深入浅出Zabbix 3.0 -- 第十九章数据加密通信

最新推荐文章于 2025-03-08 08:36:50 发布

大白小白一起学

最新推荐文章于 2025-03-08 08:36:50 发布

阅读量2.8k

点赞数 1

分类专栏： Zabbix 文章标签： Zabbix 监控运维

本文链接：https://blog.youkuaiyun.com/clm_sky/article/details/90574779

版权

本文详细介绍了Zabbix 3.0中数据加密通信的实现，包括预共享秘钥（PSK）和基于证书的加密方式。在PSK加密中，讨论了长度限制和生成方法，而在证书加密部分，讲述了证书链的创建、配置参数以及代理和Agent的加密配置。此外，还提到了证书吊销列表的配置以及常见问题的解决。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

第十九章数据加密通信

近日完成《深入浅出 zabbix 4.0》视频教程的录制并正式发布，该教程基于 zabbix 4.2 ，对Zabbix进行全面讲解。欢迎大家围观。课程链接：https://edu.youkuaiyun.com/course/detail/24870

Zabbix 3.0中非常重要的一个特性就是支持对Zabbixserver、Zabbix proxy、Zabbix agent、zabbix_sender和zabbix_get之间的通信进行加密，支持Certificate-based（基于证书）和pre-shared key-based（基于预共享秘钥）的加密，不再像早期版本那样需要额外的解决方案。

Zabbix 3.0中加密是独立组件，作为配置选项进行配置时非常灵活，可以针对不同的hosts设置不同的加密方式。例如有些proxy 和agents配置使用Certificate-based加密和server之间的通信，有些使用pre-sharedkey-based加密，而另外一些没有配置加密。如下图19-1所示。

图 19-1

19.1编译Zabbix支持加密

Zabbix使用Transport LayerSecurity (TLS) protocol v1.2进行加密，为了让Zabbix支持加密功能，在源码编译安装时必须要链接到下面三个加密库中的其中一个。

mbed TLS：早期也叫PolarSSL，目前仅支持1.3.x版本。注意不支持2.x版本。
GnuTLS：支持v3.1.18及更高的版本。
OpenSSL：支持v1.0.1及更高的版本。

根据你的选择，configure脚本可以使用下面的某个选项：

--with-mbedtls[=DIR]
--with-gnutls[=DIR]
--with-openssl[=DIR]

例如：

# ./configure--enable-server --enable-agent --with-mysql --enable-ipv6 --with-net-snmp--with-libcurl --with-libxml2 --with-openssl

在编译安装Zabbix的不同组件时可以使用不同的加密库，例如server使用OpenSSL，agent使用GnuTLS。建议使用OpenSSL，在实际测试中OpenSSL是最快的，接下来是GnuTLS。

如果你使用安装包安装Zabbix组件时，默认已经支持加密功能。你可以通过查看日志文件确定Zabbix安装的功能特性。例如下面是Zabbixserver启动时显示的特性列表。

# vi/var/log/zabbix/zabbix_server.log

1065:20150817:103017.520****** Enabled features ******

1065:20150817:103017.520SNMP monitoring: YES

1065:20150817:103017.520IPMI monitoring: YES

1065:20150817:103017.520 Webmonitoring: YES

1065:20150817:103017.520VMware monitoring: YES

1065:20150817:103017.520SMTP authentication: YES

1065:20150817:103017.520Jabber notifications: YES

1065:20150817:103017.520 EzTexting notifications: YES

1065:20150817:103017.520ODBC: YES

1065:20150817:103017.520SSH2 support: YES

1065:20150817:103017.520IPv6 support: YES

1065:20150817:103017.520 TLSsupport: YES

1065:20150817:103017.520******************************

19.2 pre-shared keys加密

Zabbix中使用PSK（pre-shared key）加密时，需要提供标识符（PSKidentity）和加密字符串（PSK string）。PSK identity是一个非空的UTF-8字符串，例如PSK ID 001 zabbix agent，在这里仅仅作为一个特定PSK的名称，方便Zabbix中各组件的引用。由于PSK identity在网络中是明文传输，因此在名称中不要涉及到敏感信息。PSK string是由十六进制组成的字符串，例如e560cb0d918d26d31b4f642181f5f570ad89a390931102e5391d08327ba434e9。

19.2.1 长度限制

在Zabbix中使用PSK加密时，对PSK identity和PSK string长度是有限制的。在Zabbix前端页面中配置PSK identity的长度可以达到128个字符，PSK string的长度可以达到2048个bit，但也要看使用的加密库的限制。如果配置的字符串长度超过限制会导致Zabbix各组件之间通信失败。

例如Zabbix server使用PSK连接到agent之前，server会在数据库中查找agent配置的PSK identity和PSK string，当收到agent配置的PSK identity和PSK string后进行比较，如果双方具有相同的PSK identity和PSK string时将成功连接。

长度限制的参数如下表19-1所示。

表 19-1

组件	PSK identity最大长度	PSK string最小长度	PSK string最大长度
Zabbix	128 UTF-8 characters	128-bit (16-byte PSK, entered as 32 hexadecimal digits)	2048-bit (256-byte PSK, entered as 512 hexadecimal digits)
GnuTLS	128 bytes (may include UTF-8 characters)	--	2048-bit (256-byte PSK, entered as 512 hexadecimal digits)
mbed TLS	128 UTF-8 characters	--	256-bit (default limit) (32-byte PSK, entered as 64 hexadecimal digits)
OpenSSL	127 bytes (may include UTF-8 characters)	--	2048-bit (256-byte PSK, entered as 512 hexadecimal digits)