Мониторинг SSL-сертификатов
Система мониторинга SSL-сертификатов в INFRAX автоматически проверяет срок действия SSL-сертификатов веб-сайтов и служб, работающих по протоколу HTTPS. При приближении даты истечения сертификата система создает тикет для своевременного обновления, что помогает избежать проблем с доступностью защищенных сервисов.
Обзор системы
Мониторинг SSL-сертификатов предназначен для предотвращения ситуаций, когда истекший сертификат вызывает недоступность веб-сервиса или предупреждения безопасности для пользователей.
Основные возможности
- Автоматическая проверка — периодическая проверка срока действия SSL-сертификатов
- Определение даты истечения — получение информации о дате окончания действия сертификата
- Создание тикетов — автоматическое создание тикетов за N дней до истечения
- Приоритизация — назначение приоритета тикета в зависимости от оставшихся дней
- Автоматическое закрытие — закрытие тикетов после обновления сертификата
- Мониторинг доступности — обнаружение проблем с подключением к защищенному сервису
Мониторинг SSL-сертификатов работает только для узлов с настроенным сервисом Web (HTTPS). Для HTTP-сайтов мониторинг сертификатов недоступен, так как они не используют SSL/TLS.
Как это работает
Система мониторинга SSL-сертификатов выполняет периодическую проверку всех узлов сети с настроенным протоколом Web (HTTPS).
Процесс мониторинга
- Обнаружение узлов — система находит все узлы с настроенным сервисом Web и URL начинающимся с
https:// - Подключение к серверу — устанавливается соединение с веб-сервером для получения информации о сертификате
- Извлечение данных — система извлекает информацию о сертификате: дату истечения, издателя, доменное имя
- Расчет оставшихся дней — вычисляется количество дней до истечения срока действия
- Проверка порогов — сравнение с настроенным пороговым значением
- Создание тикета — при необходимости создается тикет с соответствующим приоритетом
Собираемая информация о сертификате
| Параметр | Описание |
|---|---|
| Дата истечения | Дата окончания действия сертификата |
| Оставшиеся дни | Количество дней до истечения срока действия |
| Издатель | Информация о центре сертификации (CA), выдавшем сертификат |
| Доменное имя | Домен, для которого выдан сертификат |
| Статус проверки | Результат последней проверки (успешно/ошибка) |
Настройка мониторинга
Мониторинг SSL-сертификатов настраивается в параметрах узла или папки на вкладке «Мониторинг».
Настройка сервиса Web
Перед настройкой мониторинга SSL убедитесь, что для узла настроен сервис Web с указанием URL начинающегося с https://
- Откройте настройки узла
- На вкладке «Общее» в разделе «Сервисы / протоколы подключения» добавьте или настройте сервис Web
- Укажите полный URL с протоколом HTTPS, например:
https://example.com - Сохраните настройки
Настройка параметров мониторинга SSL
После настройки Web-сервиса, перейдите к параметрам мониторинга:
- Откройте настройки узла или папки
- Перейдите на вкладку «Мониторинг»
- В разделе «SSL-сертификаты» настройте параметры:
| Параметр | Описание | Значение по умолчанию |
|---|---|---|
| Создавать тикеты при истечении SSL | Автоматическое создание тикетов когда до истечения сертификата остается меньше порогового значения | Выключено |
| Автоматически закрывать тикеты при продлении | Автоматически закрывать тикет когда сертификат обновлен | Выключено |
| Дней до истечения | Пороговое значение в днях для создания тикета | 30 дней |
Параметры мониторинга SSL могут наследоваться от родительских папок. Вы можете настроить общие параметры на уровне папки (например, создавать тикеты за 30 дней для всех продакшн-серверов), и они автоматически применятся ко всем вложенным узлам.
Рекомендуемые значения порога
| Тип сервиса | Рекомендуемое значение | Обоснование |
|---|---|---|
| Критичные продакшн-сервисы | 60 дней | Достаточно времени для планирования и обновления |
| Обычные веб-сайты | 30 дней | Стандартный срок для большинства сертификатов |
| Тестовые среды | 14-21 день | Меньший приоритет, но все же требует внимания |
| Внутренние сервисы | 7-14 дней | Минимальное уведомление для внутренних систем |
Создание тикетов
Когда до истечения срока действия сертификата остается меньше дней, чем указано в пороговом значении, система автоматически создает тикет.
Приоритеты тикетов
Система автоматически назначает приоритет тикета в зависимости от количества оставшихся дней:
| Оставшиеся дни | Приоритет | Цвет | Описание |
|---|---|---|---|
| ≤ 7 дней | Критический | 🔴 Красный | Требует немедленного обновления сертификата |
| 8-14 дней | Высокий | 🟠 Оранжево-красный | Необходимо запланировать обновление в ближайшее время |
| 15-21 день | Средний | 🟡 Оранжевый | Есть время для планового обновления |
| > 21 дня | Низкий | 🟡 Желтый | Раннее предупреждение, много времени для подготовки |
Содержимое тикета
Автоматически созданный тикет содержит подробную информацию:
Информация в тикете SSL
- Заголовок — включает приоритет, имя узла, дату истечения и количество оставшихся дней
- URL сайта — адрес проверяемого веб-сервиса
- Дата истечения — точная дата окончания действия сертификата
- Оставшиеся дни — количество дней до истечения
- Информация об издателе — данные о центре сертификации
- Ссылка на проверку — внешний инструмент для детальной проверки сертификата
- Привязка к узлу — тикет автоматически связывается с узлом сети
Предотвращение дублирования
Система контролирует создание тикетов и не создает дубликатов:
- Для каждого узла может существовать только один активный тикет об истечении SSL-сертификата
- Если тикет уже существует, новый не создается
- После закрытия тикета и повторном превышении порога создается новый тикет
Автоматическое закрытие тикетов
Когда сертификат обновлен и срок его действия снова превышает пороговое значение, система может автоматически закрыть тикет (если включена соответствующая настройка).
Условия автоматического закрытия
Тикет закрывается автоматически если:
- Включена настройка «Автоматически закрывать тикеты при продлении»
- Количество дней до истечения стало больше порогового значения
- Тикет находится в статусе, отличном от «Выполнен»
- Сертификат успешно проверен и валиден
Что происходит при закрытии
- В тикет добавляется системное сообщение о том, что сертификат продлен
- Статус тикета изменяется на «Выполнен»
- Связь тикета с узлом сохраняется для истории
- Отправляется уведомление в Telegram (если настроено)
Автоматическое закрытие тикетов избавляет от необходимости вручную закрывать тикеты после обновления сертификатов, что особенно полезно при использовании автоматизированных систем обновления сертификатов (например, Let's Encrypt с автоматическим продлением).
Просмотр статуса сертификатов
Информацию о статусе SSL-сертификатов можно просматривать несколькими способами:
Через тикеты Helpdesk
- Перейдите в раздел Helpdesk
- Тикеты об истечении SSL-сертификатов помечены как инциденты мониторинга
- Приоритет тикета указывает на срочность обновления
- В теле тикета содержится вся информация о сертификате
Через карточку узла
- Откройте карточку узла с настроенным Web-сервисом
- На вкладке «Тикеты» отображаются все связанные тикеты
- Тикеты об SSL-сертификатах будут отмечены соответствующим типом
Через историю триггеров
- Перейдите в раздел Мониторинг → История триггеров
- Выберите фильтр по типу метрики «SSL-сертификаты»
- Просмотрите историю срабатываний и восстановлений
Обработка ошибок
Система мониторинга SSL-сертификатов обрабатывает различные виды ошибок подключения.
Типы ошибок
| Тип ошибки | Причина | Действие системы |
|---|---|---|
| Ошибка подключения | Сервер недоступен, порт закрыт, сетевые проблемы | Создается тикет о проблеме подключения |
| Истекший сертификат | Сертификат уже просрочен | Создается тикет с критическим приоритетом |
| Невалидный сертификат | Проблемы с цепочкой доверия, отозван CA | Фиксируется проблема, создается тикет |
| HTTP вместо HTTPS | URL начинается с http:// вместо https:// | Узел пропускается, проверка не выполняется |
Восстановление после ошибок
Когда проблема с подключением устранена:
- Система обнаруживает восстановление при следующей проверке
- В тикет о проблеме подключения добавляется сообщение о восстановлении
- Тикет может быть закрыт автоматически (если настроено)
- Возобновляется нормальный мониторинг сертификата
При временных проблемах с сетью система может выполнять несколько попыток подключения перед созданием тикета об ошибке.
Рекомендации
Настройка мониторинга
Рекомендации по настройке
- Используйте разные пороги для различных типов сервисов (критичные — 60 дней, обычные — 30 дней)
- Настройте на уровне папок общие параметры для групп однотипных серверов
- Включите автоматическое закрытие для сервисов с автоматическим обновлением сертификатов
- Укажите полные URL с протоколом https:// для точной проверки
- Проверяйте порты — если сервис работает на нестандартном порту, укажите его в URL
Работа с тикетами
- Реагируйте на тикеты с высоким и критическим приоритетом в первую очередь
- Используйте тикеты для планирования обновления сертификатов
- Добавляйте комментарии в тикеты о процессе обновления
- Не закрывайте тикеты вручную до обновления сертификата (если включено автозакрытие)
Интеграция с процессами
Автоматизация обновления
Рекомендуется интегрировать мониторинг SSL с системами автоматического обновления сертификатов:
- Let's Encrypt с Certbot — автоматическое обновление каждые 60-90 дней
- ACME-клиенты — различные инструменты для автоматизации работы с сертификатами
- Облачные CDN — многие CDN автоматически управляют сертификатами
Мониторинг разных типов сертификатов
| Тип сертификата | Особенности | Рекомендации |
|---|---|---|
| Let's Encrypt | Срок действия 90 дней, бесплатные | Порог 30 дней, включить автозакрытие |
| Коммерческие CA | Срок действия 1-2 года | Порог 60 дней, планировать обновление |
| Самоподписанные | Произвольный срок действия | Порог зависит от установленного срока |
| Wildcard | Один сертификат для поддоменов | Критический приоритет, влияет на много сервисов |
Что делать при получении тикета
Алгоритм действий
- Оценить приоритет — проверить сколько дней осталось
- Проверить сертификат — открыть сайт в браузере или использовать специальные инструменты
- Запланировать обновление — выделить время для работы
- Подготовить новый сертификат — получить от CA или сгенерировать
- Установить сертификат — заменить на сервере
- Проверить работу — убедиться что сайт работает корректно
- Дождаться автозакрытия — или закрыть тикет вручную
Не игнорируйте тикеты об истечении SSL-сертификатов. Истекший сертификат может привести к недоступности сервиса и предупреждениям безопасности для пользователей, что негативно влияет на репутацию и доверие.