ldaps mit Zabbix prüfen, aber wie einrichten?

[B.C.K]

Hallo Leute,

ich habe keine Ahnung wie man ldap mit Zabbix prüft. Habe sogar freundlicherweise auf Englisch eine Antwort bekommen wie es einzurichten geht.https://www.zabbix.com/forum/zabbix-...ap-performance
Trotzdem habe ich nicht verstanden. Diese simple Einrichtung funktioniert leider bei mir noch nicht.

Auf unserer Firmeninternen Confluence Seite habe ich den Befehl ldapsearch gefunden, wie man unseren LDAP Server prüft.
Ich habe sogar mit ldapsearch geschafft, dass ich erfolgreich ldaps prüfen kann.

Leider schaffe ich es nicht aus https://www.zabbix.com/documentation..._zabbix_server schlau zu werden.

Hier sind die Schritte die ich mit ldapsearch, vom Zabbix Server auf Basis von CentOS, getan habe:
- Root Zertifikat von der Fa. auf den Server heruntergeladen.
- im /etc/openldap/ldap.conf die Zeile " TLS_CACERT /home/user/certs/xxx_ROOT_CA.cer" und "TLS_REQCERT allow"

Mit ldapsearch -H ldaps://test.entw:389/ -D "<User-DN>" -w *** -L -b 'dc=bamf,dc=de' -s sub 'cn=test' testmemberof kommt eine erfolgreiche Antwort zurück.
Wenn ich aber anstatt -H ldaps://test.entw:389/ mit -h test.entw -p 389 die Zeile ausführe, funktioniert es nicht. Nur als Zusatzinfo.

In Zabbix musste ich feststellen, dass ich unbedingt die 3 Dateien in /etc/zabbix/zabbix_server.conf anpassen muss
TLSCAFile=/home/user/cacerts/zabbix_ca_file [Für top-level CA(s) Zertifikat. Hier wurde v. d. Firma der top level Zertifikat kopiert]
TLSCertFile=/home/user/certs/test.entw.cert ["...containing the server certificate or certificate chain." Muss aktiviert werden, da der Zabbix-Server.service es verlangt]
TLSKeyFile=/home/user/certs/zabbix_server.key ["...containing the server private key. Muss aktiviert werden, da der Zabbix-Server.service es verlangt]

Den zabbix_server.key habe ich mit MobaXterm (entspricht tool von Putty) erstellt.

Wenn ich Zabbix starte, dann kann der Dienst nicht richtig gestartet werden.
Folgender Auszug bevor ich in zabbix_server.conf die obigen 3 TLS Zeilen aktiviere:

[root@monitoring user]# systemctl status zabbix-server.service
● zabbix-server.service - Zabbix Server
Loaded: loaded (/usr/lib/systemd/system/zabbix-server.service; enabled; vendor preset: disabled)
Active: active (running) since Wed 2021-07-28 17:40:54 CEST; 18h ago
Process: 764661 ExecStop=/bin/kill -SIGTERM $MAINPID (code=exited, status=0/SUCCESS)
Process: 764663 ExecStart=/usr/sbin/zabbix_server -c $CONFFILE (code=exited, status=0/SUCCESS)
Main PID: 764665 (zabbix_server)
Tasks: 38 (limit: 100616)
Memory: 1.7G


Auszug nach dem ich die TLS Zeilen aktiviert habe:
[root@monitoring user]# systemctl stop zabbix-server.service
[root@monitoring user]# systemctl start zabbix-server.service
[root@monitoring user# systemctl status zabbix-server.service
● zabbix-server.service - Zabbix Server
Loaded: loaded (/usr/lib/systemd/system/zabbix-server.service; enabled; vendor preset: disabled)
Active: activating (auto-restart) (Result: exit-code) since Thu 2021-07-29 12:19:13 CEST; 9s ago
Process: 803089 ExecStop=/bin/kill -SIGTERM $MAINPID (code=exited, status=1/FAILURE)
Process: 803061 ExecStart=/usr/sbin/zabbix_server -c $CONFFILE (code=exited, status=0/SUCCESS)
Main PID: 803063 (code=exited, status=0/SUCCESS)

Ich bin am verzweifeln. Was mache ich hier falsch?

[Zumi]

Hallo B.C.K.

die TLS-Einstellungen in der Zabbix Config sind für Verschlüsselungen zu Zabbix-Agents oder Proxy's vorgesehen.
Diese haben nichts mit deiner LDAP-Abfrage zu tun. Das ist auch das, was dir Hamardaban in dem anderen Post geschrieben hat.
Bitte entferne diese wieder aus deiner Config entfernen bzw. kommentiere diese aus.

Welche Zabbix-Version nutzt du?
Nur zur Sicherheit: Ist es korrekt, dass dien LDAP-Service auf Port 3060 läuft? Default wäre 389
Wird eine LDAP-Abfrage von deinem Zabbix-Server unterstütz? Also sind die notwendigen Pakete auf dem Server installiert?
Hast du in dem Item der LDAP-Abfrage einen Test-Button?
Was sagt das Log vom Zabbix-Server?

vG
Zumi

[B.C.K]

Hallo Zumi,

bin nach dem Urlaub diese Woche wieder im Dienst.
Vielen Dank für dein Post.
Tatsächlich benutzen wir für ldap den Port 3060.
Der Zabbix 5.2.6 hat zwar ein Test Button bei dem Item.
Aber ich kann kein Port auswählen und bekomme immer den Wert 0.


So sieht das ITEM-Config aus:


Habe den Test Button benutzt, nachdem ich den Macro $OID.DEV.HOST in der Zeile "Key" mit der IP und auch DNS Namen geändert habe. Leider wieder der Wert "0" in der Zeile "Result"

Diese Config sollte eigentlich funktionieren, da die Authentication via LDAP funktioniert:
Hinweis: DNS-Hostname wurde geändert. Wenn die Port Schreibweise geändert wird, dann schlägt die Authentication fehl.
Soll heißen, wenn anstatt ldap://oid.dev.host:3060 nur ldap://oid.dev.host geschrieben und die Zahl 3060 in die Zeile "Port" geschrieben wird, dann geht es nicht.

Notwendige Pakete:
Hier der Auszug:
[mon.entw@monitoring ~]$ yum list installed | grep zabbix
fping.x86_64 3.16-1.el8 @zabbix-non-supported
zabbix-agent.x86_64 5.2.6-1.el8 @zabbix
zabbix-apache-conf.noarch 5.2.6-1.el8 @zabbix
zabbix-release.noarch 5.2-1.el8 @@commandline
zabbix-server-mysql.x86_64 5.2.6-1.el8 @zabbix
zabbix-web.noarch 5.2.6-1.el8 @zabbix
zabbix-web-deps.noarch 5.2.6-1.el8 @zabbix
zabbix-web-mysql.noarch 5.2.6-1.el8 @zabbix
[mon.entw@monitoring ~]$ yum list installed | grep ldap
openldap.x86_64 2.4.46-15.el8 @anaconda
openldap-clients.x86_64 2.4.46-15.el8 @anaconda
php-ldap.x86_64 7.2.24-1.module_el8.2.0+313+b04d0a66 @appstream
sssd-ldap.x86_64 2.3.0-9.el8 @anaconda


Wegen dem Zabbix-Log. Nach was soll ich genau suchen?
Die Log-Datei ist über 440 MB groß.
Hast du vielleicht in Linux ein geeigneten Befehl für mich?

MfG
B.C.K