Exportar métricas del host con Prometheus node_exporter: collectors, textfile collector y cortafuegos para el puerto

Objetivo

Exponer métricas de CPU, memoria, disco, red y otras a nivel de host desde un servidor Linux, en un formato que Prometheus pueda recolectar (scrape), incluidos valores personalizados calculados por un script local, sin dejar el endpoint de métricas accesible más allá del sistema de monitorización.

Requisitos previos

Un host Linux con wget/curl y tar; un servidor Prometheus (o un scraper compatible) que se encargará de la recolección; y la posibilidad de añadir una unidad de systemd y un usuario de sistema dedicado.

Pasos

1. Descargue de la página de releases del proyecto la versión que corresponda al sistema operativo y a la arquitectura del host y descomprímala, por ejemplo node_exporter-<version>.linux-amd64.tar.gz, tal como describe la guía de Prometheus sobre Node Exporter.
2. Cree un usuario dedicado y sin privilegios para el proceso: useradd --system --no-create-home --shell /usr/sbin/nologin node_exporter, y coloque el binario en /usr/local/bin/node_exporter, con root como propietario y modo 0755, para que la cuenta del servicio no pueda sustituir su propio binario.
3. Cree una unidad de systemd /etc/systemd/system/node_exporter.service que ejecute el binario con ese usuario mediante User=node_exporter, ExecStart=/usr/local/bin/node_exporter y Restart=on-failure. No hacen falta flags de collectors para obtener la configuración por defecto, ya que el README indica que collectors como cpu, diskstats, filesystem, meminfo y loadavg están activados por defecto en Linux.
4. Para publicar un valor personalizado (la marca de tiempo del último backup correcto, los días que faltan para que caduque un certificado), indique al Textfile Collector un directorio con --collector.textfile.directory=/var/lib/node_exporter/textfile_collector en ExecStart (el collector no hace nada hasta que se define este flag) y haga que un trabajo de cron o un script escriba allí archivos *.prom en el formato de exposición de texto de Prometheus. Escriba de forma atómica, como muestra el README: escriba en name.prom.$$ dentro del mismo directorio y luego use mv para renombrarlo a name.prom, de modo que un scrape nunca lea un archivo a medio escribir.
5. Recargue e inicie el servicio: systemctl daemon-reload && systemctl enable --now node_exporter.
6. Según el README, node_exporter escucha por defecto en el puerto HTTP 9100, y el endpoint no tiene autenticación integrada salvo que se proporcione un --web.config.file. Restrinja el acceso entrante con una regla del cortafuegos del host que permita solo la dirección del servidor Prometheus en el puerto 9100, por ejemplo con nftables: nft insert rule inet filter input tcp dport 9100 ip saddr != <prometheus-ip> drop (supone una tabla inet filter con una cadena input; insert coloca la regla antes de las reglas accept existentes; solo coincide con IPv4 y se pierde al reiniciar a menos que se añada a /etc/nftables.conf).
7. Verifique: curl http://localhost:9100/metrics | grep node_ debería listar familias de métricas con el prefijo node_, según el propio ejemplo de la guía.

Resultado esperado

La unidad de systemd está activa y habilitada; curl contra el puerto 9100 devuelve métricas; y el puerto es inaccesible desde cualquier host que no sea el servidor Prometheus.

Límites y base de verificación

Basado en el README de node_exporter y en la guía de Node Exporter de la documentación de Prometheus. Para deshacer los cambios, ejecute systemctl disable --now node_exporter y elimine el archivo de la unidad y el binario. Ejecutar el binario como root es innecesario para los collectors por defecto y amplía el impacto de cualquier vulnerabilidad del exporter; manténgalo bajo su propio usuario de sistema.