Найпривілейованіший порт у стійці є тим, за яким ніхто не стежить

Кожен сучасний сервер несе в собі другий, менший комп’ютер: контролер керування. На серверах HPE це iLO, на серверах Dell це iDRAC, а на блейд-шасі над блейдами є Onboard Administrator. Його часто сприймають як зручність для віддалених перезавантажень. Насправді він є найпривілейованішим компонентом у стійці і заслуговує на те, щоб дизайн будувався навколо нього.

Що може робити контролер керування

Усе зміцнення захисту, яке ви робите всередині ОС, не має значення, якщо контролер досяжний для не тих людей.

Правило перше: власний порт, власна мережа

Більшість серверів можуть запускати контролер або на виділеному порту керування, або спільно з одним з основних мережевих портів. Спільне використання зручне, бо економить кабель і порт switch. Воно також ставить контролер у ту саму мережу, що й звичайний трафік сервера, тобто саме туди, де його не повинно бути.

Ми даємо кожному контролеру власний фізичний порт, власний кабель і власну комутацію, у приватному адресному просторі, який ніколи не маршрутизується до жодної клієнтської мережі чи з неї і ніколи не анонсується в інтернет. Саме це ми маємо на увазі під фізично відокремленою (air-gapped) мережею керування. Клієнтська машина, навіть скомпрометована, не має шляху до жодного контролера. Інженери потрапляють у мережу керування лише через наші власні VPN-шлюзи та jump hosts.

Поточний вибір можна перевірити з самого контролера. На iDRAC:

racadm get iDRAC.NIC.Selection      # Dedicated, or one of the LOM ports
racadm get iDRAC.IPv4               # address, gateway, DHCP state

На будь-якому сервері зі встановленими інструментами IPMI, з операційної системи:

ipmitool lan print 1

Це показує адресу контролера, VLAN і набори шифрів, які він приймає через мережу.

Правило друге: вимкніть те, чим не користуєтеся

Контролери постачаються з кількома входами, і кожен з них є поверхнею атаки. Перегляньте їх на кожній машині:

• IPMI через LAN. Старіший і менш безпечний, ніж веб- і SSH-інтерфейси контролера. Якщо ніщо у вашому інструментарії його не потребує, вимкніть його (racadm get iDRAC.IPMILan.Enable показує стан на iDRAC). Якщо щось його потребує, переконайтеся, що приймаються лише сильні набори шифрів.
• Час і логування. Спрямуйте контролер на ваші джерела часу і надсилайте його логи та SNMP traps до ваших колекторів у мережі керування.

Правило третє: ліцензуйте його належно

Голий IPMI дає вам керування живленням і небагато більше. Ліцензовані рівні є тим, що робить контролер корисним для реальної експлуатації: віддалена консоль, яка працює надійно, віртуальні носії для віддалених інсталяцій, повна апаратна телеметрія і керування прошивками. Ми використовуємо iDRAC Enterprise з ліцензуванням Datacenter на серверах Dell, iLO Advanced на серверах HPE і резервовані Onboard Administrator на кожному блейд-шасі. Сервер, до якого не можна повністю дістатися через його контролер, є сервером, якому потрібна людина перед ним, а це дорогий спосіб експлуатувати датацентр.

Налаштуйте все шасі одразу

На блейд-шасі HPE є кращий шлях. Onboard Administrator може передати скрипт конфігурації до iLO кожного блейда через backplane шасі за одну операцію, використовуючи формат скриптів HPE RIBCL через команду HPONCFG. Шасі саме автентифікується на кожному iLO, тому облікові дані для кожного блейда не потрібні, а це означає, що блейд, поставлений у стійку сьогодні вранці, ще без власного пароля, може бути повністю налаштований сьогодні вдень.

Типовий прохід по всьому шасі встановлює ліцензію, додає обліковий запис керування, задає таймаут сесії, спрямовує час і SNMP на колектори мережі керування, і за ним іде другий прохід, який перечитує кожне налаштування для перевірки. У Dell еквівалентом є скрипти racadm і профілі конфігурації сервера. Хоч якого виробника ви використовуєте, принцип той самий: одна записана конфігурація, застосована ідентично, перевірена перечитуванням.

Доступ для клієнтів, що не ламає модель

Клієнтам з виділеними серверами іноді потрібен власний доступ до консолі. За замовчуванням наші інженери використовують віддалену консоль від імені клієнта, цілодобово. Там, де клієнту потрібен прямий доступ до iLO або iDRAC, ми надаємо його через виділений VPN, щоб сам контролер залишався в ізольованій мережі керування і через нього був досяжний лише контролер цього клієнта.

Перевірте власні контролери

• Чи кожен контролер на виділеному порту, чи деякі ділять порт даних?
• Чи можна дістатися до якогось контролера з клієнтської мережі або з інтернету?
• Чи ввімкнено IPMI через LAN там, де він не потрібен?
• Чи досі активні якісь заводські облікові записи?
• Чи доходять логи і traps контролерів до вашого моніторингу?
• Чи є одна записана конфігурація, з якою звіряється кожен контролер?

Якщо ви хочете, щоб вашим обладнанням керували з контролерами, замкненими там, де їм місце, ми радо поговоримо. Поговоріть з інженером

Related (rows[1])

Пов’язане: Збірка стійок, підключення blade, контролери керування · Hardening baseline на кожному хості · DCIM: кожен об’єкт, порт, кабель і адреса відстежуються