La porta più privilegiata del rack è quella che nessuno guarda

Ogni server moderno porta dentro di sé un secondo computer più piccolo: il controller di gestione. Sui server HPE è iLO, sui server Dell è iDRAC, e sugli enclosure blade c'è un Onboard Administrator sopra i blade. Spesso lo si tratta come una comodità per i riavvii remoti. In realtà è il componente più privilegiato del rack, e merita che ci si progetti intorno.

Cosa può fare un controller di gestione

Tutto l'hardening che fate dentro il sistema operativo non conta nulla se il controller è raggiungibile dalle persone sbagliate.

Regola uno: la sua porta, la sua rete

La maggior parte dei server può far girare il controller su una porta di gestione dedicata oppure in condivisione con una delle porte di rete principali. Condividere è comodo, perché risparmia un cavo e una porta di switch. Mette anche il controller sulla stessa rete del traffico ordinario del server, che è esattamente dove non dovrebbe stare.

Noi diamo a ogni controller la sua porta fisica, il suo cavo e il suo switching, su uno spazio di indirizzi privato che non viene mai instradato da o verso una rete cliente e mai annunciato su internet. È questo che intendiamo con rete di gestione air-gapped. Una macchina cliente, anche compromessa, non ha alcun percorso verso alcun controller. Gli ingegneri raggiungono la rete di gestione solo attraverso i nostri gateway VPN e i nostri jump host.

Potete verificare la scelta corrente dal controller stesso. Su iDRAC:

racadm get iDRAC.NIC.Selection      # Dedicated, or one of the LOM ports
racadm get iDRAC.IPv4               # address, gateway, DHCP state

Su qualsiasi server con gli strumenti IPMI installati, dal sistema operativo:

ipmitool lan print 1

Mostra l'indirizzo del controller, la VLAN e le cipher suite che accetta sulla rete.

Regola due: spegnete ciò che non usate

I controller escono di fabbrica con diverse vie d'accesso, e ciascuna è superficie d'attacco. Rivedetele su ogni macchina:

• IPMI over LAN. Più vecchio, meno sicuro delle interfacce web e SSH del controller. Se nulla nei vostri strumenti ne ha bisogno, disabilitatelo (racadm get iDRAC.IPMILan.Enable mostra lo stato su iDRAC). Se qualcosa ne ha bisogno, assicuratevi che siano accettate solo cipher suite forti.
• Ora e log. Puntate il controller alle vostre sorgenti di tempo, e inviate i suoi log e le trap SNMP ai vostri collector di gestione.

Regola tre: licenziatelo come si deve

L'IPMI nudo vi dà il controllo dell'alimentazione e poco altro. I livelli con licenza sono ciò che rende un controller utile per le operazioni reali: console remota che funziona in modo affidabile, virtual media per le installazioni remote, telemetria hardware completa e gestione del firmware. Noi usiamo iDRAC Enterprise con licenza Datacenter sui server Dell, iLO Advanced sui server HPE, e Onboard Administrator ridondati su ogni enclosure blade. Un server che non può essere raggiunto pienamente attraverso il suo controller è un server che ha bisogno di una persona davanti, e quello è il modo costoso di gestire un datacenter.

Configurate l'intero enclosure in una volta

Sugli enclosure blade HPE c'è una via migliore. L'Onboard Administrator può passare uno script di configurazione all'iLO di ogni blade attraverso il backplane dell'enclosure in una sola operazione, usando il formato di scripting RIBCL di HPE tramite il comando HPONCFG. L'enclosure si autentica da solo presso ogni iLO, quindi non servono credenziali per blade, il che significa che un blade messo in rack stamattina, ancora senza una password propria, può essere completamente configurato oggi pomeriggio.

Un tipico passaggio su tutto l'enclosure imposta la licenza, aggiunge un account di gestione, imposta il timeout di sessione, punta ora e SNMP ai collector di gestione, ed è seguito da un secondo passaggio che rilegge ogni impostazione per verifica. Dell ha l'equivalente nello scripting racadm e nei server configuration profile. Qualunque produttore usiate, il principio è lo stesso: una configurazione scritta, applicata in modo identico, verificata rileggendola.

Dare accesso ai clienti senza rompere il modello

I clienti con server dedicati a volte hanno bisogno del proprio accesso alla console. Per default i nostri ingegneri usano la console remota per conto del cliente, giorno e notte. Dove un cliente ha bisogno di accesso diretto a iLO o iDRAC, lo forniamo su una VPN dedicata, così il controller stesso resta sulla rete di gestione isolata e solo il controller di quel cliente è raggiungibile attraverso di essa.

Controllate i vostri controller

• Ogni controller è su una porta dedicata, o alcuni condividono una porta dati?
• Qualche controller è raggiungibile da una rete cliente o da internet?
• IPMI over LAN è abilitato da qualche parte dove non serve?
• Ci sono ancora account di fabbrica attivi?
• I log e le trap dei controller raggiungono il vostro monitoraggio?
• C'è una configurazione scritta con cui ogni controller viene confrontato?

Se volete che il vostro hardware sia gestito con i controller chiusi a chiave dove devono stare, siamo lieti di parlarne. Parla con un ingegnere

Related (rows[1])

Correlati: Installazione in rack, onboarding dei blade, controller di gestione · La hardening baseline su ogni host · DCIM: ogni oggetto, porta, cavo e indirizzo tracciato