Introduction

Ce collecteur vous permet de détecter automatiquement des équipements réseau et des serveurs physiques dans votre infrastructure pour faciliter et accélérer leur import dans la configuration.

Cette source utilise la commande nmap pour la découverte des équipements, pour cela la commande :

• Scanne les machines présentes sur le réseau et détecte les ports ouverts
• Essaye de déterminer le constructeur de l'équipement en fonction de son adresse MAC
• Si possible, détermine son FQDN (Fully Qualified Domain Name).
  
  

La source Discovery permet de définir des règles qui, suivant les valeurs remontées par la commande nmap, apportent un complément d'information sur les équipements découverts. Ce complément d'information peut être :

• Des modèles d'hôtes suivant le type d'équipement.
• L'ajout d'un préfixe au nom de l'équipement.
  
  

Une fois la découverte exécutée, les équipements détectés et qualifiés sont alors présentés en tant que nouveautés ou différences dans l'interface de Configuration.

Lorsque vous activerez le collecteur, il sera non configuré. 

• Vous devez entrer dans les pages de configuration. Pour cela, dans la Page Principale, cliquez sur le nom de la source "discovery" pour accéder aux détails de la source.

5 onglets sont disponibles : 

• Configuration
• Règles de découvertes
• Liste des plages réseaux définies
• Résumé des dernières exécutions
• Détail du derniers lancement

Les premiers pas: Réalisons un scan étape par étape

Etape 1: Editer et ajouter une plage réseau

Les plages réseau scannées par le collecteur discovery peuvent être créées et modifiées dans l'onglet "Liste des plages réseau définies", le bouton "+ Ajouter" permet d'ajouter une nouvelle plage réseau à scanner.

Après avoir cliqué sur le bouton, le formulaire de configuration d'une nouvelle plage réseau va apparaître dans un popup.

Pour créer une plage réseau, vous devez définir les propriétés suivantes:

• Nom
• Plage IP : Plage(s) d'adresses à scanner dans le format accepté par la commande nmap.
  
  

• Plage de ports: Plage de ports scannés pour chaque adresse. Les 1000 ports les plus répandus sont utilisés par défaut
  • Vous pouvez restreindre le nombre de ports scannés avec une liste.
  • Cette liste peut comporter plusieurs plages en les séparant par des virgules.
  • Ex: 1-1024,2000-8000
    
• Notes: Texte descriptif au sujet de cette plage réseau
• Activé: Activer ou désactiver les scans sur cette plage réseau pour les prochaines exécutions de la source.

Etape 2: Lancer un scan

Une fois la ou les plages réseau définies, vous pourrez réaliser un scan en utilisant le bouton en haute à droite ( le bouton play ).

Le collecteur va scanner l'ensemble des plages réseau actives dans votre configuration.

Étape 3: Les équipements trouvés

Vous verrez alors le résultat dans l'onglet Détail du dernier lancement.

Le résultat d'un scan (onglet Détail du dernier lancement)

Dans l'onglet "Détail de dernier lancement" est listé chaque équipement détecté par le collecteur discovery en fonction des plages réseau actives lors de l'import.

Pour chaque équipement, l’œil à droite vous permet de voir le détail de l'opération.

Deux tableaux fournissent respectivement:

• Les informations collectées par nmap
  • Toutes les informations présentes dans ce tableau peuvent être utilisées dans les conditions d'une règle.
    
    
• L'Hôte proposé au Synchronizer:
  • Le collecteur va utiliser certaines données collectées pour les mettre au format du Synchronizer ( Clé / Valeur ).
  • Il peut suivant son paramétrage ( des règles par défaut ou définies par l'utilisateur) modifier les valeurs. Cela sera alors mentionné dans la colonne "Informations supplémentaires" la règle utilisée.

Les données collectés par nmap

Les scans réalisés par nmap remontent les clés suivantes :

Correspondance entre l'adresse MAC et le constructeur

L'exemple suivant fournit une illustration sur la découverte d'un NAS Synology et la détection automatique du constructeur.

Les données accrochées à l’hôte proposé au Synchronizer ( Element importé )

Le collecteur accroche les données suivantes à l'hôte proposé au Synchronizer:

Configuration

Onglet des règles de découverte

Un onglet listant les règles de découvertes (par défaut et définies par l'utilisateur) est disponible dans la page du collecteur discovery.

• Les règles vous permettent de définir des conditions à remplir pour que la discovery accroche automatiquement des modèles d'hôtes sur les équipements remontés. 
• Les conditions vont tester les valeurs remontées par nmap.
  

Les règles sont affichées sous forme de la liste:

• Triée par ordre de priorité: Exemple: Lorsque les règles 1 et 2 s'appliquent, la règle 1 s'applique avant la règle 2 (ajout du préfixe et des modèles d'hôtes)
• La couleur de fond de chaque ligne indique le type de règle:
  • Blanc : règle par défaut 
  • Bleu : règle définie par l'utilisateur
  • Gris : règle affichée dans la liste, mais sans effet (désactivée volontairement, syntaxe incorrecte ...).

Il existe 6 statuts pour les règles de découvertes :

Définir de nouvelles règles de découvertes ou surcharger les existantes

Ecriture d'une règle de découverte

Le mécanisme de condition utilise les données collectées par nmap pour modifier l'hôte à proposer au Synchronizer. Les clés du retour nmap sont utilisables pour vos conditions (voir Les données collectées par nmap).

Il existe plusieurs possibilités pour les conditions de vos règles :

Commence par (=^...)

Termine par (=...$)

Est égal (=^...$)

Contient (=...)

Condition_1 ET condition_2 (condition_1 AND condition_2)

Cas spécifique des openports (X|X)

Liste des règles par défaut 

Lors de l'installation, Shinken livre un certain nombre de règles par défaut pour la détection des objets via le collecteur discovery. 

Ces règles par défaut sont les suivantes :

os=aix

os=cisco

openports=53

openports=21

macvendor=hewlett packard AND openports=2301

os=embedded AND ostype=remote management AND osvendor=hp

openports=631 AND openports=9100

os=hp-ux

openports=80

openports=443

openports=143

openports=993

openports=389

openports=636

os=linux

openports=27017

openports=1433

openports=3306

openports=1521|1526

openports=110

openports=995

openports=25

openports=465

openports=22

openports=7765|7766

openports=7767|7772

ostype=switch

isesxhost=1

isesxvm=1

os=windows

os=windows AND osversion=2000

os=windows AND osversion=2003

os=windows AND osversion=vista

os=windows AND osversion=7

os=windows AND osversion=2012

os=windows AND osversion=2016

Le fichier des règles par défaut est le suivant:  discovery_rules.json

Configuration avancée

Le comportement du collecteur discovery peut être configuré de manière plus précise dans le fichier de configuration de la source.

Ce fichier est disponible au chemin suivant (/etc/shinken/sources/discovery.cfg) et contient les propriétés suivantes :

Exemple de définition:

define source {
    source_name                   discovery
    order                         10
    import_interval               5
    module_type                   discovery-import
    data_backend            	  mongodb
    mongodb_uri		              mongodb://localhost/?safe=false
    mongodb_database	          synchronizer
    mongodb_use_ssh_tunnel        0
    mongodb_use_ssh_retry_failure 1
    mongodb_ssh_user              shinken
    mongodb_ssh_keyfile           ~shinken/.ssh/id_rsa
    mongodb_retry_timeout         10
    rules_path                    /etc/shinken-user/configuration/daemons/synchronizers/sources/discovery/discovery_rules.json
    nmap_mac_prefixes_path        /etc/shinken-user/configuration/daemons/synchronizers/sources/discovery/nmap/nmap-mac-prefixes
}

Précisions techniques

Sécurité: paramètres de la commande nmap

La commande nmap lancée par la source discovery utilise les paramètres suivants:

• -PE : Ping Scan (Echo Request)
• -sU : Scan UDP
• -sT : Scan TCP
• --min-rate 1000 : Envoie un minimum de 1000 paquets par seconde
• --max-retries 3 : Effectue au maximum 3 retransmissions en cas d'erreur sur les scan de ports
• -T4 : Optimisation de performances
• -O : Détection des systèmes d'exploitation
• -oX : Export XML (utilisé pour l’interprétation des données par Shinken)

Clés de synchronisation

Les clés de synchronisation sont des propriétés des objets utilisées pour les identifier dans les sources. Le fonctionnement et l'utilité des clés de synchronisation sont décrits de manière plus détaillée dans la page de documentation dédiée: Précision technique sur le fonctionnement de l'import des sources.

Les informations suivantes de la découverte réseau sont ajoutées en tant que clés de synchronisation de l'objet dans Shinken:

• host_name
• address

Résolution des problèmes courants

Base de données inaccessible

Si votre discovery n'arrive pas à accéder à la base de données, elle devient alors indisponible. Pendant cette indisponibilité, il est impossible d'effectuer quelques manipulations :

• Voir la liste des règles
• Voir la liste des plages réseau
• Ajouter une plage réseau

Rafraîchir la page ou lancer un import permet de réessayer d'accéder à la base de données.

Le fichier de règles n'est pas correctement chargé

Il peut y avoir plusieurs problèmes à l'ouverture de votre fichier de règles:

Dans le cas où le fichier de règles n'est pas correctement chargé ( voir comment définir de nouvelles règles de découvertes ou surcharger les existantes ), seules les règles par défaut sont prises en compte et un message d'erreur apparaît en haut du tableau.

Le fichier de préfixes nmap n'est pas chargé

Lorsqu'une erreur empêche la source discovery de s'importer, une erreur est remontée dans la page principale. Plus d'informations sont disponibles dans les détails de la source en cliquant sur l'icône à gauche du message d'erreur.

Il peut y avoir plusieurs problèmes à l'ouverture de votre fichier de préfixes nmap qui empêcheront le collecteur discovery de lancer son import, dans ce cas-là, une erreur s'affichera dans la page principale, et vous pourrez avoir plus d'informations en cliquant sur le lien à côté du résultat de votre source, ce qui vous amènera dans l'onglet de Résumé des dernières exécutions de votre source: