Аутентификация узлов

[rekby]

Насколько я понимаю аутенификация происходит только по IP-адресам, DNS-имени и имени хоста:
1. Сервер обращается к узлу по IP-адресу или имени и всегда считает что попал куда нужно, а узел смотрит с какого IP пришел запрос (или и какого DNS-имени через реверс DNS, если я правильно документацию понял).
2. Узел обращается к серверу и всегда считает, что обратился куда нужно, а сервер определяет узел по HostName.

Пока как более-менее более строгий способ понять, что узел тот, за кого себя выдает придумал к осмысленному имени узла прибавлять какие-то случайные символы, например чтобы узлы назывались: myserver-sj7Lsdj


Ничего более строгого нет или я не нашел?

[dima_dm]

В Zabbix между клиентом и сервером нет аутентификации. Нужна аутентификация, используйте IPSEC. т.е. поднимаете IPSEC туннель между Zabbix клиентом и сервером и весь трафик будет идти по этому туннелю. Соответственно будет проведена надежная аутентификация средствами IPSEC и трафик будет зашифрован.

[rekby]

Насколько я понимаю трафик будет зашифрован и будет гарантировано идти с одной из машин, до которых проброшены тунели, после подключения к Zabbix - zabbix будет верить клиенту что это он без всяких проверок.

Иными словами:
предполагается массовая публичная услуга и скорее всего через какое-то время появится злоумышленник, который из каких-то соображений будет пытаться подменить статистику статистику какой-то другой машины.

Предполагаемая ситуация:
У клиента A есть право подключаться к Zabbix с хостом host-1
У клиента B есть право подключаться к Zabbix с хостом host-2

Оба пользуются Zabbix-агентами в активном режиме.

Клиент A используя свой канал подключения подключается к Zabbix и представляется клиентом B.

Есть ли способ предотвратить такую подмену?
Сейчас вижу выход в пропускании каких-то крупных клиентов или клиентов, с которыми возникнет подобная проблема через отдельные Zabbix-прокси. Тут еще один вопрос - если на Zabbix настроена работа клиента через прокси, а данные пришли напрямую или с другого прокси - будут ли они приняты?

[dima_dm]

Предполагаемая ситуация:
У клиента A есть право подключаться к Zabbix с хостом host-1
У клиента B есть право подключаться к Zabbix с хостом host-2

Оба пользуются Zabbix-агентами в активном режиме.

Клиент A используя свой канал подключения подключается к Zabbix и представляется клиентом B.

Есть ли способ предотвратить такую подмену?

В текущей стабильной версии 1.8.2 нет. Вы можете разместить запрос на новую фичу https://support.zabbix.com/secure/IssueNavigator.jspa , предварительно поискав, не было ли его ранее.

Сейчас вижу выход в пропускании каких-то крупных клиентов или клиентов, с которыми возникнет подобная проблема через отдельные Zabbix-прокси. Тут еще один вопрос - если на Zabbix настроена работа клиента через прокси, а данные пришли напрямую или с другого прокси - будут ли они приняты?

Это легко проверяется. Проверьте.

[Alexei]

Тут еще один вопрос - если на zabbix настроена работа клиента через прокси, а данные пришли напрямую или с другого прокси - будут ли они приняты?

Не будут приняты.