Короткий ответ

Windows Server в Zabbix — это агент 2 + PSK, не SNMP «как принтер». Минимальный пакет на WS-042: доступность агента, CPU/RAM по базе, диск с трендом, службы роли (NTDS, DNS, W32Time, IIS, SQL — что стоит), AD/DNS снаружи (LDAP/53), Event Log точечно (не весь Security). ICMP не заменяет службу. Passive/active: агент, active. Linux-соседи — другой шаблон.

Сервер 10.0.20.50, identity psk-ws042, UI zabbix.example.

Симптомы и как отличить

ОбластьЗачемПример ключей/проверок
Агентсборagent.ping, PSK, порт 10050 или active 10051
ОСёмкостьCPU, available RAM, vfs.fs.size[C:,pfree]
Службырольservice.info[NTDS,state]
AD/DNSвход пользователейLDAP 389/636, DNS с клиента/10.0.20.50
Event Logредкие фатальныеNetlogon 5719, NTDS ошибки — с фильтром
ВремяKerberosсмещение часов
Backup/RAID/SMARTжелезоотдельные статьи раздела

Не тащите Linux mdadm на Windows.

Возможные причины

  1. Только ICMP шаблона.
  2. Шаблон Linux на Windows host.
  3. Службы не те (мониторят Spooler, забыли NTDS).
  4. Event Log без фильтра.
  5. Проверки LDAP с самого DC на localhost — не видят ACL.
  6. Нет PSK, агент из клона с чужим Hostname.
  7. Редко: Server Core без того perf counter, что в шаблоне — unsupported пачка.

Диагностика

Latest data WS-042: есть ли service.info, диски, eventlog. Пусто по службам — шаблон «OS Windows» без роли.

Get-Service NTDS, DNS, W32Time -ErrorAction SilentlyContinue
Get-NetTCPConnection -LocalPort 10050 -ErrorAction SilentlyContinue
& 'C:\Program Files\Zabbix Agent 2\zabbix_agent2.exe' -t agent.ping

С 10.0.20.50:

zabbix_get -s 10.0.20.42 -p 10050 -k agent.ping \
  --tls-connect psk --tls-psk-identity psk-ws042 \
  --tls-psk-file /etc/zabbix/psk-ws042.psk
zabbix_get -s 10.0.20.42 -p 10050 -k 'service.info[NTDS,state]' \
  --tls-connect psk --tls-psk-identity psk-ws042 \
  --tls-psk-file /etc/zabbix/psk-ws042.psk

LDAP снаружи:

nc -vz WS-042 389
nc -vz WS-042 53

Это доступность сервиса, не agent.ping.

Решение

1. Агент 2

Пакет Zabbix agent 2 под 6.0/7.0, Server=/ServerActive= на 10.0.20.50 или proxy, Hostname=WS-042, PSK psk-ws042, firewall 10050 только с poller. Служба Automatic.

2. ОС

Шаблон Windows by Agent (active или passive — один стиль). Макросы CPU/RAM не 50%. Диск C: и тома данных, не только C:.

3. Службы

LLD служб с фильтром автозапуск + роль, не все Disabled. Явно: NTDS/DNS на DC, W3SVC на IIS, MSSQL на SQL. Триггер state ≠ running = High для роли, не для Fax.

last(/WS-042/service.info[NTDS,state])<>0

Код state в вашей версии шаблона сверьте Test (0 часто means running в service.info — проверьте вывод -t на живой службе, не заучивайте число с форума).

4. AD/DNS снаружи

Simple check LDAP/DNS с proxy в клиентском VLAN. Плюс репликация — если есть item repadmin через точечный system.run/скрипт с AllowKey, не полный PowerShell для всех.

Время: system.localtime vs сервер NTP, порог 2–3 мин для Kerberos.

5. Event Log

Ключ eventlog[Directory Service,...] с фильтром Event ID известных проблем, severity Error, skip старых. Интервал не 1s. Не Security log целиком.

Пример духа (параметры ключа eventlog сверьте по документации агента 6.0/7.0): только нужный журнал и ID. Test на стенде, иначе unsupported или лавина.

6. Железо

Физический сервер: RAID, SMART на хосте, не обязательно в каждой VM. VM: диск гипервизора отдельно.

Как проверить, что проблема устранена

Чеклист приёмки WS-042:

  1. zabbix_get ping + hostname + service NTDS (если DC).
  2. Stop службы на стенде → PROBLEM.
  3. LDAP nc fail при живом ping → PROBLEM сервиса.
  4. Диск Warning до 0 байт.
  5. Event фильтр: тестовое событие не топит NVPS.
  6. PSK, имя не с клона.
Get-Service 'Zabbix Agent 2'

Если не помогло

  • WMI тормозит, item timeout — очередь poller, увеличьте interval служб, не Timeout=30 глобально.
  • Core Server без GUI — те же ключи, пути агента те же.
  • Кластер: мониторьте роль/IP, не только один узел.

Профилактика

  • Gold image: агент, PSK процедура, Hostname из имени компьютера.
  • Роль DC/IIS — отдельный template link при установке роли.
  • Раз в квартал сверка служб автозапуска vs LLD.
  • Не смешивать шаблоны Linux.

Типичные симптомы дырявого Windows-мониторинга: ping зелёный, пользователи не входят — нет LDAP и DNS снаружи; диск сюрприз в понедельник — нет timeleft; кто-то остановил DNS — нет service.info. Если в Latest data только CPU, вы мониторите сервер как ноутбук.

Соберите матрицу ролей: DC, файловый, IIS, SQL, RDS, WSUS. Каждая роль — свой template поверх OS Windows. Не один mega-template на все SKU. Event Log — список Event ID из вашего runbook, не журнал Security целиком на каждом DC.

Агент 2, PSK psk-ws042, firewall только с 10.0.20.50 или с proxy, Hostname совпадает с именем компьютера. Клоны без смены имени ломают active checks. GPO ставит пакет и правило 10050, чеклист ввода в домен включает zabbix_get с сервера, иначе «агент в образе» останется красным ZBX.

Проверка с 10.0.20.50: zabbix_get ping и service.info для роли, nc на LDAP/DNS/HTTPS по матрице, диск C: и том данных в Latest data. Если роль DC, без внешнего LDAP item вы снова узнаете о падении от пользователей. Event Log фильтруйте до внедрения в SMS. PSK psk-ws042 и Hostname не клонируйте.

FAQ

SNMP на Windows Server?

Можно, но агент 2 даёт службы и eventlog лучше. SNMP — для железа/UPS.

Нужен ли Zabbix agent 1?

Нет для новой установки 6.0/7.0.

Event 5719 на клиентах, не на WS-042

Мониторьте и клиентов критичных, и DC. 5719 на рабочей станции — [доступность DC], не CPU WS-042.

RDP 3389 как availability

Только если RDP — сервис. Не открывайте 3389 в интернет ради item. Probe из LAN.

IIS 80/443

HTTP agent на URL, не только W3SVC running (служба up, сайт down).

GPO ставит агента

Да, плюс firewall rule allow 10050 from 10.0.20.50. Без rule — вечный красный ZBX.