Wdrożenie Zabbix Katowice

Jak zbierać dane z sieci, do której nie wolno wejść?

To pierwsze pytanie w każdym zakładzie, który ma rozdzieloną sieć przemysłową i biurową, a na Śląsku ma ją coraz więcej firm. Podział powstał w dobrej wierze i zwykle po jakimś zdarzeniu: żeby infekcja ze stacji biurowej nie dotarła do sterowników, żeby aktualizacja systemu nie zatrzymała linii, żeby awaria w jednej części nie dotykała drugiej. Reguła na zaporze jest krótka, wszyscy o niej wiedzą i nikt nie ma ochoty jej ruszać.

Wdrożenie monitoringu potrafi w tym momencie utknąć, bo pierwsze, o co proszą niektórzy wykonawcy, to dostęp z sieci biurowej do wszystkiego, co ma być mierzone. Prośba jest wygodna dla instalującego i kosztowna dla firmy, bo robi w granicy wyłom, którego potem nikt nie zamyka, a przy najbliższym przeglądzie bezpieczeństwa trzeba go tłumaczyć.

Da się inaczej i nie jest to obejście przepisu, tylko normalny sposób pracy tego narzędzia. Zamiast pytać urządzenia z drugiej strony granicy, stawiamy zbieranie danych po ich stronie i przez granicę przepuszczamy wyłącznie gotowe odczyty, w jednym kierunku.

Które reguły na zaporze wystarczą?

Poniższe zestawienie opisuje układ, który proponujemy jako punkt wyjścia. Sporo zależy od tego, jak wygląda dziś Wasz podział, więc ostateczny kształt ustalamy z osobą odpowiadającą za sieć, zanim cokolwiek trafi na produkcję.

Element układu	Gdzie stoi	Kierunek połączenia	Czego nie otwieramy
Serwer monitoringu	segment biurowy albo serwerownia	przyjmuje dane od proxy	żadnego dostępu do sterowników
Proxy przemysłowe	segment produkcyjny	nawiązuje sesję do serwera samo	wejścia z biura do segmentu
Odczyt SNMP z urządzeń	wewnątrz segmentu produkcyjnego	z proxy do urządzenia, lokalnie	ruchu SNMP przez granicę
Agent na komputerze sterującym	tam, gdzie producent pozwala	tryb aktywny, wysyła sam	portu nasłuchującego na maszynie
Sprawdzenie usług produkcyjnych	z proxy, w tej samej sieci	lokalnie, bez przechodzenia granicy	dostępu do usług spoza segmentu
Powiadomienia	z serwera, po stronie biurowej	wychodzą do poczty i komunikatora	drogi powrotnej do produkcji
Dostęp administracyjny do proxy	zdefiniowany imiennie	z wyznaczonej stacji, na czas prac	stałego kanału zarządzania

Trzeci wiersz jest tym, o który najczęściej toczy się rozmowa. Odpytywanie urządzeń przemysłowych przez zaporę wymagałoby otwarcia ruchu w stronę produkcji i to jest dokładnie ten wyłom, którego chcemy uniknąć. Przy proxy stojącym w tym samym segmencie zapytania nigdy nie opuszczają swojej sieci, a granicę przekracza tylko strumień gotowych wartości.

Dlaczego konto do odczytu wystarcza monitoringowi?

Bo narzędzie do niczego więcej nie jest tu używane, a każde uprawnienie ponad potrzebę zostaje w środowisku na lata. Zabbix czyta liczniki, stany portów, temperatury i odpowiedzi usług. Nie zmienia konfiguracji urządzeń, nie restartuje ich i nie wysyła do nich poleceń, o ile ktoś świadomie takiej funkcji nie włączy, a my jej nie włączamy.

W praktyce oznacza to trzy rzeczy przy każdym urządzeniu. Zakładamy osobne konto tylko do podglądu, zamiast używać konta administracyjnego, które akurat ktoś pamięta. Wybieramy wersję protokołu SNMP z uwierzytelnianiem wszędzie tam, gdzie sprzęt ją obsługuje, a przy starszych urządzeniach ograniczamy odpytywanie do adresu proxy. Nazwę i przeznaczenie takiego konta zapisujemy w dokumentacji, bo konto o nieznanym pochodzeniu znajdujemy potem w każdej przejmowanej instalacji i nikt nie umie powiedzieć, co przestanie działać po jego skasowaniu.

Ta sama zasada obejmuje konta używane przez integracje i skrypty sięgające po dane przez interfejs programistyczny. Trzymamy je oddzielnie od kont ludzi, z zakresem wynikającym z konkretnego zadania.

Co robić ze sterownikiem, który nie zniesie odpytywania?

Odpytywać go rzadziej i lżej, a przede wszystkim zapytać wcześniej. Część urządzeń przemysłowych powstała w czasach, gdy nikt nie zakładał, że ktokolwiek będzie je regularnie pytał o stan, i reaguje na intensywny ruch spowolnieniem własnej pracy. Zdarza się to rzadko, natomiast konsekwencje ma takie, że nie warto tego sprawdzać metodą prób na działającej linii.

Dlatego przy urządzeniach zamkniętych przez producenta zaczynamy od minimum: sprawdzenie dostępności i czasu odpowiedzi w odstępie kilkuminutowym, bez zaglądania w cokolwiek innego. Nawet tak wąski pomiar wyprzedza telefon z hali, bo zamienia zgłoszenie o tym, że stanowisko nie odpowiada, w wiadomość z nazwą urządzenia i godziną.

Zakres poszerzamy dopiero po rozmowie z utrzymaniem ruchu i z dostawcą, a każde rozszerzenie wprowadzamy pojedynczo. Kolejność ma znaczenie: pomiar wprowadzony w kilku krokach da się cofnąć do ostatniego działającego stanu, pomiar włączony w całości nie daje żadnego punktu odniesienia.

Ile trwa takie wdrożenie i co je wydłuża?

Zwykle trzy do czterech tygodni, przy czym prace techniczne zajmują z tego mniejszość. Instalacja serwera i proxy to jeden dzień, podłączenie hostów kilka kolejnych, konfiguracja szablonów zależy od liczby klas urządzeń. Dwa tygodnie zajmuje obserwacja bez wysyłania powiadomień i tego etapu nie skracamy, bo wartości graniczne ustawione pierwszego dnia są zgadywaniem.

Wydłużają całość dwie rzeczy i obie są rozmowami, nie robotą. Pierwsza to uzgodnienie reguły w granicy sieci, które w zakładach z formalnym procesem potrafi zająć tydzień i wymaga opisania, co dokładnie przechodzi, w którą stronę i po co. Drugą jest ustalenie, kto odpowiada za które urządzenia, bo w firmie z halą, biurem i magazynem odpowiedzialność bywa podzielona między utrzymanie ruchu, dział IT i zewnętrznego wykonawcę.

Obie zaczynamy w pierwszym tygodniu, a nie przy odbiorze. Wdrożenie, w którym te ustalenia zostawia się na koniec, kończy się instalacją bez adresatów, czyli narzędziem wysyłającym wiadomości donikąd.

Co zostaje u Was, gdy skończymy?

Serwer i proxy pracujące w Waszej sieci, komplet kont administracyjnych, kopia konfiguracji odtwarzalna na czystej maszynie, opis architektury z adresami i wersjami, wykaz reguł przechodzących przez granicę razem z powodem każdej z nich, lista hostów z rolami i właścicielami oraz wartości graniczne z datą obserwacji. Do tego procedury na dwie sytuacje, które zdarzają się najczęściej: dodanie stanowiska do pomiaru i wyciszenie monitoringu na czas postoju.

Zakładowi, w którym nie ma nikogo gotowego czytać zdarzeń, mówimy przed podpisaniem umowy, że własna instalacja mu się nie utrzyma. Po takim wdrożeniu zostaje reguła w skrzynce pocztowej i maszyna, której nikt nie chce wyłączyć, a pieniądze wydane na konfigurację nie wracają. Sensowniej wypada wtedy stały nadzór nad infrastrukturą, w którym zdarzenia czyta ktoś z zewnątrz.

Spis środowiska i warsztat prowadzimy na miejscu, resztę zdalnie. Do zakładów w Katowicach i w sąsiednich miastach metropolii dojeżdżamy z biura przy Wspólnej 40 w umówionym dniu roboczym. Wizualizację zebranych danych opisuje dashboard w Grafanie, stan samych maszyn monitoring serwerów w Katowicach, a pełny opis konfiguracji narzędzia wdrożenie Zabbiksa w wersji krajowej. Zakres prac omówimy pod numerem +48 888 777 822 albo przez formularz kontaktowy.

Treść sprawdzona i zaktualizowana: 2 sierpnia 2026