5665 与 Icinga 2 集群
5665 是 Icinga 2 的 API 与集群通信默认端口：推送配置、查询状态、master 与 satellite 节点互联都走它。Icinga 2 用证书互信做节点认证，比 NRPE 时代的做法更安全——加入集群的节点需要持有由 CA 签发的证书，master 通过 API 下发配置并汇总检查结果。API 用户还区分只读与操作等角色，配置时最容易犯的错误是把权限一次给得过宽，让自动化脚本掌握了过大的操作能力。
基本信息
| 服务名 | Icinga 2（api / cluster） |
|---|---|
| 传输层 | TCP + TLS（5665） |
| 认证方式 | 节点证书互信 + API 用户与角色 |
| 对照方案 | NRPE 常用 5666，认证较弱 |
| 用途 | 配置分发、状态查询、集群互联 |
| 安全等级 | 仅监控网段 |
典型使用场景
- 监控集群排障：节点未上报时确认 API 可达性与证书状态
- 证书轮换：CA 或节点证书到期前完成更新，避免集中中断
- API 权限收敛：区分只读查询与操作类调用
- 节点扩缩容：新增 satellite 或 agent 时的注册与配置同步
- 资产核对：确认监控服务端口与网段划分
API 探测与核查
API 探测与核查
curl -k -u user:pass https://icinga01:5665/v1/status | head -c 200 # 探测 API
ss -lntp | grep 5665 # 服务端监听
openssl s_client -connect icinga01:5665 </dev/null 2>/dev/null | openssl x509 -noout -dates # 证书有效期
# 节点侧：确认证书由同一 CA 签发，且时间同步正常，否则集群握手失败Icinga 2 相关端口
| 端口 | 用途 | 说明 |
|---|---|---|
| 5665 | API 与集群通信 | 本条目，基于 TLS |
| 5666 | NRPE 检查 | 旧方案常见，认证能力弱 |
| 80 / 443 | Web 界面 | 通常经反向代理对外提供服务 |
| 数据库端口 | 状态存储 | 依所用数据库类型而定 |
API 权限要按用途划分：只读账号用于看板与告警联动，操作类账号只交给自动化系统，并限制来源地址。一次误调用就可能触发批量重检甚至误停服务。
集群规模上去以后，证书轮换需要按批次执行并保留回退路径：全部节点同时更新失败，会导致监控整体失联，而监控失联往往要到真正需要它报警时才会被发现。