A porta mais privilegiada do rack é a que ninguém vigia

Todos os servidores modernos transportam um segundo computador, mais pequeno, lá dentro: o controlador de gestão. Nos servidores HPE é o iLO, nos servidores Dell é o iDRAC, e nos blade enclosures há um Onboard Administrator acima dos blades. É muitas vezes tratado como uma comodidade para reinícios remotos. É, na verdade, o componente mais privilegiado do rack, e merece que se desenhe à sua volta.

O que um controlador de gestão pode fazer

Todo o hardening que faz dentro do sistema operativo é irrelevante se o controlador for alcançável pelas pessoas erradas.

Regra um: porta própria, rede própria

A maioria dos servidores pode correr o controlador numa porta de gestão dedicada ou partilhado com uma das portas de rede principais. Partilhar é cómodo, porque poupa um cabo e uma porta de switch. Mas coloca o controlador na mesma rede que o tráfego normal do servidor, que é exatamente onde não deve estar.

Damos a cada controlador a sua própria porta física, o seu próprio cabo e o seu próprio switching, num espaço de endereços privado que nunca é encaminhado de ou para qualquer rede de cliente e nunca é anunciado à internet. É isso que queremos dizer com rede de gestão fisicamente isolada (air-gapped). Uma máquina de cliente, mesmo comprometida, não tem caminho para nenhum controlador. Os engenheiros chegam à rede de gestão apenas através dos nossos próprios VPN gateways e jump hosts.

Pode verificar a escolha atual a partir do próprio controlador. Em iDRAC:

racadm get iDRAC.NIC.Selection      # Dedicated, or one of the LOM ports
racadm get iDRAC.IPv4               # address, gateway, DHCP state

Em qualquer servidor com ferramentas IPMI instaladas, a partir do sistema operativo:

ipmitool lan print 1

Isso mostra o endereço do controlador, a VLAN e os cipher suites que aceita pela rede.

Regra dois: desligue o que não usa

Os controladores vêm com várias formas de entrada, e cada uma é superfície de ataque. Reveja-as em todas as máquinas:

• IPMI over LAN. Mais antigo, menos seguro do que as interfaces web e SSH do controlador. Se nada nas suas ferramentas precisar dele, desative-o (racadm get iDRAC.IPMILan.Enable mostra o estado em iDRAC). Se algo precisar, garanta que só são aceites cipher suites fortes.
• Hora e logging. Aponte o controlador às suas fontes de hora, e envie os seus logs e SNMP traps para os seus collectors de gestão.

Regra três: licencie-o como deve ser

O IPMI puro dá-lhe controlo de alimentação e pouco mais. Os níveis licenciados são o que torna um controlador útil em operação real: consola remota que funciona com fiabilidade, virtual media para instalações remotas, telemetria completa do hardware e gestão de firmware. Operamos iDRAC Enterprise com licença Datacenter nos servidores Dell, iLO Advanced nos servidores HPE, e Onboard Administrators redundantes em todos os blade enclosures. Um servidor que não pode ser totalmente alcançado através do seu controlador é um servidor que precisa de uma pessoa à frente dele, e essa é a forma cara de operar um datacenter.

Configure o enclosure inteiro de uma vez

Nos blade enclosures HPE há um caminho melhor. O Onboard Administrator pode passar um script de configuração ao iLO de cada blade através do backplane do enclosure numa única operação, usando o formato de scripting RIBCL da HPE através do comando HPONCFG. O enclosure autentica-se ele próprio em cada iLO, pelo que não são precisas credenciais por blade, o que significa que um blade instalado no rack de manhã, ainda sem palavra-passe própria, pode estar totalmente configurado à tarde.

Uma passagem típica a todo o enclosure define a licença, acrescenta uma conta de gestão, define o session timeout, aponta a hora e o SNMP aos collectors de gestão, e é seguida de uma segunda passagem que volta a ler cada definição para verificação. A Dell tem o equivalente em scripting racadm e server configuration profiles. Seja qual for o fabricante, o princípio é o mesmo: uma configuração escrita, aplicada de forma idêntica, verificada por leitura.

Dar acesso aos clientes sem quebrar o modelo

Os clientes com dedicated servers precisam por vezes do seu próprio acesso à consola. Por omissão, os nossos engenheiros usam a consola remota em nome do cliente, de forma contínua. Onde um cliente precisa de acesso direto ao iLO ou ao iDRAC, fornecemo-lo através de uma VPN dedicada, para que o próprio controlador fique na rede de gestão isolada e apenas o controlador desse cliente seja alcançável através dela.

Verifique os seus próprios controladores

• Todos os controladores estão numa porta dedicada, ou alguns partilham uma porta de dados?
• Algum controlador pode ser alcançado a partir de uma rede de cliente ou da internet?
• O IPMI over LAN está ativo em algum sítio onde não é preciso?
• Há contas de fábrica ainda ativas?
• Os logs e os traps dos controladores chegam à sua monitorização?
• Existe uma configuração escrita contra a qual todos os controladores são verificados?

Se quer o seu hardware gerido com os controladores fechados onde pertencem, teremos todo o gosto em conversar. Fale com um engenheiro

Relacionados: Montagem em rack, integração de blades, controladores de gestão · O hardening baseline em cada host · DCIM: cada objeto, porta, cabo e endereço registados