Η πιο προνομιούχα θύρα του rack είναι αυτή που κανείς δεν προσέχει

Κάθε σύγχρονος server κουβαλά έναν δεύτερο, μικρότερο υπολογιστή μέσα του: τον ελεγκτή διαχείρισης. Στους servers HPE είναι το iLO, στους servers Dell το iDRAC, και στα blade enclosures υπάρχει ένας Onboard Administrator πάνω από τα blades. Συχνά αντιμετωπίζεται ως ευκολία για απομακρυσμένες επανεκκινήσεις. Στην πραγματικότητα είναι το πιο προνομιούχο εξάρτημα του rack, και αξίζει να σχεδιάζεται κανείς γύρω από αυτό.

Τι μπορεί να κάνει ένας ελεγκτής διαχείρισης

Όλη η θωράκιση που κάνετε μέσα στο λειτουργικό σύστημα είναι άνευ αντικειμένου αν ο ελεγκτής είναι προσβάσιμος από λάθος ανθρώπους.

Κανόνας πρώτος: δική του θύρα, δικό του δίκτυο

Οι περισσότεροι servers μπορούν να τρέξουν τον ελεγκτή είτε σε αποκλειστική θύρα διαχείρισης είτε μοιρασμένο με μία από τις κύριες θύρες δικτύου. Το μοίρασμα είναι βολικό, γιατί γλιτώνει ένα καλώδιο και μια θύρα switch. Τοποθετεί όμως τον ελεγκτή στο ίδιο δίκτυο με τη συνηθισμένη κίνηση του server, που είναι ακριβώς εκεί που δεν θα έπρεπε να είναι.

Δίνουμε σε κάθε ελεγκτή δική του φυσική θύρα, δικό του καλώδιο και δικό του switching, σε ιδιωτικό χώρο διευθύνσεων που δεν δρομολογείται ποτέ προς ή από κανένα δίκτυο πελάτη και δεν ανακοινώνεται ποτέ στο internet. Αυτό εννοούμε όταν λέμε πλήρως απομονωμένο (air-gapped) δίκτυο διαχείρισης. Ένα μηχάνημα πελάτη, ακόμα και παραβιασμένο, δεν έχει διαδρομή προς κανέναν ελεγκτή. Οι μηχανικοί φτάνουν στο δίκτυο διαχείρισης μόνο μέσω των δικών μας VPN gateways και jump hosts.

Μπορείτε να ελέγξετε την τρέχουσα επιλογή από τον ίδιο τον ελεγκτή. Σε iDRAC:

racadm get iDRAC.NIC.Selection      # Dedicated, or one of the LOM ports
racadm get iDRAC.IPv4               # address, gateway, DHCP state

Σε οποιονδήποτε server με εγκατεστημένα εργαλεία IPMI, από το λειτουργικό σύστημα:

ipmitool lan print 1

Αυτό δείχνει τη διεύθυνση του ελεγκτή, το VLAN και τα cipher suites που δέχεται από το δίκτυο.

Κανόνας δεύτερος: κλείστε ό,τι δεν χρησιμοποιείτε

Οι ελεγκτές έρχονται με αρκετούς τρόπους εισόδου, και ο καθένας είναι επιφάνεια επίθεσης. Εξετάστε τους σε κάθε μηχάνημα:

• IPMI over LAN. Παλαιότερο, λιγότερο ασφαλές από τις διεπαφές web και SSH του ελεγκτή. Αν τίποτα στα εργαλεία σας δεν το χρειάζεται, απενεργοποιήστε το (το racadm get iDRAC.IPMILan.Enable δείχνει την κατάσταση σε iDRAC). Αν κάτι το χρειάζεται, βεβαιωθείτε ότι γίνονται δεκτά μόνο ισχυρά cipher suites.
• Ώρα και καταγραφή. Στρέψτε τον ελεγκτή στις δικές σας πηγές ώρας, και στείλτε τα logs και τα SNMP traps του στους collectors διαχείρισής σας.

Κανόνας τρίτος: σωστή αδειοδότηση

Το γυμνό IPMI σας δίνει έλεγχο τροφοδοσίας και όχι πολλά περισσότερα. Οι αδειοδοτημένες βαθμίδες είναι αυτές που κάνουν έναν ελεγκτή χρήσιμο σε πραγματική λειτουργία: remote console που δουλεύει αξιόπιστα, virtual media για απομακρυσμένες εγκαταστάσεις, πλήρης τηλεμετρία hardware και διαχείριση firmware. Λειτουργούμε iDRAC Enterprise με άδεια Datacenter στους servers Dell, iLO Advanced στους servers HPE, και πλεονάζοντες Onboard Administrators σε κάθε blade enclosure. Ένας server που δεν μπορεί να προσεγγιστεί πλήρως μέσω του ελεγκτή του είναι ένας server που χρειάζεται έναν άνθρωπο μπροστά του, και αυτός είναι ο ακριβός τρόπος να λειτουργεί κανείς ένα datacenter.

Ρυθμίστε ολόκληρο το enclosure με τη μία

Στα HPE blade enclosures υπάρχει καλύτερος δρόμος. Ο Onboard Administrator μπορεί να περάσει ένα script διαμόρφωσης στο iLO κάθε blade μέσω του backplane του enclosure σε μία μόνο ενέργεια, χρησιμοποιώντας τη μορφή scripting RIBCL της HPE μέσω της εντολής HPONCFG. Το enclosure αυθεντικοποιείται το ίδιο σε κάθε iLO, οπότε δεν χρειάζονται διαπιστευτήρια ανά blade, που σημαίνει ότι ένα blade που μπήκε στο rack το πρωί, χωρίς ακόμα δικό του κωδικό, μπορεί να ρυθμιστεί πλήρως το απόγευμα.

Ένα τυπικό πέρασμα σε όλο το enclosure ορίζει την άδεια, προσθέτει έναν λογαριασμό διαχείρισης, ορίζει το session timeout, στρέφει την ώρα και το SNMP στους collectors διαχείρισης, και ακολουθείται από ένα δεύτερο πέρασμα που ξαναδιαβάζει κάθε ρύθμιση για επαλήθευση. Η Dell έχει το αντίστοιχο με scripting racadm και server configuration profiles. Όποιον κατασκευαστή κι αν χρησιμοποιείτε, η αρχή είναι η ίδια: μία γραπτή διαμόρφωση, εφαρμοσμένη πανομοιότυπα, επαληθευμένη με ανάγνωση.

Πρόσβαση στους πελάτες χωρίς να σπάσει το μοντέλο

Οι πελάτες με dedicated servers χρειάζονται μερικές φορές δική τους πρόσβαση σε κονσόλα. Από προεπιλογή οι μηχανικοί μας χρησιμοποιούν το remote console για λογαριασμό του πελάτη, όλο το εικοσιτετράωρο. Όπου ένας πελάτης χρειάζεται άμεση πρόσβαση iLO ή iDRAC, την παρέχουμε μέσω αποκλειστικού VPN, ώστε ο ίδιος ο ελεγκτής να μένει στο απομονωμένο δίκτυο διαχείρισης και μόνο ο ελεγκτής εκείνου του πελάτη να είναι προσβάσιμος μέσα από αυτό.

Ελέγξτε τους δικούς σας ελεγκτές

• Είναι κάθε ελεγκτής σε αποκλειστική θύρα, ή κάποιοι μοιράζονται θύρα δεδομένων;
• Μπορεί κάποιος ελεγκτής να προσεγγιστεί από δίκτυο πελάτη ή από το internet;
• Είναι το IPMI over LAN ενεργό κάπου που δεν χρειάζεται;
• Είναι ακόμα ενεργοί εργοστασιακοί λογαριασμοί;
• Φτάνουν τα logs και τα traps των ελεγκτών στην παρακολούθησή σας;
• Υπάρχει μία γραπτή διαμόρφωση με την οποία ελέγχεται κάθε ελεγκτής;

Αν θέλετε το hardware σας να το διαχειρίζεται κάποιος με τους ελεγκτές κλειδωμένους εκεί που ανήκουν, ευχαρίστως να το συζητήσουμε. Μιλήστε με έναν μηχανικό

Σχετικά: Εγκατάσταση σε rack, ένταξη blades, ελεγκτές διαχείρισης · Το hardening baseline σε κάθε host · DCIM: κάθε αντικείμενο, θύρα, καλώδιο και διεύθυνση καταγεγραμμένα