La stringa di identità PSK è una stringa UTF-8 non vuota. Ad esempio, "PSK ID 001 Zabbix agentd". È un nome univoco con cui questa specifica PSK viene indicata dai componenti di Zabbix. Non inserire informazioni sensibili nella stringa di identità PSK: viene trasmessa sulla rete senza crittografia.

Il valore PSK è una stringa di cifre esadecimali difficile da indovinare, ad esempio, "e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9".

Limiti di dimensione

In Zabbix esistono limiti di dimensione per l'identità PSK e il valore PSK; in alcuni casi una libreria crittografica può avere un limite inferiore:

Component	PSK identity max size	PSK value min size	PSK value max size
Zabbix	128 caratteri UTF-8	128-bit (PSK da 16 byte, inserito come 32 cifre esadecimali)	2048-bit (PSK da 256 byte, inserito come 512 cifre esadecimali)
GnuTLS	128 byte (può includere caratteri UTF-8)	-	2048-bit (PSK da 256 byte, inserito come 512 cifre esadecimali)
OpenSSL 1.0.x, 1.1.0	127 byte (può includere caratteri UTF-8)	-	2048-bit (PSK da 256 byte, inserito come 512 cifre esadecimali)
OpenSSL 1.1.1	127 byte (può includere caratteri UTF-8)	-	512-bit (PSK da 64 byte, inserito come 128 cifre esadecimali)
OpenSSL 1.1.1a and later	127 byte (può includere caratteri UTF-8)	-	2048-bit (PSK da 256 byte, inserito come 512 cifre esadecimali)

Zabbix frontend consente di configurare una stringa di identità PSK lunga fino a 128 caratteri e un PSK lungo fino a 2048 bit, indipendentemente dalle librerie crittografiche utilizzate.
Se alcuni componenti di Zabbix supportano limiti inferiori, è responsabilità dell'utente configurare l'identità PSK e il valore con una lunghezza consentita per questi componenti.
Il superamento dei limiti di lunghezza provoca errori di comunicazione tra i componenti di Zabbix.

Prima che il server Zabbix si connetta all'agent usando PSK, il server cerca nel database (in realtà nella cache di configurazione) l'identità PSK e il valore PSK configurati per quell'agent. Alla ricezione di una connessione, l'agent usa l'identità PSK e il valore PSK dal proprio file di configurazione. Se entrambe le parti hanno la stessa stringa di identità PSK e lo stesso valore PSK, la connessione può riuscire.

Ogni identità PSK deve essere associata a un solo valore. È responsabilità dell'utente assicurarsi che non esistano due PSK con la stessa stringa di identità ma valori diversi. In caso contrario, possono verificarsi errori imprevedibili o interruzioni della comunicazione tra i componenti di Zabbix che usano PSK con questa stringa di identità PSK.

Generazione di PSK

Ad esempio, una PSK a 256 bit (32 byte) può essere generata usando i seguenti comandi:

con OpenSSL:

$ openssl rand -hex 32
af8ced32dfe8714e548694e2d29e1a14ba6fa13f216cb35c19d0feb1084b0429

con GnuTLS:

$ psktool -u psk_identity -p database.psk -s 32
Generating a random key for user 'psk_identity'
Key stored to database.psk

$ cat database.psk 
psk_identity:9b8eafedfaae00cece62e85d5f4792c7d9c9bcc851b23216a1d300311cc4f7cb

Si noti che "psktool" sopra genera un file database con una PSK identity e la relativa PSK. Zabbix si aspetta solo una PSK nel file PSK, quindi la stringa dell'identity e i due punti (':') devono essere rimossi dal file.

Configurazione di PSK per la comunicazione server-agent (esempio)

Sul host dell'agent, scrivere il valore PSK in un file, ad esempio /home/zabbix/zabbix_agentd.psk. Il file deve contenere PSK nella prima stringa di testo, ad esempio:

1f87b595725ac58dd977beef14b97461a7c1045b9a1c963065002c5473194952

Impostare i diritti di accesso al file PSK: deve essere leggibile solo dall'utente Zabbix.

Modificare i parametri TLS nel file di configurazione dell'agent Zabbix (zabbix_agentd.conf). Ad esempio, impostare:

TLSConnect=psk
TLSAccept=psk
TLSPSKFile=/home/zabbix/zabbix_agentd.psk
TLSPSKIdentity=PSK 001

L'agent si connetterà al server (controlli attivi) e accetterà dal server e da zabbix_get solo connessioni che usano PSK. L'identità PSK sarà "PSK 001".

Riavviare l'agent. Ora è possibile testare la connessione usando zabbix_get, ad esempio:

zabbix_get -s 127.0.0.1 -k "system.cpu.load[all,avg1]" --tls-connect=psk --tls-psk-identity="PSK 001" --tls-psk-file=/home/zabbix/zabbix_agentd.psk

(Per ridurre al minimo i tempi di inattività, vedere come cambiare il tipo di connessione in Gestione della crittografia della connessione).

Configurare la crittografia PSK per questo agent nel frontend Zabbix:

Andare su: Raccolta dati > Host.
Selezionare l'host e fare clic sulla scheda Crittografia.

Esempio:

$psk\_config.png$

Tutti i campi di input obbligatori sono contrassegnati da un asterisco rosso.

Quando la cache di configurazione viene sincronizzata con il database, le nuove connessioni utilizzeranno PSK. Controllare i file di log del server e dell'agent per eventuali messaggi di errore.

Configurazione di PSK per la comunicazione server - proxy attivo (esempio)

Sul proxy, scrivere il valore PSK in un file, ad esempio, /home/zabbix/zabbix_proxy.psk. Il file deve contenere PSK nella prima stringa di testo, ad esempio:

e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9

Impostare i diritti di accesso al file PSK: deve essere leggibile solo dall'utente Zabbix.

Modificare i parametri TLS nel file di configurazione del proxy Zabbix (zabbix_proxy.conf). Ad esempio, impostare:

TLSConnect=psk
TLSPSKFile=/home/zabbix/zabbix_proxy.psk
TLSPSKIdentity=PSK 002

Il proxy si connetterà al server usando PSK. L'identità PSK sarà "PSK 002".

(Per ridurre al minimo i tempi di inattività, vedere come modificare il tipo di connessione in Gestione della crittografia della connessione).

Configurare PSK per questo proxy nel frontend Zabbix. Andare su Administration > Proxies, selezionare il proxy, andare alla scheda Encryption. In "Connections from proxy" selezionare PSK. Incollare nel campo "PSK identity" "PSK 002" e "e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9" nel campo "PSK". Fare clic su "Update".

Riavviare il proxy. Inizierà a usare connessioni crittografate basate su PSK verso il server. Controllare i file di log del server e del proxy per eventuali messaggi di errore.

Per un proxy passivo, la procedura è molto simile. L'unica differenza: impostare TLSAccept=psk nel file di configurazione del proxy Zabbix e impostare Connections to proxy nel frontend Zabbix su PSK.

Risoluzione dei problemi relativi a PSK

PSK contiene un numero dispari di cifre esadecimali

Il proxy o l'agent non si avvia, messaggio nel log del proxy o dell'agent:

PSK non valida nel file "/home/zabbix/zabbix_proxy.psk"

La stringa di identità PSK più lunga di 128 byte viene passata a GnuTLS

Nel log del lato client TLS:

gnutls_handshake() failed: -110 The TLS connection was non-properly terminated.

Nel log del lato server TLS:

gnutls_handshake() failed: -90 The SRP username supplied is illegal.

Valore PSK troppo lungo usato con OpenSSL 1.1.1

Nel log del lato di connessione:

...OpenSSL library (version OpenSSL 1.1.1  11 Sep 2018) initialized
...
...In zbx_tls_connect(): psk_identity:"PSK 1"
...zbx_psk_client_cb() requested PSK identity "PSK 1"
...End of zbx_tls_connect():FAIL error:'SSL_connect() set result code to SSL_ERROR_SSL: file ssl\statem\extensions_clnt.c line 801: error:14212044:SSL routines:tls_construct_ctos_early_data:internal error: TLS write fatal alert "internal error"'

Nel log del lato di accettazione:

...Message from 123.123.123.123 is missing header. Message ignored.

Questo problema si verifica in genere durante l'aggiornamento di OpenSSL da 1.0.x o 1.1.0 a 1.1.1 e se il valore PSK è più lungo di 512 bit (PSK da 64 byte, inserito come 128 cifre esadecimali).

Vedi anche: Limiti di dimensione dei valori

What’s next?

Connessione sicura al database

Docs

Crittografia tramite chiavi pre-condivise

Panoramica