Klare Sicht aufs Netzwerk

von Martin Loschwitz

Datacenter Inventory Management und IP Address Management sind wichtige Aufgaben im modernen Rechenzentrum, doch vielerorts behandeln Administratoren sie stiefmütterlich. Netbox bietet einen Ausweg: Das Werkzeug kombiniert beide Faktoren und ermöglicht es, Server mit allen verbauten Netzwerkschnittstellen und die damit verbundenen IP-Adressen zentral zu speichern und zu verwalten. Wir zeigen, wie Sie einen gelungenen Kickstart mit Netbox hinlegen.

Möglicherweise gibt es sie auch in Ihrem Unternehmen, die berüchtigte "Excel-Tabelle des Grauens": In solch einer Auflistung verwalten noch immer zahlreiche Firmen ihre intern wie extern genutzten IP-Adressen. Der Ansatz stammt aus den frühen 2000er-Jahren, als die professionellen Werkzeuge für Datacenter Inventory Management (DCIM) und IP Address Management (IPAM) der Gegenwart noch nicht mal ein kühner Plan im Kopf ihrer künftigen Entwickler waren. Stattdessen war Improvisation angesagt. Damit nämlich dieselbe (lokale) IP-Adresse nicht versehentlich doppelt zum Einsatz kommt und Verwirrung und Chaos stiftet, musste irgendein Tracking-Werkzeug her. Der Rest ist Geschichte: Irgendwann existierten von der Excel-Datei 20 verschiedene Versionen auf den Festplatten von 20 verschiedenen Mitarbeitern, keine davon war vollständig richtig und das Chaos bahnte sich trotzdem seinen Weg. Und weil nichts länger hält als ein Provisorium, basteln gerade kleinere Unternehmen bis heute auf diese Art und Weise ihr Inventarisierungs- und IP-Adressmanagement zusammen.

Spaß macht das naturgemäß nicht, und notwendig ist es 2023 auch nicht mehr. Am Markt existiert eine Vielzahl von Werkzeugen, die DCIM und IPAM zufriedenstellend erledigen. Schon deutlich kleiner ist die Zahl der Werkzeuge, die beide Faktoren gekonnt miteinander verbinden. Eine Art Pionier auf diesem Gebiet war Netbox. Diese Software haben Netzwerker seinerzeit erdacht, damit das Inventarisierungstool speziell auch deren besonderen Bedürfnisse adressiert. Zwischenzeitlich haben etliche angestammte DCIM-Werkzeuge IPAM-Fähigkeiten nachgerüstet. Netbox gilt trotzdem bis heute als eine besondere Software, denn sie bietet die umfassendste Integration von DCIM und IPAM. Das ist auch anderen Firmen aufgefallen: NS1, die Firma hinter Netbox, gehört seit Anfang des Jahres zu IBM.

Einen Haken gibt es bei Netbox allerdings auch, denn die Konfiguration und erstmalige Einrichtung des Werkzeugs sind nicht ganz trivial. Das gilt umso mehr, da die Netbox-Entwickler auf die Installation als klassischen Systemdienst setzen statt Container zu bevorzugen, wie es heute üblich ist. Unter der Haube benötigt Netbox ein paar Dienste: PostgreSQL und Redis sowie Gunicorn stehen auf der Liste der geforderten Services. Obendrein ist die Installation von Netbox bis zum Funktionieren nur der erste Schritt, dem sich im zweiten Schritt die Einrichtung der nötigen Parameter und Ressourcen anschließt. Dieser Artikel zeigt, wie Sie mit Netbox an den Start gehen, um eine eventuell noch vorhandene Excel-Liste des Grauens endgültig in den Ruhestand zu verabschieden.

Nötiges Beiwerk

Am Anfang der Arbeit steht wie fast überall auch bei Netbox die Installation des Werkzeugs. Dabei ist wie erwähnt bemerkenswert, dass die Entwickler nicht auf einen Container-basierten Deployment-Ansatz setzen. Stattdessen sollen Admins das Werkzeug als normalen Dienst ohne Container auf ihren Systemen ausrollen. Fast mehr Aufwand als Netbox selbst verursacht bei der Installation allerdings das Beiwerk, das Netbox zum Funktionieren benötigt. Dazu gehört PostgreSQL ebenso wie Redis. Das folgende Beispiel dokumentiert die Netbox-Installation auf Ubuntu 22.04, also der aktuellen LTS-Distribution von Canonical. Auch auf RHEL-basierten Systemen lässt sich Netbox mit denselben Methoden aufspielen und auf Debian funktionieren die gezeigten Arbeitsschritte ebenfalls. Obendrein ist ein SLES-basiertes Setup möglich, hier ist allerdings etwas mehr Bastelei nötig.

Im ersten Schritt vollziehen Sie die Installation von PostgreSQL. Dazu genügt auf einem Ubuntu-System das Kommando sudo apt update && sudo apt install -y postgresql. Netbox benötigt dabei zwingend PostgreSQL 11 oder neuer. Wer also noch auf sehr alten Systemen unterwegs ist, verlagert Netbox möglicherweise besser in eine virtuelle Instanz mit aktueller Software. Nach der Installation der Pakete öffnet das Kommando sudo -u postgres psql eine PostgreSQL-Shell. In dieser erstellen die drei Befehle

die nötige Datenbankinfrastruktur innerhalb von PostgreSQL. Anschließend sollte das Komando sudo -u postgresql psql --username netbox --password --host localhost netbox nach Eingabe des Passworts eine PostgreSQL-Shell öffnen, und der Befehl \conninfo sollte zeigen, dass Sie als Benutzer "netbox" erfolgreich mit PostgreSQL verbunden sind. Die Redis-Installation gestaltet sich ähnlich trivial, hier genügt der Befehl sudo apt install -y redis-server, um die nötige Software auf das Systemlaufwerk zu bügeln. Das Kommando redis-cli ping sollte anschließend eine erfolgreiche Verbindung zu Redis dokumentieren.

Netbox installieren

Nun steht die Installation von Netbox selbst an. Hierfür benötigen Sie mindestens Python 3.8 oder eine neuere Version der Programmiersprache. Ist diese vorhanden, installieren Sie zunächst mittels

die benötigten Abhängigkeiten. Das ist notwendig, weil von Netbox selbst keine entsprechend vorbereiteten Pakete zur Verfügung stehen – weder im DEB- noch im RPM-Format. Daraus ergeben sich für Sie als Admin allerdings auch zwei Optionen: Sie können entweder eine offiziell veröffentlichte Version von Netbox herunterladen und nutzen. Das sorgt dafür, dass Sie den gesamten Prozess später wiederholen müssen, wenn eine neue Netbox-Version erscheint.

Bequemer ist es, Netbox aus dem Git-Verzeichnis heraus zu verwenden. Dann genügt später ein git pull auf den "master"-Branch der Software. Das Beispiel nutzt diese Variante, die sich qualitativ von der anderen aber nicht unterscheidet. Das Ergebnis ist in beiden Fällen eine lauffähige Netbox-Version. Die zweite Variante ist lediglich etwas komfortabler. Der erste Schritt des Prozesses besteht darin, für Netbox ein Basisverzeichnis anzulegen, innerhalb dessen seine Baudateien liegen:

Anschließend installieren Sie mittels sudo apt install -y git Git und klonen den aktuellen Quelltext von Netbox mittels sudo git clone -b master --depth 1 https://github. com/netbox-community/netbox.git. Danach steht das Anlegen eines Dienstezugangs für Netbox auf dem System an. Zusätzlich ist das zuvor angelegte Arbeitsverzeichnis für Netbox mit den richtigen Zugangsberechtigungen auszustatten, damit der Netbox-Systembenutzer Zugriff darauf erhält:

Weil Netbox auf Python basiert, ist kein klassischer Kompilierprozess nötig. Nach dem Herunterladen der Netbox-Quellen aus Git steht deshalb unmittelbar dessen Konfiguration an. Die beispielhafte Konfigurationsdatei des Werkzeugs kopieren Sie mit den folgenden beiden Kommandos an die passende Stelle:

Im Anschluss sind mindestens vier Parameter in der Konfigurationsdatei zu ändern. Der erste Parameter ist "ALLOWED_HOSTS". Dieser zieht allerdings nicht, wie sich vermuten ließe, eine Art Sicherheitsnetz für den Zugriff auf Netbox ein. Stattdessen geht es um die Validierung von HTTP-Headern, die Netbox nur durchführen kann, wenn hier die passenden Einträge hinterlegt sind. Zu diesem Zeitpunkt sollten Sie zumindest die IP-Adresse mitsamt Hostnamen kennen, die Netbox selber nutzt. Diese sind als Array in "ALLOWED_HOSTS" zu hinterlegen, beispielsweise

Alternativ ermöglicht der Wert "['*']" jeden HTTP-Header. Wenn die HTTP-Konfiguration abgeschlossen ist, folgt im nächsten Schritt die Konfiguration der Verbindung zu PostgreSQL. Die ist im Array "DATABASE" hinterlegt. Haben Sie sich an das Beispiel gehalten, ist nur der Wert hinter "PASSWORD" sowie "USER" durch das gewählte Passwort und "netbox" zu ersetzen. Die anderen genutzten Standardparameter sind deckungsgleich mit diesem Beispiel. Noch einfacher ist die ebenfalls benötigte Konfiguration der Zugangsdaten zu Redis in "REDIS". Weil in der Standardkonfiguration von Redis weder ein Benutzername noch ein Passwort für den Zugang zum Dienst nötig ist, müssen Sie in unserem Beispiel an "REDIS" aus der Beispielkonfiguration nichts verändern.

Für das Hashing von Werten benötigt Netbox obendrein ein Salt als geheimen Schlüssel. Den generieren Sie mittels eines beigelegten Skripts, das Sie per python3 ../generate_secret_key.py aufrufen. Der Schlüssel, den das Skript ausgibt, ist hinterher in der Konfiguration bei "SECRET_KEY" einzutragen. Im Anschluss folgt das eigentliche Deployment von Netbox. Zu diesem Zweck kommt das Tool mit einem Skript daher, das eine virtuelle Python-Umgebung anlegt, darin alle benötigten Module installiert und den Dienst für die Nutzung vorbereitet. Der Befehl sudo /opt/netbox/upgrade.sh stößt den Vorgang an. Ob der Vorgang funktioniert hat, merken Sie daran, dass nach dem Ausführen des Befehls "venv" im Prompt seiner Kommandozeile steht. Wenn das funktioniert hat, legen Sie noch einen Netbox-Superuser an:

Zusätzlich kommt Netbox mit einem Cron-Skript daher, das im Hintergrund Hausmeisterarbeit erledigt, etwa das Löschen ausgelaufener Einträge in der Netbox-Datenbank. Damit das Skript arbeiten kann, muss der Administrator es allerdings aktivieren. Der folgende Befehl erledigt genau das:

Ein Königreich für einen Webserver

Netbox selbst ist damit theoretisch einsatzbereit, es fehlt aber noch Gunicorn als Server für den dauerhaften Betrieb des Diensts. Gunicorn ist quasi der Standard, um Django-Dienste wie Netbox zu betreiben. Das Gunicorn-Paket holt Netbox dabei bereits automatisch auf das System. Sie müssen danach allerdings noch die Verbindung zwischen Gunicorn und Netbox herstellen und Gunicorn mittels einer Systemd-Unit in den Dauerbetrieb versetzen:

Das Kommando systemctl status netbox.service sollte Netbox anschließend als "active" darstellen. Fertig sind Sie damit aber noch immer nicht. Denn zusätzlich zu Gunicorn, das die eigentliche Netbox-Anwendung betreibt, ist noch ein Webserver nötig, der die Verbindung zur Netbox-Instanz via Gunicorn herstellt. Dafür können Nginx wie Apache zum Einsatz kommen; das folgende Beispiel setzt auf Nginx.

Achten Sie darauf, Netbox unbedingt mittels SSL abzusichern, damit Bösewichte den Datenverkehr der Instanz und mithin die übermittelten Passwörter von Benutzern nicht im Klartext mitlesen können. Dazu gibt es naturgemäß mehrere Möglichkeiten, etwa die Terminierung von SSL auf einem vorgeschalteten Loadbalancer oder die direkte Unterstützung von SSL im Webserver. Das folgende Beispiel geht davon aus, dass für den Netbox-Hostnamen ("netbox.example.net") ein SSL-Zertifikat sowie der dazu gehörende SSL-Schlüssel vorliegen. Der Rest der Aufgabe ist dann nach Schema F zu erledigen:

In "/etc/nginx/sites-available/netbox" hinterlegen Sie für den virtuellen Host danach die Pfade zu den SSL-Dateien. Der Befehl sudo systemctl restart nginx schließlich aktiviert die neue Konfiguration in Netbox und nimmt den Dienst online. Anschließend sollten Sie in der Lage sein, den Hostnamen der Netbox-Instanz in einem Browser zu öffnen und sich dort mit den Credentials des zuvor angelegten Netbox-Superusers einzuloggen. Die Netbox-Installation ist also abgeschlossen.

Mühsame Ersteinrichtung

Grund zur Freude ist das allerdings noch nicht, denn nach der Netbox-Installation geht aus Admin-Sicht die eigentliche Arbeit erst richtig los. So gilt es, die im Unternehmen existierenden Quellen für IP- und Inventarinformationen ausfindig zu machen und umfassend auszuwerten sowie zu konsolidieren. Der konsolidierte Datensatz ist anschließend quasi als Ersteinrichtung in Netbox zu hinterlegen. Nur so ist dieses in der Lage, seiner Aufgabe als "Single Point of Truth" adäquat nachzukommen. Immerhin: Netbox unterstüzt den Admin in vielerlei Hinsicht dabei. Wie die Ersteinrichtung sinnvoll ablaufen kann, beschreibt der Artikel im Folgenden.

Grundsätzlich gilt: Nur adäquat in Netbox erfasste Hardware lässt sich anschließend auch ordentlich mit IP-Adressen versehen. Im ersten Schritt ist es deshalb ratsam, die physischen Details der Umgebung korrekt in Netbox zu hinterlegen. Das bedeutet, die Struktur der Räume, der Racks, der darin verbauten Server sowie ihrer Netzwerkkarten adäquat abzubilden. Parallel dazu kann die IT-Abteilung bereits die lokal genutzten Netzwerke in Netbox anlegen. Denn dann lassen sich später beim Anlegen von Netzwerkschnittstellen einzelner Server die zugewiesenen IP-Adressen gleich mit auswählen.

Nach dem ersten Login in Netbox als Superuser zeigt sich am linken Bildschirmrand zunächst das Hauptmenü des Produkts. Über dieses lässt sich die grundsätzliche Struktur der Physik einer Firma bereits gut darstellen. Ein Klick auf "Organization" führt zu den Unterpunkten "Sites" und "Racks". Wer die Hardware verschiedener Kunden in einem Rechenzentrum verwaltet, hat hier auch "Tenancy" und "Contacts" als potenzielle Einträge.

Den Anfang machen Sie aber idealerweise, indem Sie sämtliche Sites und die darin verbauten Racks inklusive der korrekten Bezeichnungen hinterlegen. Im Sprech des Tools sind übrigens sämtliche Einträge "Objekte" verschiedenen Typs – wenn Ihnen die Bezeichnung "Objekt" in Netbox also ständig begegnet, ist genau das gemeint.

Die vorhandenen Netzwerke lassen sich über den Punkt "IPAM" im Hauptmenü anlegen. Dass Netbox seinen Ursprung im Netzwerkumfeld hat und von Netzwerkern für Netzwerker erfunden wurde, zeigt sich hier deutlich. Neben bloßen IP-Adresseinträgen und -Bereichen lassen sich hier auch BGP-ASNs, Aggregates, VRFs sowie VLANs anlegen. Besonders vorteilhaft ist dabei, dass sich all diese Eintragsarten später auch miteinander und auch mit anderen Objekten in Netbox verschachteln lassen. Das ermöglicht Vernetzungsketten: Ein Raum mit Racks, die Server beheimaten, in denen Netzwerkkarten verbaut sind, die über ihre IP-Adressen gleichzeitig auch ASNs oder VLANs zugeordnet sind.

Dass die Entwickler der Software dabei mit viel Liebe zum Detail vorgehen, wird an mehreren Stellen deutlich. So findet sich im Hauptmenü auch der Eintrag "Virtualization", hinter dem sich verbirgt, was auch zu erwarten wäre: die Möglichkeit, für laufende VMs ebenfalls IP-Adressen zu definieren. Netbox trägt hier dem Umstand Rechnung, dass IP-Adressen in modernen Umgebungen eben längst nicht mehr unbedingt physische Netzwerkgeräte zuzuordnen sind. Eine virtuelle Instanz besitzt eine eigene virtuelle NIC, die zwar auf dem System mit dem physischen Netz verbunden ist. Doch ist eben diese Verbindung aus Sicht der logischen Rechenzentrumsplanung transparent, sie hat dementsprechend auch keine IP-Adresse.

Netbox löst das Problem, indem sich einmal angelegte virtuelle Instanzen einem Serverobjekt ebenso wie einem IP-Objekt zuweisen lassen. So ist in Netbox die Verbindung zwischen den Objekten jederzeit ersichtlich. Dass Netbox eine wirklich umfassende Software für die Netzwerkverwaltung von Unternehmen sein will, zeigt sich im "WLAN"-Eintrag des Hauptmenüs. Denn wenn eine Abteilung die WLAN-Acess-Points des Unternehmens ebenso betreibt wie die kritische Netzwerkinfrastruktur im Rack, oder wenn die beiden verantwortlichen Teams zumindest zusammenarbeiten, ist Netbox sowohl für das eine als auch für das andere nutzbar. Einmal mehr schlägt hier also die Idee der "Single Source of Truth" durch. Diesem Umstand trägt auch Rechnung, dass ein Rechenzentrum in Netbox eben kein "Datacenter" ist, sondern eine "Site" – ebenso wie ein Bürogebäude.

Kampf dem Chaos

Netbox hat noch eine weitere hilfreiche Funktion im Gepäck: Der Dienst erfasst nicht nur physische Geräte und deren Umgebung als Objekte, sondern auch verbaute Kabel. Das gilt für Netzwerkkabel ebenso wie für Strom- und serielle Konsolenkabel. Die Vorteile dieser Funktion liegen auf der Hand. Einerseits können Sie auf diese Weise sicherstellen, dass die im Rechenzentrum genutzte Bezeichnung von Kabeln auch im DCIM ihren Widerhall findet. Einzelne Kabel lassen sich dadurch sehr schnell identifizieren, beispielsweise dann, wenn sie auszutauschen sind.

Wichtiger noch: Die bei Netzwerkern und Infrastrukturmenschen äußerst unbeliebte Aufgabe, Kabel- und Netzwerkpläne zu zeichnen, lässt sich dank dieser Funktion komplett an Netbox auslagern. Oder zumindest fast, denn eine Visualisierungsfunktion haben die Entwickler bis heute nicht integriert. Die Community springt allerdings in die Bresche. Unter [1] finden Sie ein gut gepflegtes Plug-in, das die Visualisierung der Netbox-Daten übernimmt (Bild 3). Wie Sie das Plug-in in Ihre Umgebung integrieren, verrät die dort ebenfalls hinterlegte Anleitung für die Installation des Plug-ins.

Die Netbox-API

Falls Sie die Inventarisierung Ihrer Umgebung oder deren Pflege noch weiter automatisieren möchten, finden Sie in Form der Netbox-API dafür das ideale Werkzeug. Die REST-API der Schnittstelle ermöglicht es, dieselben Objekte innerhalb der Software zu modifizieren, die auch über die Netbox-GUI erreichbar sind. Das eröffnet in Sachen Inventarisierung neue Möglichkeiten: Denn bekommen Sie einen Stapel Server vom Hersteller geliefert und kennen deren Seriennummern sowie die MAC-Adressen der verbauten Netzwerkkarten im Vorfeld, können Sie eine Datei vorbereiten, die alle neuen Geräte im Batch per API in Netbox hinterlegt.

Andersherum funktioniert das Prinzip genau so: Möchten Sie sich bei der Konfiguration Ihrer Systeme Arbeit sparen, stellen Sie diese auf DHCP um und lassen die Konfigurationsdatei des eigenen DHCP-Servers dynamisch aus Netbox heraus generieren. Vergleichbare Verknüpfungen sind für Lifecycle-Management-Systeme wie Foreman denkbar. Ein fertiges Plug-in für Foreman, mit dem sich dessen Einträge nach Netbox synchronisieren lassen, finden Sie beispielsweise unter [2].

Fazit

Netbox ist ein umfassendes, professionelles Werkzeug für die Verwaltung technischer Infrastruktur und Netzwerkinformationen. Durch dessen REST-API ist es zudem maschinell nutzbar, sodass es einen wertvollen Beitrag zur Automatisierung und Verwaltung von Infrastruktur leistet. Dass das Werkzeug kostenlos verfügbar ist und zudem unter einer freien Open-Source-Lizenz steht, rundet das Angebot ab. Wer auf der Suche nach einem guten DCIM- und IPAM-Werkzeug ist, sollte Netbox auf der Rechnung haben.

DCIM und IPAM mit Netbox