Migrer le serveur web (changement d'IP)

Le serveur web est l’ancre de confiance de l’infrastructure. Changer son IP est l’inverse d’une migration de sonde : le serveur web regenere son propre certificat, puis chaque composant doit faire confiance au nouveau certificat et etre repointe vers la nouvelle adresse.

Pourquoi le serveur web est different

Contrairement a un monitor ou a un integrateur, le serveur web n’a ni commande migrate ni commande register. Son interface en ligne de commande n’expose que install, uninstall, run, start, stop, restart et help. Rien ne s’enregistre « au-dessus » d’un serveur superieur — le serveur web est l’autorite centrale aupres de laquelle chaque sonde s’enregistre.

Cependant, le certificat du serveur web integre son adresse IP dans le Subject Alternative Name (SAN) du certificat. Lorsque l’IP du serveur web change, le webserver.pem existant ne correspond plus, donc le mTLS avec les composants est rompu tant que le certificat n’est pas regenere et redistribue.

Il s’agit d’une operation coordonnee. Tant que chaque composant n’a pas le nouveau webserver.pem dans son magasin de confiance et ne pointe pas vers la nouvelle IP, ce composant ne peut pas communiquer avec le serveur web. Planifiez une fenetre de maintenance.

Etapes de migration

1. Regenerez le certificat du serveur web

Sur l’hote du serveur web, arretez le service, supprimez l’ancien certificat et sa cle privee, puis demarrez le service. Le serveur web detecte le certificat manquant au demarrage et regenere un nouveau certificat auto-signe avec la nouvelle IP dans son SAN.


# Windows
webserver.exe stop
del config\ssl\certificates\webserver.pem
del config\ssl\private\webserver.key
webserver.exe start

# Linux
./webserver stop
rm config/ssl/certificates/webserver.pem config/ssl/private/webserver.key
./webserver start

Il n’y a aucune commande migrate pour le serveur web — la regeneration du certificat se produit automatiquement au demarrage lorsque webserver.pem est absent. Assurez-vous que l’hote possede deja sa nouvelle adresse IP avant de demarrer.

2. Verifiez que l’entree du serveur web lui-meme est passee a la nouvelle IP

Le serveur web s’enregistre lui-meme dans la liste des composants, sous une entree unique et fixe nommee webserver. A chaque demarrage du service, il reecrit cette entree en place avec l’IP courante de l’hote et le port API — le redemarrage de l’etape 1 la corrige donc normalement tout seul. Il n’y a aucun risque de se retrouver avec deux entrees de serveur web : l’enregistrement est indexe par le nom constant webserver, pas par son IP, donc l’ancienne adresse est ecrasee, jamais dupliquee.

Apres le redemarrage de l’etape 1, ouvrez la page Composants et confirmez que l’entree webserver affiche la nouvelle IP.

Si l’entree affiche encore l'ancienne IP, le service a ete demarre avant que l’hote ne recoive reellement sa nouvelle adresse (l’IP est detectee une seule fois, au demarrage). Corrigez la configuration reseau de l’hote, puis redemarrez simplement le serveur web — l’entree se met a jour au demarrage suivant.

Les references webserver / webserverUrl stockees sur la fiche de chaque composant (utilisees par les composants pour joindre le serveur web en retour) sont rafraichies automatiquement lorsque le composant se reenregistre a l’etape 4 ci-dessous — aucune modification manuelle n’est necessaire. Le fichier de configuration webserver.json ne contient que des ports, jamais d’IP, il n’exige donc aucun changement non plus.

3. Distribuez le nouveau certificat du serveur web a chaque composant

Copiez le config/ssl/certificates/webserver.pem nouvellement genere dans le magasin de certificats de chaque composant (chaque monitor et chaque integrateur) :

<repertoire_installation_composant>/config/ssl/certificates/webserver.pem

Sans le nouveau certificat dans son magasin, un composant rejettera la poignee de main TLS du serveur web.

4. Repointez et reenregistrez chaque composant

Sur chaque monitor et integrateur, executez sa propre commande migrate vers le nouveau point de terminaison du serveur web. Cela met a jour le composant pour atteindre le serveur web a sa nouvelle adresse et retransmet le certificat du composant.


# Monitor
monitor.exe migrate <nouvelle_ip_serveur_web>:<port_api_serveur_web> <jeton_api_serveur_web>

# Integrateur
integrator.exe migrate <nouvelle_ip_serveur_web>:<port_api_serveur_web> <jeton_api_serveur_web>

Ensuite, demarrez chaque composant et rechargez le magasin de certificats du serveur web, comme decrit dans les pages de migration monitor et integrateur.

5. Verifiez la communication

Confirmez que chaque composant atteint le serveur web a sa nouvelle IP et que le serveur web affiche les composants comme joignables / en ligne.

Deux noeuds « webserver » dans la topologie des composants ? C’est attendu en cours de migration. La topologie dessine un noeud de serveur web par point de terminaison distinct reference par les fiches des composants — chaque composant memorise le point de terminaison aupres duquel il s’est enregistre en dernier. Les composants deja migres pointent vers le noeud de la nouvelle IP ; ceux pas encore reenregistres pointent toujours vers le noeud de l’ancienne IP. Servez-vous-en comme indicateur d’avancement : les liens entrant dans l’ancien noeud montrent exactement quels composants restent a migrer. Une fois le dernier composant reenregistre (etape 4), l’ancien noeud disparait au rafraichissement suivant de la page.

Sans rapport avec cette procedure : les routines migrate_wmi_config.go / migrate_snmp_config.go a l’interieur du serveur web sont des migrations ponctuelles du schema de donnees des configurations de monitors stockees — elles n’ont rien a voir avec la migration d’IP ou de certificat.

Traductions

en: Migrate the webserver (IP change)

Migrer un integrateur

Securite