menemukan tip khusus di Menghindari positif palsu di Checkmk.

Pemecahan masalah: Jika tidak ada atau terlalu sedikit data yang masuk

• Tidak ada koneksi: Periksa aturan firewall antara server Checkmk dan OPNsense, perutean, dan port/listener yang digunakan.
• Tidak ada layanan yang ditemukan: Mulai deteksi layanan lagi di Checkmk, periksa jenis agen jika perlu dan periksa keluaran log plugin.
• Puncak kinerja: Periksa interval pemungutan suara dan saring pemeriksaan yang tidak perlu untuk mengurangi beban.
• Perubahan pembaruan: Ulangi pengujian setelah pembaruan OPNsense/plugin dan lakukan penyesuaian pada host Checkmk jika perlu.

Jika Anda ingin lebih memperkuat OPNsense Anda, ada baiknya melihat fungsi IDS/IPS. Anda dapat menemukan pengenalan praktis di artikel kami tentang deteksi intrusi dengan OPNsense – melindungi jaringan Anda secara efektif.

Dengan instalasi ini dan praktik terbaik Anda memiliki titik awal yang stabil untuk memantau OPNsense Anda di Checkmk Monitoring. Anda dapat menemukan artikel praktis lebih lanjut dan petunjuk mendalam kapan saja di blog KECERDASAN ADMIN. Jika Anda menginginkan dukungan profesional untuk perencanaan, pemasangan, atau pengoperasian, silakan hubungi kami melalui layanan Checkmk atau halaman layanan OPNsense kami.