Host-Metriken mit dem Prometheus node_exporter bereitstellen: Collectors, Textfile Collector und Absicherung des Ports per Firewall

Ziel

CPU-, Speicher-, Disk-, Netzwerk- und weitere Metriken auf Host-Ebene eines Linux-Servers in einem Format bereitstellen, das Prometheus abrufen kann, einschliesslich eigener Werte, die ein lokales Skript berechnet. Der Metrik-Endpunkt soll dabei nicht über das Monitoring-System hinaus erreichbar sein.

Voraussetzungen

Ein Linux-Host mit wget/curl und tar; ein Prometheus-Server (oder ein kompatibler Scraper), der die Metriken abruft; die Möglichkeit, eine systemd-Unit und einen dedizierten Systembenutzer anzulegen.

Schritte

1. Das zu Betriebssystem und Architektur des Hosts passende Release von den Releases des Projekts herunterladen und entpacken, z. B. node_exporter-<version>.linux-amd64.tar.gz, wie in der Prometheus-Anleitung zum Node Exporter beschrieben.
2. Einen dedizierten, unprivilegierten Benutzer für den Prozess anlegen: useradd --system --no-create-home --shell /usr/sbin/nologin node_exporter. Die Binärdatei unter /usr/local/bin/node_exporter ablegen, mit root als Eigentümer und Modus 0755, damit das Dienstkonto seine eigene Binärdatei nicht ersetzen kann.
3. Eine systemd-Unit /etc/systemd/system/node_exporter.service anlegen, die die Binärdatei mit User=node_exporter, ExecStart=/usr/local/bin/node_exporter und Restart=on-failure als dieser Benutzer ausführt. Für die Standardeinstellungen sind keine Collector-Flags nötig, denn laut README sind unter Linux Collectors wie cpu, diskstats, filesystem, meminfo und loadavg standardmässig aktiviert.
4. Um einen eigenen Wert zu veröffentlichen (etwa den Zeitstempel des letzten erfolgreichen Backups oder die Restlaufzeit eines Zertifikats in Tagen), den Textfile Collector mit --collector.textfile.directory=/var/lib/node_exporter/textfile_collector in ExecStart auf ein Verzeichnis zeigen lassen (ohne dieses Flag tut der Collector nichts) und von einem Cronjob oder Skript dort *.prom-Dateien im Textformat von Prometheus (Text Exposition Format) schreiben lassen. Das Schreiben muss atomar erfolgen, wie im README gezeigt: zuerst in name.prom.$$ im selben Verzeichnis schreiben und dann per mv in name.prom umbenennen, damit ein Scrape nie eine halb geschriebene Datei liest.
5. Neu laden und starten: systemctl daemon-reload && systemctl enable --now node_exporter.
6. Laut README lauscht node_exporter standardmässig auf HTTP-Port 9100, und der Endpunkt hat keine eingebaute Authentifizierung, sofern nicht eine --web.config.file angegeben wird. Eingehenden Zugriff mit einer Host-Firewall-Regel beschränken, die auf Port 9100 nur die Adresse des Prometheus-Servers zulässt, z. B. mit nftables: nft insert rule inet filter input tcp dport 9100 ip saddr != <prometheus-ip> drop (setzt eine Tabelle inet filter mit einer Chain input voraus; insert platziert die Regel vor bestehenden accept-Regeln; sie greift nur für IPv4 und geht beim Neustart verloren, sofern sie nicht in /etc/nftables.conf eingetragen wird).
7. Prüfen: curl http://localhost:9100/metrics | grep node_ sollte Metrikfamilien mit dem Präfix node_ auflisten, so wie im Beispiel der Anleitung.

Erwartetes Ergebnis

Die systemd-Unit ist aktiv und aktiviert; curl auf Port 9100 liefert Metriken; der Port ist von allen Hosts ausser dem Prometheus-Server aus nicht erreichbar.

Grenzen und Prüfbasis

Basiert auf dem README des node_exporter und der Anleitung zum Node Exporter in der Prometheus-Dokumentation. Zum Rückgängigmachen systemctl disable --now node_exporter ausführen und die Unit-Datei sowie die Binärdatei entfernen. Der Betrieb der Binärdatei als root ist für die Standard-Collectors unnötig und vergrössert die Auswirkungen einer Schwachstelle im Exporter; den Exporter unter seinem eigenen Systembenutzer betreiben.