HL-PRC-021 — Zabbix Agent 2 — déploiement sur Technitium DNS

PROCÉDURE TECHNIQUE

Déploiement de Zabbix Agent 2 sur Technitium DNS

Résolution du bouclage DNS local sous Debian 13 (Trixie), intégration du dépôt officiel Zabbix 7.0 LTS et raccordement actif.

Sommaire

Déploiement de Zabbix Agent 2 sur Technitium DNS — HL-PRC-021

1 Objet

Cette procédure formalise le déploiement, la configuration et le raccordement de l’agent de supervision Zabbix Agent 2 (version 7.0 LTS) sur l’instance hébergeant le serveur de noms principal Technitium DNS (technitium.srv.dozylab.lan, 10.10.20.11) au sein du réseau de serveurs (zone srv, VLAN 20). L’objectif opérationnel est d’assurer la collecte continue des métriques de santé matérielle et logicielle (charge processeur, allocation mémoire, saturation des descripteurs de fichiers, supervision du service réseau DNS sur le port UDP/TCP 53 et requêtes résolues) vers le serveur de supervision central Zabbix (10.10.20.16). L’agent est configuré en mode actif exclusif, éliminant l’ouverture de ports passifs sur le serveur de résolution du domaine dozylab.lan.

La difficulté principale traitée réside dans la gestion d’un blocage critique d’amorçage (boucle de dépendance DNS) propre aux serveurs DNS auto-hébergés sous Debian 13 (Trixie). Le résolveur système /etc/resolv.conf pointant vers la boucle locale (127.0.0.1), toute défaillance ou transition de service du démon Technitium provoque l’incapacité immédiate pour le gestionnaire de paquets apt de résoudre les dépôts Debian (« Temporary failure resolving deb.debian.org » et « security.debian.org »). Ce défaut interrompt le téléchargement des paquets (« Failed to fetch »), laissant le service zabbix-agent2 absent (« Unit zabbix-agent2.service not found »). Par ailleurs, les extensions modulaires de base de données ne sont pas intégrées dans les dépôts upstream de Debian 13 (« Unable to locate package zabbix-agent2-plugin-* »). La procédure détaille l’isolation temporaire du résolveur de secours, l’adjonction du dépôt officiel Zabbix 7.0 LTS pour Debian 13, la mise en place du démon, la stabilisation de Technitium DNS et le rétablissement de la résolution récursive locale.

2 Périmètre et prérequis

Périmètre

• Périmètre couvert : contournement temporaire de la boucle de résolution locale via résolveurs récursifs publics amont ; intégration du dépôt officiel Zabbix 7.0 LTS (paquet zabbix-release_latest+debian13_all.deb) sur Debian 13 (Trixie) ; installation du paquet zabbix-agent2 et de ses dépendances d’exécution ; configuration du fichier /etc/zabbix/zabbix_agent2.conf en mode actif (ServerActive=10.10.20.16) ; activation et démarrage de l’unité systemd zabbix-agent2.service ; audit des conflits d’écoute sur le port 53 (neutralisation de systemd-resolved le cas échéant) ; validation du bon fonctionnement de Technitium DNS et rétablissement du résolveur /etc/resolv.conf vers 127.0.0.1 ; contrôle de l’ingestion des métriques sur l’interface web de Zabbix Server.

• Hors périmètre : déploiement initial et configuration des zones d’autorité directes (dozylab.lan) et inverses (20.10.10.in-addr.arpa) sous Technitium DNS (couverts par HL-PRC-004) ; configuration matérielle du commutateur Cisco SF302-08PP (HL-PRC-002) ; administration générale du serveur central Zabbix et conception des tableaux de bord graphiques ; routage des notifications d’alerte vers des canaux externes (webhooks ou courriels).

Prérequis

• Accès système privilégié : accès interactif root en ligne de commande (SSH ou console Proxmox VE) sur l’hôte Technitium (aucun sudo).

• Hôte DNS cible : machine virtuelle ou conteneur sous Debian 13 (Trixie) hébergeant Technitium DNS Server, configuré avec l’adresse statique 10.10.20.11/24.

• Serveur de supervision : serveur Zabbix 7.0 LTS opérationnel sur 10.10.20.16 (zone srv), port TCP 10051 (Zabbix Trapper) ouvert et joignable.

• Connectivité Internet : flux sortants HTTP (TCP 80) et HTTPS (TCP 443) autorisés depuis la zone srv vers les dépôts deb.debian.org et repo.zabbix.com via le pare-feu Juniper SRX300.

• Utilitaires d’administration : présence des commandes wget, curl, dpkg, ss (iproute2) et nslookup / dig (dnsutils).

Note Environnement validé sur le banc d’essai : Instance Debian 13 (Trixie) amd64 hébergeant Technitium DNS Server v13.x (service technitium-dns) sur IP 10.10.20.11 ; Zabbix Agent 2 version 7.0.x LTS issu du dépôt officiel Zabbix Debian 13 ; serveur Zabbix 7.0 LTS (10.10.20.16) ; pare-feu Juniper SRX300 (Junos OS 21.4R3). Intervention réelle exécutée et formalisée le 02/11/2026.

3 Rôles et responsabilités

Note Organisation Homelab individuel : Au sein de l’infrastructure DozyLab, l’ensemble de ces prérogatives est exercé par l’administrateur unique.

4 Procédure de déploiement et de remédiation

Paramètres de la procédure

Attention Substitution des paramètres : Les blocs de commandes ci-dessous emploient directement les valeurs réelles de l’infrastructure DozyLab. Toute adaptation vers un autre environnement requiert le remplacement préalable des adresses IP et noms d’hôtes avant exécution.

Inventaire des composants de l’instance

Étapes d’exécution

1. Contournement temporaire du bouclage DNS local

Sur un serveur hébergeant son propre résolveur DNS, le fichier /etc/resolv.conf est configuré pour interroger l’adresse de bouclage locale 127.0.0.1. Lorsque le service Technitium DNS est inopérant, en cours de déploiement ou non encore raccordé à ses redirecteurs amont, le système d’exploitation se trouve dans l’incapacité totale de résoudre les noms de domaine Internet. Le gestionnaire de paquets apt échoue alors systématiquement avec l’erreur « Temporary failure resolving deb.debian.org » et « security.debian.org ». Pour rétablir immédiatement l’accès aux dépôts logiciels externes, substituer temporairement des serveurs récursifs publics dans la configuration du résolveur :

cat << 'EOF' > /etc/resolv.conf
nameserver 1.1.1.1
nameserver 8.8.8.8
EOF

Valider la connectivité et la résolution de noms immédiate en envoyant des paquets ICMP vers un miroir Debian :

ping -c 2 deb.debian.org
PING debian.map.fastlydns.net (151.101.130.132) 56(84) bytes of data.
64 bytes from 151.101.130.132: icmp_seq=1 ttl=59 time=12.4 ms
64 bytes from 151.101.130.132: icmp_seq=2 ttl=59 time=12.1 ms

— debian.map.fastlydns.net ping statistics —
2 packets transmitted, 2 received, 0% packet loss, time 1002ms

2. Intégration du dépôt officiel Zabbix 7.0 LTS pour Debian 13

Bien que la branche Debian 13 (Trixie) intègre un paquet natif zabbix-agent2 dans ses dépôts principaux, celui-ci correspond à une construction communautaire dissociée des dépôts de l’éditeur. Cette dissociation empêche la mise à disposition des greffons modulaires officiels (tels que zabbix-agent2-plugin-mongodb, mssql ou postgresql), générant l’erreur critique « Unable to locate package zabbix-agent2-plugin-* ». Pour garantir le suivi des versions LTS, télécharger et installer le paquet de configuration de dépôt officiel Zabbix :

# Téléchargement du paquet de configuration du dépôt officiel Zabbix pour Debian 13
wget https://repo.zabbix.com/zabbix/7.0/debian/pool/main/z/zabbix-release/zabbix-release_latest+debian13_all.deb

# Installation du paquet et injection de la clé GPG / liste APT
dpkg -i zabbix-release_latest+debian13_all.deb

# Actualisation des index de paquets
apt update

Contrôler la bonne prise en compte du dépôt officiel et l’origine du paquet candidat Zabbix :

apt-cache policy zabbix-agent2
zabbix-agent2:
Installé : (aucun)
Candidat : 1:7.0.5-1+debian13
Table de version :
1:7.0.5-1+debian13 500
500 https://repo.zabbix.com/zabbix/7.0/debian trixie/main amd64 Packages

3. Installation de Zabbix Agent 2 et des extensions requises

Installer le démon Zabbix Agent 2. Le paquet installe l’exécutable compilé en Go, l’arborescence /etc/zabbix, l’utilisateur système dédié zabbix et l’unité de service systemd. Si l’instance Technitium accueille des moteurs de base de données ou doit disposer de la suite modulaire complète, ajouter les greffons correspondants :

apt install -y zabbix-agent2

Dans l’éventualité où des bases de données spécifiques seraient rattachées ou supervisées sur ce nœud, les extensions modulaires officielles peuvent être provisionnées conjointement sans erreur de dépendance :

# Installation optionnelle des greffons de bases de données (si requis)
apt install -y zabbix-agent2-plugin-postgresql zabbix-agent2-plugin-mongodb zabbix-agent2-plugin-mssql

Vérifier la présence du binaire et son numéro de version officielle :

zabbix_agent2 -V
zabbix_agent2 (Zabbix) 7.0.5
Revision e7b399120e2 21 October 2024, compilation time Oct 21 2024 10:15:20

4. Configuration de Zabbix Agent 2 en mode actif

Sauvegarder le fichier de configuration d’origine avant toute édition. Conformément à la doctrine DozyLab appliquée sur les nœuds Proxmox (HL-PRC-010), l’agent est configuré en mode actif exclusif vers l’adresse du serveur central 10.10.20.16. Le paramètre Hostname doit correspondre exactement au nom de l’hôte enregistré dans la console web Zabbix :

cp /etc/zabbix/zabbix_agent2.conf /etc/zabbix/zabbix_agent2.conf.orig

# Définition du serveur actif et passif
sed -i 's/^Server=127.0.0.1/Server=10.10.20.16/' /etc/zabbix/zabbix_agent2.conf
sed -i 's/^ServerActive=127.0.0.1/ServerActive=10.10.20.16/' /etc/zabbix/zabbix_agent2.conf
sed -i 's/^Hostname=Zabbix server/Hostname=technitium.srv.dozylab.lan/' /etc/zabbix/zabbix_agent2.conf

Vérifier l’exactitude des directives modifiées dans le fichier de configuration :

grep -E '^(Server|ServerActive|Hostname)=' /etc/zabbix/zabbix_agent2.conf
Server=10.10.20.16
ServerActive=10.10.20.16
Hostname=technitium.srv.dozylab.lan

5. Activation et démarrage du service systemd

Recharger le gestionnaire systemd pour prendre en compte la nouvelle unité, activer le démarrage automatique du service au démarrage de l’instance, puis lancer l’exécution du démon zabbix-agent2 :

systemctl daemon-reload
systemctl enable --now zabbix-agent2
systemctl status zabbix-agent2 --no-pager

Valider que le service est actif et en cours d’exécution nominale :

systemctl is-active zabbix-agent2
active

6. Diagnostic de Technitium DNS et rétablissement du résolveur local

Avant de réaffecter /etc/resolv.conf sur la boucle locale 127.0.0.1, vérifier impérativement l’état de Technitium DNS. Sous Debian, le démon natif systemd-resolved peut entrer en compétition sur le port UDP/TCP 53. Si systemd-resolved écoute sur le port 53, il doit être désactivé pour laisser l’exclusivité du port à Technitium :

# Vérification de l’occupation du port 53
ss -tulpn | grep :53

# En cas de conflit avec systemd-resolved, le désactiver :
# systemctl stop systemd-resolved && systemctl disable systemd-resolved

# Contrôle du statut du service Technitium DNS
systemctl status technitium-dns --no-pager

# Test de résolution directe sur le service local
nslookup deb.debian.org 127.0.0.1

Une fois Technitium DNS validé, rétablir la configuration de production dans /etc/resolv.conf pointant sur 127.0.0.1 avec des paramètres de délai de garde :

cat << 'EOF' > /etc/resolv.conf
nameserver 127.0.0.1
options timeout:2 attempts:2
EOF

Valider la résolution nominale du nom FQDN du serveur et d’un domaine public à travers le résolveur local restauré :

nslookup technitium.srv.dozylab.lan
Server: 127.0.0.1
Address: 127.0.0.1#53

Name: technitium.srv.dozylab.lan
Address: 10.10.20.11

7. Validation des flux de collecte vers le serveur Zabbix

Contrôler la connectivité réseau TCP sortante vers le port d’écoute 10051 du serveur central Zabbix (10.10.20.16) et vérifier l’absence d’erreurs de communication dans le journal de l’agent :

nc -zv -w 3 10.10.20.16 10051
Connection to 10.10.20.16 10051 port [tcp/*] succeeded!

Inspecter les vingt dernières lignes du journal de Zabbix Agent 2 pour confirmer l’initialisation des vérifications actives :

tail -n 20 /var/log/zabbix/zabbix_agent2.log
Starting Zabbix Agent 2 [technitium.srv.dozylab.lan]. (7.0.5)
using configuration file: /etc/zabbix/zabbix_agent2.conf
agent #0 started [main process]
active checks #1 started [process #1]
active check configuration update from [10.10.20.16:10051] started to fail (none) / processed successfully

Retour arrière

Pièges connus

5 Intégration réseau

Cartographie des instances et interfaces réseau

Matrice des flux réseau de supervision et de résolution

Analyse des points de défaillance uniques (SPOF)

• Point de défaillance unique d’infrastructure (SPOF) : l’instance Technitium DNS (10.10.20.11) centralise l’intégralité de la résolution d’autorité (zone dozylab.lan) et de la résolution récursive du homelab. Tout arrêt du service isole immédiatement les hôtes de gestion, les hyperviseurs Proxmox, le reverse proxy NPM et le stockage PBS des services tiers. La mise en place de la supervision Zabbix Agent 2 permet une alerte proactive en cas de dégradation précoce du service.

6 Durcissement et sécurité

Mesures de sécurisation appliquées

• Confinement en mode actif exclusif : l’agent Zabbix 2 initie les flux sortants vers le port TCP 10051 du serveur de supervision. Aucun port passif d’écoute TCP 10050 n’est exposé sur le réseau local, limitant la surface d’exposition du serveur critique DNS.

• Exécution sous compte à privilèges réduits : le processus zabbix-agent2 s’exécute sous l’identité non privilégiée zabbix:zabbix. Les droits sur les répertoires de configuration (/etc/zabbix) sont verrouillés en 750 / 640.

• Protection contre l’amplification DNS : la configuration de Technitium DNS restreint les requêtes récursives aux seuls sous-réseaux internes autorisés (10.10.0.0/16), bloquant toute tentative d’exploitation en relais ouvert.

• Isolement d’administration de la console web : l’interface de gestion HTTP/HTTPS (port TCP 5380) est filtrée par le pare-feu Juniper SRX300, réservant l’accès aux seules machines du réseau d’administration (zone adm).

Dettes techniques

7 Vérifications finales

8 Références et historique des révisions

Documentation éditeur

• Zabbix LLC : Zabbix Documentation 7.0 LTS – Zabbix Agent 2 Architecture, directives de configuration et fonctionnement actif.

• Zabbix LLC : Zabbix Official Repositories – Guide de déploiement des paquets zabbix-release sur Debian 13 (Trixie).

• Technitium : Technitium DNS Server Administration Manual – Paramétrage des redirecteurs récursifs et cohabitation port 53.

• Debian Project : Debian GNU/Linux System Administration – Gestion du résolveur statique /etc/resolv.conf et dépôts APT.

Documents associés

• HL-PRC-001 : Mise en service du pare-feu Juniper SRX300.

• HL-PRC-004 : Technitium DNS (configuration des zones et autorité).

• HL-PRC-010 : Supervision des nœuds Proxmox VE par Zabbix Agent.

Historique des révisions