Cacti流量监控系统在CentOS 7上的部署与配置实践

做运维的朋友应该都遇到过这个场景业务那边反馈“服务器访问特别慢”你登上去用ifconfig看了一眼入方向流量确实跑满了但要你说清楚是哪个时段开始的、持续了多久、是哪些端口在占一时半会还真拿不出来。流量这个事临时看一眼容易持续盯住难。手上这个项目记录标题写的是“cati网络流量监控搭建部署for centos7x”其实说的就是大名鼎鼎的开源网络流量监控系统Cacti在 CentOS 7 上的部署。借这个机会我把从零搭建 Cacti 的完整过程整理出来包含架构思路、一步步的安装命令、设备接入、告警配置还有我踩过的几个坑希望能让想搭流量监控的朋友少走点弯路。Cacti 最擅长的事就是通过 SNMP 协议周期性抓取网络设备或服务器的端口流量然后把数据存进 RRD 文件用网页画出趋势图。你不用自己在命令行里敲awk去数包也不用守着终端按 F5只要配好后浏览器里随时能看到任意时间段的带宽曲线。这东西适合谁适合机房里管着一堆服务器和交换机的运维同学也适合刚接触网络监控、想找一套轻量方案练手的新人。1. 整体设计与选型思路1.1 为什么选 Cacti 而不是别的监控很多人一听“监控”就想到 Zabbix、Prometheus 这类重武器。确实它们功能很强但引入成本也不低Zabbix 要装 Agent、要设计主机组和触发器模板Prometheus 要理解 pull 模型、exporter 概念还要搭 Grafana。Cacti 的定位非常纯粹它的核心场景就是“取流量数据 画趋势图”。你给它一个 IP 和 SNMP 社区名它就能在几分钟内把端口流量图跑起来。它不追求大数据告警分析也不做分布式链路追踪但恰恰是这种“小而专”让它在一票传统运维团队里活了十几年。在 CentOS 7 上部署还有一个现实原因Cacti 依赖 LAMP 环境Apache、MySQL/MariaDB、PHP这些组件在 CentOS 7 自带源里都有不用编译源码装起来非常顺。相比动不动要装一堆 Go 二进制、调配置文件的现代监控栈Cacti 的部署曲线对老运维来说几乎没有坡度。1.2 监控架构里的四个角色整个 Cacti 体系说白了是四件套配合我习惯用一个比喻来讲SNMP 是“报数员”。被监控的设备服务器、交换机通过 SNMP 协议对外提供各种计数器比如接口字节数、CPU 使用率、系统运行时间。Cacti 自己不发明数据它只是按周期去问设备“你现在的接口计数是多少”。Cacti 的 poller轮询器是“调度员”。它按照设定的时间间隔默认 5 分钟去执行采集动作。采集到的原始计数器由它算出差值、再转换成速率这个过程叫“归一化”。MySQL 是“档案室”。设备清单、图形模板、阈值规则、用户权限这些元数据都存在 MySQL 里。注意真实的流量时序数据其实不存 MySQL而是存 RRD 文件。RRDtool 是“画图师”。它把采集到的时序数据写进后缀.rrd的文件并在你打开网页看图时根据你选的时间范围动态生成 PNG 图片。RRD 文件的优秀之处在于它能用固定大小把无限时间段的数据压缩保存代价是旧数据会被自动降精度。一个典型的数据流是这样的cron 每 5 分钟触发一次poller.phppoller 读取 MySQL 里记录的设备列表通过 PHP 的 SNMP 函数或外部命令去抓取各设备的接口 OID 值新数据写入 RRD 文件同时在 MySQL 里记录本次轮询的状态。你访问网页时控制台从 MySQL 查出设备信息再调用 RRDtool 生成图形返回浏览器。1.3 部署前的规划清单在动手敲命令之前我建议先花几分钟做一个简单的规划尤其是下面几项版本选择CentOS 7.6 到 7.9 都行64 位系统。Cacti 选用 1.2.x 版本因为 1.1.x 太老PHP 5.4 时代的东西界面和插件兼容性都不如新版本。PHP 版本Cacti 1.2.x 建议 PHP 7.2 以上CentOS 7 自带的 PHP 5.4 不够用要额外配 Remi 源。防火墙策略部署机和被监控机之间要放行 UDP 161 端口SNMP 协议默认端口网页访问需要放行 TCP 80 端口。数据分区RRD 文件会持续增长如果系统根分区空间紧张最好把/var/www/html/cacti/rra目录放到空间充足的分区用软链接挂过去都行。2. 基础环境搭建与依赖安装2.1 系统初始化防火墙、SELinux、时间同步CentOS 7 安装时我通常选 Minimal 最小化省得带一堆用不到的东西。装完第一件事是把防火墙和 SELinux 处理好否则后面 SNMP 和网页访问很容易莫名其妙失败。# 关闭防火墙测试环境图省事生产环境请按需放行端口 systemctl stop firewalld systemctl disable firewalld # 临时关闭 SELinux setenforce 0 # 永久关闭编辑 /etc/selinux/config将 SELINUXenforcing 改为 disabled这里强调一下生产环境不建议直接关防火墙而是放行端口firewall-cmd --permanent --add-port80/tcp firewall-cmd --permanent --add-port161/udp firewall-cmd --reload然后是时间同步。监控系统最怕时间乱跳Cacti 记录的是带时间戳的采样点被监控设备、监控服务器之间时间不一致图上的曲线会对不齐排查问题能让人怀疑人生。timedatectl set-timezone Asia/Shanghai yum install -y ntpdate ntpdate pool.ntp.org # 建议再加一条 crontab 定期同步 echo 10 * * * * root /usr/sbin/ntpdate pool.ntp.org /dev/null 21 /etc/crontab2.2 Apache 与 MariaDB 安装CentOS 7 自带源里直接装就行不用从源码编译。yum install -y httpd mariadb-server mariadb systemctl start httpd mariadb systemctl enable httpd mariadb装完先执行一下数据库安全初始化设置 root 密码顺便把匿名用户和测试库清掉。别嫌这一步麻烦后面 Cacti 建库建用户都得靠这个 root 密码。mysql_secure_installationMariaDB 在 CentOS 7 默认是 5.5 版本跑 Cacti 完全够用。Cacti 1.2.x 支持 MySQL 和 MariaDB不需要额外装什么引擎。2.3 用 Remi 源安装 PHP 7.4这一步是整个环境准备里最容易出问题的地方。CentOS 7 系统自带的 PHP 是 5.4Cacti 1.2.x 装上也能跑但会频繁遇到兼容性提示和乱码所以我建议走 Remi 源装 PHP 7.4。# 安装 EPEL 与 Remi 源 yum install -y epel-release rpm -Uvh https://rpms.remirepo.net/enterprise/remi-release-7.rpm # 安装 PHP 7.4 及扩展 yum install -y php74-php php74-php-mysqlnd php74-php-gd php74-php-xml php74-php-mbstring php74-php-posix php74-php-snmp php74-php-ldap注意 Remi 源的 PHP 路径和系统自带的 PHP 不一样可执行文件在/opt/remi/php74/root/usr/bin/php配置文件在/etc/opt/remi/php74/php.ini。安装完成后用php -v验证一下/opt/remi/php74/root/usr/bin/php -v如果输出显示 PHP 7.4.x就说明装对了。为了让 Apache 能处理 PHP还要确认 httpd 加载了正确的模块最省事的办法是直接告诉 Apache 用 PHP 7.4 提供的配置文件cat /etc/httpd/conf.d/php74.conf EOF FilesMatch \.php$ SetHandler proxy:unix:/run/php-fpm74.sock|fcgi://localhost /FilesMatch EOF实际上 Remi 源装完php74-php-fpm之后会自带一个适用于 Apache 的配置文件通常不需要手写。如果发现 PHP 解析不了再把php74-php-fpm补上并启动即可如果用的是 mod_php 模式直接重启 httpd 就够了。为了保险起见我会在/var/www/html下放一个info.php测试文件?php phpinfo(); ?浏览器访问http://服务器IP/info.php看到 PHP 7.4 的信息页面说明 LAMP 环境已经通了。测试完记得删掉这个文件避免暴露环境信息。2.4 SNMP 工具链安装Cacti 是通过 SNMP 协议去抓数据的所以监控服务器本身要装net-snmp-utils用于手工测试和命令行验证。被监控对象比如其他 Linux 服务器则要装net-snmp服务端并在配置里开放读权限。yum install -y net-snmp net-snmp-utils这里先把工具装好后面我们会用snmpwalk来验证设备通不通。3. Cacti 核心部署与初始化配置3.1 下载安装包并调整权限Cacti 官方发布页可以下到稳定版压缩包我这边用的 1.2.22 版本是当前较稳的 1.2.x 分支。下载后解压到 Web 根目录cd /usr/local/src wget https://www.cacti.net/downloads/cacti-1.2.22.tar.gz tar -xzf cacti-1.2.22.tar.gz -C /var/www/html/ mv /var/www/html/cacti-1.2.22 /var/www/html/cacti # 目录属主设为 apache保证写入 rra/log 目录时有权限 chown -R apache:apache /var/www/html/cacti很多新手会漏掉最后一步chown。Apache 运行用户是apache如果rra和log目录是 root 属主poller 写数据时就会报权限错误表现出来就是设备状态正常但图就是不出数据。3.2 创建数据库并导入初始 SQL回到 MySQL创建一个名为cacti的库并新建一个专用账号。给应用建独立账号比用 root 跑要稳妥既方便权限管理也能避免其他应用误操作。mysql -uroot -p在 MySQL 命令行里执行CREATE DATABASE cacti DEFAULT CHARACTER SET utf8mb4; GRANT ALL PRIVILEGES ON cacti.* TO cactilocalhost IDENTIFIED BY your_strong_password; FLUSH PRIVILEGES; EXIT;然后用 cacti 账号导入官方初始 SQL这一步会创建所有表结构并写入默认设备模板、图形模板等基础数据mysql -ucacti -pyour_strong_password cacti /var/www/html/cacti/cacti.sql导入过程通常很快没有报错就是成功。如果提示某个表已存在别慌十有八九是之前导入过一半可以把库删了重建再导一次。3.3 修改数据库连接配置Cacti 的数据库连接信息写在include/config.php里。安装包里只有config.php.dist模板我们需要复制一份再改cd /var/www/html/cacti cp include/config.php.dist include/config.php用 vim 修改以下字段$database_type mysql; $database_default cacti; $database_hostname localhost; $database_username cacti; $database_password your_strong_password; $database_port 3306;这里除非你有特殊需求否则hostname保持localhost就可以了别手痒改成服务器的外网 IP反而可能触发 MySQL 权限问题。3.4 PHP 参数时区与性能配置编辑 PHP 配置文件/etc/opt/remi/php74/php.ini重点改这几项date.timezone Asia/Shanghai memory_limit 256M max_execution_time 60date.timezone尤其关键。默认情况下它是空的Cacti 画图时会拿服务器时间和 UTC 对比差 8 小时导致曲线错位。这种错位特别迷惑人因为图能出来但横轴时间和实际差半天排查起来费劲。改完配置记得重启 Apachesystemctl restart httpd3.5 配置 Cron 轮询器Cacti 的采集是靠 cron 周期性执行poller.php来驱动的这一步如果不配整个系统就是死水一潭设备能在网页里看到但永远没有数据。crontab -u apache -e添加一行*/5 * * * * /opt/remi/php74/root/usr/bin/php /var/www/html/cacti/poller.php /dev/null 21这里有几个细节值得说明我用的是 Remi 的 PHP 全路径。因为/usr/bin/php指向的是系统自带的 PHP 5.4参数和扩展都缺直接用默认php命令可能导致 poller 跑不起来。采集周期默认是 5 分钟。Cacti 的 RRD 文件也是按这个周期写入的所以图上的数据点粒度是 5 分钟一个。如果个别场景需要 1 分钟粒度在Settings - Poller里改轮询间隔但 1 分钟轮询会显著增加被监控设备和本机负载一般 5 分钟足够。crontab 写完后建议手工执行一次 poller验证整个链路/opt/remi/php74/root/usr/bin/php /var/www/html/cacti/poller.php第一次执行会输出一堆调试信息比如OK: u:0.0000 ...看到没有 FAILED 字样就算正常。3.6 Web 安装向导浏览器访问http://服务器IP/cacti/会进入安装页面。首次安装选择 “New Install”系统会自动检查 PHP 扩展、目录权限、MySQL 连接等前置条件。有红叉的地方照着提示改。安装完成后的默认账号是admin密码也是admin登录后会强制要求修改密码。这一步很简单但一定别偷懒直接用默认密码因为 Cacti 的 Web 页面暴露在 80 端口上默认密码等于把管理权限送给别人。4. 接入监控设备并生成流量图4.1 被监控端 SNMP 配置Cacti 装好只是第一步真正干活的是后面的被监控设备。假设我们监控一台 Linux 服务器先在这台机器上安装配置 SNMPyum install -y net-snmp net-snmp-utils编辑/etc/snmp/snmpd.conf做一个最简单的只读配置rocommunity public 192.168.1.0/24这里的含义是允许 192.168.1.0/24 网段的机器用public这个只读社区名来查询本机 SNMP 信息。生产环境请把public换成复杂字符串并限定到监控服务器的 IP。启动服务并设为开机自启systemctl enable snmpd systemctl start snmpd然后在 Cacti 所在的那台机器上测试能不能取到数snmpwalk -v2c -c public 192.168.1.10 ifDescr如果返回一串网络接口的列表比如IF-MIB::ifDescr.1 STRING: lo之类的内容说明 SNMP 通路没问题。如果卡住不动直到 timeout先检查被监控机的防火墙是否放行了 UDP 161再看看 community 是不是写对了。如果是网络设备比如交换机、路由器配置思路一样开放只读 SNMP 社区名指定允许的管理站地址。不同品牌设备命令格式略有差异但核心就这一件事。4.2 在 Cacti 控制台添加设备登录 Cacti进入Console - Devices - AddDescription填一个容易识别的名字比如web-server-01。Hostname or IP填被监控设备的 IP。SNMP Version一般选2大部分设备支持 v2c老旧设备只能用1先确定设备支持再选。SNMP Community填刚才配置的只读社区名public。SNMP Port默认 161不用动。Host Template如果是 Linux 服务器选ucd/net SNMP Host它能自动关联 CPU、负载等监控项如果只是交换机选Generic SNMP-enabled Host也可以后面手动添加端口图。填完先别急着保存点页面下方的SNMP Information查询按钮Cacti 会现场向设备发起一次 SNMP 请求。如果能正常返回系统名称、描述、设备类型右边会显示绿色提示如果失败会明确告诉你 timeout 或者 no response。这一步能提前把 80% 的连接问题挡在门外。4.3 创建设备的流量图设备保存成功后设备详情页会出现Create Graphs for this Host按钮。点击后会列出可选图形模板Interface - Traffic (bits/sec)经典的端口出入流量图单位是 bits/s这是最常用的。Interface - Errors (errors/sec)端口错误包速率排查链路质量时很有用。System - CPU Usage和System - Load AverageLinux 主机监控必备。选择你想监控的物理网卡和图形模板点击创建。喜欢在图形树上分类管理的话可以去Graph Management - Tree里建一棵树把设备分组比如“线上 Web 集群”“办公区交换机”这样在Graphs页面浏览时不会乱成一片。4.4 等数据落盘并验证图形创建完图形后Cacti 并不会立刻有数据。RRDtool 是根据 poller 周期写入数据的所以等第一个完整轮询周期跑完页面上才会出现第一个点。通常 5 到 10 分钟后刷新Graphs页面选择 1 小时时间范围就能看到一条从刚才开始延伸的曲线。如果图出来了但只有少量点这是正常的耐心等几个小时趋势图就会变得丰满。Cacti 默认支持 5 分钟、30 分钟、2 小时、1 天、1 周等不同精度的时间范围点右上角时间按钮可以切换。5. 阈值告警与模板进阶5.1 安装 Thold 插件Cacti 默认只负责“看”不负责“喊”。流量突然飙高或者接口 down 了系统不会主动通知你。要想收到告警得装 Thold 插件它是 Cacti 社区使用最广泛的阈值监测插件。下载插件源码并放到 Cacti 的 plugins 目录cd /var/www/html/cacti/plugins wget https://github.com/Cacti/plugin_thold/archive/refs/tags/v1.4.3.tar.gz tar -xzf v1.4.3.tar.gz mv plugin_thold-1.4.3 thold chown -R apache:apache thold然后进入 Cacti 的Console - Plugin Management找到 Thold 点击Install再Enable。装完后左侧菜单会多出 “Thresholds” 相关项。5.2 配置流量阈值与邮件通知在Console - Thresholds里定义规则。给某台设备的某个端口设置阈值时可以选择持续条件比如端口入流量连续 2 个轮询周期超过 90% 带宽就告警。告警方式在生产环境最常用的是邮件。在Console - Settings - Alerting/Notifications里配置 SMTP 服务器地址、端口、认证账号和接收人邮箱。没有独立邮件服务器的用企业邮箱的 SMTP 也能发记得把发件地址填成真实的邮箱账号避免被对方服务器拒收。我比较推荐一段时间的流量基线比如先把图跑两周观察正常峰值的范围再设定“持续超过峰值 20%”之类的阈值而不是随便填一个带宽百分比。流量监控的告警值应该来自业务实际而不是拍脑袋。5.3 自定义图形模板的思路Cacti 能火这么多年靠的是海量模板生态。除了端口流量你还能监控接口丢包率、设备温度、光模块收发光功率等。官方模板库里没有的指标就需要自己定制。大概思路是在Console - Templates - Data Queries里新建一个数据查询本质是定义一个 XML 文件告诉 Cacti 要抓哪些 OID、如何遍历实例。在Data Templates里创建对应的数据模板设置数据源类型GAUGE、COUNTER、DERIVE和单位。在Graph Templates里把数据模板画出来配置线型、颜色、图例。这个过程第一次接触会觉得繁琐我的建议是先复制一个最接近的现有模板比如复制Interface - Traffic在副本上改 OID 和单位多试几次就明白了。比从零摸索强得多。6. 常见问题与排查技巧实录6.1 图不出数据日志怎么查这是新手遇到最多的问题。设备添加了、图也建了但页面上空白一片曲线压根不出现。第一步不是怀疑设备而是去查 Cacti 自己的日志路径在/var/www/html/cacti/log/cacti.log。日志会记录每次 poller 的结果比如Device ... is up, but Data Query ... returned no records这种提示就直接告诉你问题出在数据查询上了。第二步看 cron 有没有真正跑起来。先手工执行一次 poller/opt/remi/php74/root/usr/bin/php /var/www/html/cacti/poller.php -d -f 0加上-d参数会输出调试信息能看到每个设备的采集结果。常见的情况是 cron 里写的 PHP 路径不对或者是权限问题导致 poller 跑不了一部分设备。第三步检查/var/www/html/cacti/rra目录里有没有对应的.rrd文件生成。如果有文件但页面无图多半是 PHP 的 gd 扩展没装好或者是 web 目录无权限。6.2 SNMP 时报超时先别急着怀疑设备用snmpwalk手工测试时报 timeout很多人第一反应是“设备是不是挂了”。不一定。先按这个顺序排查被监控设备上 SNMP 服务是否启动systemctl status snmpd看一眼。UDP 161 端口是否被防火墙拦了firewall-cmd --list-all查看。community 是否正确注意大小写敏感public和Public是两个不同的串。SNMP 版本是否匹配设备禁用 v2c 的话老老实实用 v1 或 v3。设备上有没有做 ACL 限制来源 IP比如只允许某个管理网段查询。我之前遇到过一台设备其他监控都正常唯独 snmpwalk 超时查了半天发现是设备上同时配了 IPv6 地址SNMP 服务监听了 IPv6 的 161 端口IPv4 的 161 没开。这种冷门问题不看ss -ulnp根本发现不了。6.3 数据库连接报错的处理登录 Cacti 页面时如果弹出数据库连接错误通常是config.php里的密码和实际账号密码对不上或者导入 SQL 步骤出了问题。用命令行手动连一下就能验证mysql -ucacti -pyour_strong_password cacti -e show tables;能列出表就说明连接没问题问题在 PHP 侧的配置文件。还有一种可能是我前面提到过的localhost在 MariaDB 里默认走 socket 认证如果 Cacti 所在机器的 PHP 没有 socket 权限也会报连接错误。这种场景下明确指定 TCP 端口3306并且为 cacti 账号增加127.0.0.1来源授权即可解决。6.4 轮询超时和负载过高设备数量多起来之后默认的cmd.php轮询方式会变得力不从心。它每 5 分钟启动一个 PHP 进程逐个设备去查询设备一多整个轮询时间会拉长甚至还没跑完下一轮又开始了CPU 直接飙高。官网推荐的方案是换用spine这是用 C 语言写的高性能轮询器。在Settings - Poller里把轮询方式从 cmd.php 改成 spine并在Paths里指定 spine 二进制路径。spine 支持多线程采集单台监控服务器撑几百台设备问题不大。如果暂时不想换 spine另一个缓解办法是开启Poller Interval的“伪并发”思维把设备按数量均分成多个轮询组错开几秒执行。但说实话治标不治本设备量过百就果断上 spine。6.5 容易被忽略的其他坑磁盘空间打满rra 目录会随着时间膨胀尤其是长期保存 1 分钟精度的数据磁盘占用比想象中快。建议给 rra 目录所在分区预留充足空间或者用软链接指向独立数据盘。PHP 时区没设曲线横轴时间差 8 小时是时区问题不是采集问题。Web 登录后白屏多数情况是 PHP 扩展缺失回头查一下php -m里有没有gd、xml、snmp、mbstring。被监控设备的接口名变化网卡名在系统重启后可能从eth0变成ens33Cacti 按接口索引绑定注意重新关联。SNMP 返回“no such object”说明设备上根本没有这个 OID很多老设备不支持新 MIB先在设备上用snmptranslate确认目标对象存在。为了查阅方便把最常遇到的几个问题整理成表现象常见原因快速排查图空白rra 目录权限不足 / poller 没跑手工跑 poller查看 cacti.log设备显示 down 但 ping 通SNMP 未启动 / community 错误snmpwalk 手工测试图有时间差php.ini 时区未设检查 date.timezoneWeb 登录报数据库错误config.php 密码不对mysql 命令行验证连接poller 执行时间过长设备多、cmd.php 效率低换 spine 或拆分轮询组CPU 负载飚高轮询间隔过短增大轮询周期最后分享一个我个人的操作习惯每次新搭建一套 Cacti我不会直接去 Web 页面里逐项点配置而是先在命令行把被监控设备都snmpwalk通一遍再进控制台添加设备。这一步能过滤掉大量网络层问题不是 Cacti 的锅就不用让 Cacti 背锅。另外就是每隔一段时间去Graph Management里翻一翻有没有长时间“平线”的图形平线往往意味着设备有问题或者采集断了比告警邮件来的还直观。流量监控这东西搭起来不难难的是保持长期稳定运行平时多看一眼日志和数据文件比出事后再排查省心得多。