Architecture distribuée : Supervision via Zabbix Proxy

Chez Plennyx, la proactivité est la clé de notre service d'infogérance. Pour surveiller efficacement les métriques de centaines de machines virtuelles et de conteneurs tout en respectant l'isolation stricte des réseaux clients (VPC / VLAN), nous utilisons une architecture distribuée basée sur Zabbix Proxy.

1. Pourquoi utiliser des Proxys Zabbix ?

Dans un réseau classique, tous les agents Zabbix remontent leurs informations directement au serveur principal. Dans un environnement Cloud souverain et sécurisé comme le nôtre, ce modèle pose des problèmes de sécurité (ouverture de flux inter-VLAN) et de performances. Le Proxy Zabbix résout cela :

• Sécurité et Isolation : Un proxy est déployé dans chaque VLAN client ou zone d'infrastructure. Les machines supervisées ne parlent qu'au proxy local. Seul le proxy communique avec le serveur central, limitant les règles de pare-feu à un seul flux chiffré.
• Résilience (Mise en cache) : En cas de perte de connectivité avec le serveur central, le proxy stocke les données localement (jusqu'à plusieurs heures). Aucune métrique n'est perdue lors du rétablissement du lien.
• Offloading : Le proxy se charge de collecter les données (pollers, trappers), soulageant considérablement la base de données et le CPU du serveur Zabbix Master.

2. Exemple de configuration d'un Proxy (Active Mode)

Nous configurons majoritairement nos proxys en mode Actif. C'est le proxy qui initie la connexion vers le serveur central pour récupérer sa configuration et envoyer ses données, facilitant ainsi la gestion des règles NAT/Firewall.

# Mode actif (0)
ProxyMode=0

# Nom du proxy (doit correspondre exactement au nom défini sur l'interface Zabbix)
Hostname=plennyx-proxy-marly-01

# IP ou DNS du serveur Zabbix principal
Server=zabbix.master.plennyx.com

# Fréquence d'envoi des données (en secondes)
DataSenderFrequency=10
ConfigFrequency=60

# Configuration du chiffrement PSK
TLSConnect=psk
TLSAccept=psk
TLSPSKIdentity=PSK_XXX
TLSPSKFile=/etc/zabbix/zabbix_proxy.psk

3. Déploiement et automatisation

Afin d'assurer un déploiement rapide et standardisé lors de la création d'un nouveau VPC pour un client, le proxy Zabbix est instancié via un conteneur ou une VM légère (Debian) provisionnée automatiquement. L'agent Zabbix de chaque VM client est ensuite configuré pour pointer vers l'IP interne (LAN) de ce proxy.