Requisitos, rede e firewall

O Sentrya Connector roda em qualquer Linux de 64 bits das famílias Debian e Red Hat, gasta pouca memória e só precisa de saída HTTPS para um único domínio. Confira os requisitos antes de instalar.

Sistema operacional

Distribuição	Versões
Debian	11, 12 e 13
Ubuntu	22.04 e 24.04 (20.04 em melhor esforço)
Red Hat Enterprise Linux, Rocky Linux, AlmaLinux, Oracle Linux	8, 9 e 10
CentOS Stream	9 e 10

Arquiteturas: amd64 (x86_64) e arm64 (aarch64).
O serviço usa o systemd. RHEL/CentOS 7 não é suportado (systemd antigo demais).
A instalação precisa de root (sudo). Depois de instalado, o serviço roda com um usuário próprio, sem privilégios.

Recursos da máquina

Memória: o serviço é limitado a 256 MB pelo systemd; nos testes, o pico medido ficou perto de 20 MB, mesmo transferindo respostas grandes do Zabbix.
Disco: o pacote tem poucos megabytes; a auditoria local gira em até 5 arquivos de 10 MB.
CPU: praticamente nenhuma fora dos momentos de coleta.

Pode ser a máquina do próprio Zabbix. Qualquer máquina Linux que alcance a API do Zabbix e tenha saída para a internet serve. Uma VM pequena dedicada também funciona.

Rede e firewall

De	Para	Porta	Para quê
Máquina do Connector	`connector.flowbix.com`	TCP 443 (saída)	Baixar o instalador e os pacotes, registrar, manter a conexão com o Sentrya e receber atualizações.
Máquina do Connector	API do seu Zabbix (frontend)	A porta do frontend (normalmente 80 ou 443)	Chamar a API do Zabbix dentro da sua rede.
Internet	Máquina do Connector	—	Nenhuma porta de entrada. Não crie regra de entrada nem redirecionamento de porta.

A máquina precisa resolver o nome connector.flowbix.com no DNS. Com proxy obrigatório, quem resolve é o proxy.
O Connector fala com o Zabbix direto, sem passar pelo proxy: o Zabbix está na sua rede.
Uma porta 443 já em uso na máquina (por um Nginx, Apache ou pelo próprio Zabbix) não atrapalha: o Connector não escuta porta nenhuma, ele só abre conexões de saída.

Proxy HTTP de saída

Se a rede só sai para a internet por um proxy, acrescente --proxy http://proxy.empresa.local:3128 (com senha: http://usuário:senha@proxy:3128) às duas partes do comando de instalação, o install.sh e o setup, ou informe o proxy no assistente, quando o teste de conexão falhar. Sem proxy configurado, o Connector respeita as variáveis HTTPS_PROXY e NO_PROXY do ambiente.

Proxy que inspeciona o TLS. O melhor é liberar connector.flowbix.com da inspeção. Se a política não permitir e o proxy troca o certificado do Sentrya pelo dele, aponte a CA da empresa em sentrya.ca_file no arquivo /etc/sentrya-connector/connector.yaml. Saiba o que isso significa: o Connector continua conferindo a assinatura do Sentrya com uma chave embutida no programa, e um servidor falso não se passa pelo Sentrya; mas o proxy que você autorizou enxerga e pode alterar o conteúdo da conexão, como em qualquer HTTPS que ele inspeciona.

Relógio

Mantenha o relógio da máquina certo (NTP). Algumas requisições do Connector são assinadas com horário e o Sentrya aceita uma diferença de até 5 minutos. O assistente avisa quando o relógio está mais de 1 minuto fora. Para ligar o NTP: sudo timedatectl set-ntp true.

Zabbix

Versões: Zabbix 5.0 a 7.4, testadas com Zabbix real (5.0, 5.4, 6.0, 6.4, 7.0, 7.2 e 7.4).
Credencial: token de API (Zabbix 5.4 ou mais novo) ou usuário e senha. Veja Preparar o usuário no Zabbix.
Zabbix em HTTPS com certificado próprio funciona: informe o arquivo da CA interna no assistente (ou --zabbix-ca-file).