多云虚拟机统一监控功能详解

本文主要通过总体介绍、核心监控Agent介绍、总结和演示三个部分为大家解析多云虚拟机统一监控的功能。

1、多云虚拟机统一监控

首先，作为一个多云管理平台，统一监控是一个非常必要且重要的功能。

1）架构

云联壹云一直都有统一监控的功能，主要是搜集各个基础设施的监控信息，然后进行统计。

2）过去的实现

之前，进行监控查询、监控报警、监控运维的实现方式是调用各个云厂商的云API，获取其监控数据，这样的实现比较简单自然。

但是缺点也很明显：

第一，监控数据的不统一。阿里云的监控数据和腾讯云的监控数据虽然大体上一致，但是也会有不同之处。

第二，调用云API时，会有调用次数限制。比如阿里云的API会限制每天的调用次数，若调用次数超过限制值，则会导致无法获取数据，所以只能调高调用的间隔，这可能会造成一些数据的缺失。

第三，监控数据的延迟比较高。一方面是因为次数的限制导致它的间隔要调大，我们要不断拉下来，相当于是二手数据，延迟较高，对于告警等会有阻碍作用，因为告警需要即时的数据。

3）现在的实现

现在的实现是给多云虚拟机安装监控Agent，监控Agent会在虚拟机上收集监控数据，然后主动将数据push到云联壹云的数据库中，如此上述的三个缺点即可克服。

因为每个虚拟机都有统一的Agent，所以最终得到的数据也是统一的。

由于不通过云厂商的API，所以也没有调用次数的限制。

是Agent主动push数据，我们也可以控制延迟。

现在的实现是通过监控Agent来做多云虚拟机的统一监控，下面为大家重点介绍监控Agent。

2、监控Agent

监控Agent是运行在虚拟机上的daemon，它的作用是采集监控数据，并把数据传回到云联壹云的influxdb中。

那么如何将Agent安装到虚拟机中？如何让它采集数据？如何把数据传回来？

下面分三点为大家介绍一下整个实现。

1）为虚拟机安装Agent

我们采用Ansible为虚拟机安装Agent。

使用Ansible给这个云上的VPC内部的虚拟机装Agent，需要解决两个比较重点的问题：

第一，怎样确保云联壹云中的这个Ansible组件能够连接到云上的VPC内部的虚拟机，因为网络可能是不通的，VPC内部的网络是一个隔离的网络，所以不一定能够直接连接上。

第二，连接好之后，还需要登录才能使用Ansible安装，如何保证能够登录。

（1）如何登录

关于登录的问题，先假设云联壹云已经能够连接到虚拟机，比如通过NAT网关或者虚拟机已经绑定了EIP等。

登录的问题分为两种，第一种是机器本身就是通过云联壹云平台创建出来的，在这种情况下，登录的问题便已经解决。因为云联壹云平台的虚拟机本身是满足的，云联壹云会在虚拟机上自动创建一个cloudroot用户，cloudroot用户可以通过公钥登录，私钥存储在本地数据库。

但是很多的情况与上述情况不同，比如阿里云的账号刚纳管进来，这些虚拟机都是从阿里云上拉取的数据，这种情况下，并不能满足直接登录的要求。

（2）用户协助配置免密登录

此种情况下需要用户帮助云联壹云配置免密登录，用户协助配置免密登录有两种方式：

第一，用户先暂时告知虚拟机的用户名、密码，使云联壹云能够暂时登录到虚拟机。

云联壹云会使用ansible在目标虚拟机上创建cloudroot用户，设置公钥登录，这样就能满足直接登录的需求。

第二，是直接将此脚本展示给用户，用户只需要把脚本拷贝到自己的虚拟机上去运行，也能达到上述效果，云联壹云也能够免密登录到虚拟机上。

解决了登录问题之后，Agent便可以安装。

当然问题解决的前提是我们之前的假设成立，即连接问题已经解决，网络是通的。

如果网络不通，我们可以使用SSH代理，具体来说是Local Port Forwarding。

（3）Local Port Forwarding介绍

假设网络A和网络B是两个隔离的网络，如果想让VMA能够访问VMB上监听在80端口的web服务应该怎么办？

VMB没有公网IP，只有一个内网IP，我们需要建两个代理。

可以在网络A中建proxyA ，在网络B中建proxyB，proxyB一定要有公网，要使网络A能够访问到proxyB，这时就可以用SSH Local Port Forwarding做一个SSH代理，需要在proxyA上执行这个命令，这个命令就是要建立一个Local Port Forwarding，然后在后台执行。

其实可以分两部分，在第二个冒号之前的部分，是本地有proxyA这里的IP加端口。

冒号之后是在远端实际要访问的IP加端口。

后面的cloudroot是proxyB的登录用户和proxyB的IP。

执行此命令要求proxyA能够以cloudroot的用户正常登录到proxyB上，这可以通过上文讲到的登录方法来解决。

VMA只要访问10.127.30.251：12345就能访问VMB上的web服务。

下面简单地了解一下过程，

在proxyA上执行这个命令之后，首先会在proxyA和proxyB之间建立一个SSH隧道，并在proxyA上创建一个port forwarding，它将监听10.127.30.251：12345，一旦有请求发来，就会通过SSH隧道转发到proxyB，proxyB会将请求转发到172.31.25.194：80。

VMA只要访问10.127.30.251:12345就能访问VMB上的web服务。

（4）云联壹云连接到VPC内部虚拟机

下面将场景进行带入，首先云联壹云内部有一个Ansible组件，阿里云内部有一个需要装Agent的目标虚拟机。

在云联壹云内部做proxy服务，然后在阿里云的VPC内部找一台虚拟机，称之为proxyVM，它要满足两个条件，第一个条件是能够被云联壹云访问，第二点是它能够访问到目标虚拟机，如此即可做Local Port Forwarding。

只需要在proxy上执行刚才的命令，Ansible组件只要访问proxy，就能通过代理访问到目标虚拟机，如此一来即可连接到目标虚拟机进行安装的工作。连接问题和登录问题解决之后，Ansible组件即可正常地将监控Agent安装到虚拟机上。

2）监控Agent如何收集数据

第一版的监控Agent其实是Telegraf，定制配置文件，满足采集数据的需求。

Telegraf是一个开源项目，它的目的是收集、处理、聚合和编写指标的Agent。Telegraf可以灵活地配置，采集什么样的数据，将数据送到哪里，数据添加等。

以下是为每台虚拟机自动生成的配置大体的状况，比如第一页是[global_tags]，通过添加标签，例如vm_name=”correhost”表明虚拟机的名称，通过添加标签还可以了解到区域，项目、平台等信息。

查看时即可通过标签查看，查看某个平台或项目都可以做到，另外两个配置比较重要，分别是INPUTS和OUTPUTS。

INPUTS表示都需要什么样的数据，例如第一条inputs.cpu表示需要cpu相关的数据。

OUTPUTS表明数据要送往哪里，这里表示要送到influxdb中。

总之，我们使用telegraf，然后定制一下配置文件，这样就可以达到作为监控Agent的要求

3）监控Agent如何将数据传回来？

这个问题的本质是如何使虚拟机上的Agent服务能够访问到云联壹云中的InfluxDB，这也可以分为两种情况，第一种情况比较简单，能够直接连接，否则，还是使用SSH代理，具体来说是Remote Port forwarding。

（1）SSH Remote Port forwarding 介绍

本次是要网络B中的虚拟机访问网络A中的服务，此时应在 proxyA 上执行：

ssh-NfR172.31.25.194:12345:10.127.40.251:30086 cloudroot@140.179.54.109

执行上述命令要求 proxyA 能够以 cloudroot 用户正常登录到 proxyB 上，这个可以通过之前讲到的登录方法来解决。

在执行命令之后，proxyA和proxyB之间会建立一条SSH隧道。

port forwarding现在会建在proxyB上，会在 proxyA 和 proxyB 之间建立 SSH隧道，并在 proxyB 上创建一个 port forwarding，它将监听 172.31.25.194:12345，一旦有请求发来，就会通过 SSH 隧道转发到 proxyA，proxyA 会把请求转发到10.172.40.251:80

通过上面的方式，网络B 内部的 VMB 只要访问172.31.25.194:12345 就可以访问到 DB。

（2）通过代理传输数据

整个路线图和刚才类似，SSH隧道仍然需要在两者之间建立，虚拟机可以直接访问proxyVM将数据回传。