CHECK_NRPE: Ошибка - Не удалось завершить SSL-подтверждение связи

Question

У меня есть процесс демонов NRPE, работающий под управлением xinetd на экземпляре amazon ec2 и сервере nagios на моей локальной машине.

check_nrpe -H [amazon public IP] дает эту ошибку:

CHECK_NRPE: Error - Could not complete SSL handshake. 

Оба NRPE такое же версия. Оба скомпилированы с этой опцией:

./configure --with-ssl=/usr/bin/openssl --with-ssl-lib=/usr/lib/i386-linux-gnu/ 

Запись «разрешенного хоста» содержит мой местный IP-адрес.

Что может быть возможной причиной этой ошибки сейчас?

Answer 1

Чтобы проверить, есть ли у вас доступ к нему при любой попытке простой telnet по адресу: port, ping или traceroute, чтобы увидеть, где он блокируется.

telnet IP port 
ping IP 
traceroute -p $port IP 

Также проверьте на целевом сервере, что демона nrpe работает правильно.

netstat -at | grep nrpe 

Кроме того, необходимо проверить версии OpenSSL, установленные на обоих серверах, так как я видел этот перерыв проверки по случаю с SSL рукопожатия!

Answer 2

Это сообщение об ошибке для NRPE. Проверьте правила брандмауэра и убедитесь, что порт открыт. Также попробуйте отключить SELinux и посмотреть, позволяет ли это подключение. Вероятно, это не проблема SSL, а просто проблема с отказом подключения.

Answer 3

Если вы работаете NRPE в качестве службы, убедитесь, что вы эту строку в nrpe.cfg на стороне клиента:

# example 192. IP, yours will probably differ 
allowed_hosts=127.0.0.1,192.168.1.100 

Вы говорите, что это сделано, однако, если вы работаете под NRPE xinetd, обязательно отредактируйте директиву only_from в файле /etc/xinetd.d/nrpe.

Не забудьте перезапустить службу XINETD:

service xinetd restart 

Answer 4

проверить /var/sys/system.log. В моем случае оказалось, что мой контролируемый IP был установлен на что-то еще, чем тот, который я установил в файле nrpe.cfg. Однако я не знаю причины этого изменения.

Answer 5

@jgritty был прав. вы должны отредактировать nrpe.cfg и nrpe файлы конфигурации, чтобы разрешить доступ вашего мастер Nagios сервера:

vim /usr/local/nagios/etc/nrpe.cf 
allowed_hosts=127.0.0.1,172.16.16.150 

и

vim /etc/xinetd.d/nrpe 
only_from= 127.0.0.1 172.16.16.150 

Answer 6

Похоже, что вы используете свой сервер Nagios в виртуальной машине на хост-только сеть. Если это так, это остановит любой внешний доступ. Убедитесь, что у вас есть NAT или мостовая сеть.

Answer 7

Убедитесь, что вы перезагрузили плагин Nagios Client.

Answer 8

Я использую nrpe, используя службу xinetd.

Удостоверьтесь также (в дополнение к вышеуказанным основным шагам), что ваш пользователь nagios аутентифицируется должным образом. В моем случае:

Jun 6 15:05:52 gse2 xinetd[33237]: **Unknown user: nagios**<br>[file=/etc/xinetd.d/nrpe] [line=9] 
Jun 6 15:05:52 gse2 xinetd[33237]: Error parsing attribute user - DISABLING 
SERVICE [file=/etc/xinetd.d/nrpe] [line=9] 
Jun 6 15:05:52 gse2 xinetd[33237]: **Unknown group: nagios**<br>[file=/etc/xinetd.d/nrpe] [line=10] 
Jun 6 15:05:52 gse2 xinetd[33237]: Error parsing attribute group - DISABLING 
SERVICE [file=/etc/xinetd.d/nrpe] [line=10] 
Jun 6 15:05:52 gse2 xinetd[33237]: Service nrpe missing attribute user - DISABLING 

Был показан в сообщениях/var/log.
Сначала он ускользнул от меня, но затем я проверил сервис ypbind и обнаружил, что он не был запущен.
После запуска ypbind пользователь и группа nagios прошли проверку подлинности, ошибка исчезла.

Answer 9

некоторые проблемы с краями nagios-nrpe-server не помогает, поскольку процесс не был убит или он не был перезагружен должным образом.

просто убить его вручную, а затем начать.

Answer 10

Ошибка установления связи по протоколу SSL msg. Кроме того, allow_host вы должны назначить.

сервер Nagios находится в локальной сети с IP-адреса типа C, такие как 192.168.xxxx

, когда целевой мониторинг обратной связи сервера Протокол SSL тзд на локальный сервер Nagios, сообщение должно первым приходит на общедоступный IP вашей линии, сообщение не может проходить через общедоступный IP-адрес в ваш сервер nagios, который является внутренним.

вам нужен NAT, чтобы направлять сообщение SSL с целевого сервера на внутренний сервер nagios.

Или вам лучше использовать метод «GET», который просто получает сообщение монитора с клиентской стороны nagios, например, SNMP для выполнения удаленного монитора локального ресурса серверов Linux.

SSL требуется обратная связь в двух направлениях.

С наилучшими пожеланиями

Answer 11

Для меня настройки следующих в /etc/nagios/nrpe.cfg на клиенте работал:

dont_blame_nrpe=1 

Это и убунту 16,04 машина. Для других возможных проблем я рекомендую посмотреть журналы nrpe. Вот хорошая статья для настройки журналов.

Answer 12

Если вы работаете в Debian 9, тогда a known issue возник в связи с этой проблемой. Причина заключается в отказе службы поддержки OpenSSL для метода NRPE, позволяющем инициировать анонимные SSL-соединения.

Вопрос seems to be fixed, но исправление еще не попало в официальные пакеты.

В настоящее время, судя по всему, нет безопасной работы.