Vollbildmodus: Seiteninhalt ohne Menus

IPMI (Intelligent Platform Management Interface)

Das Intelligent Platform Management Interface (IPMI) ist eine Sammlung von standardisierten Schnittstellen in Computer-Hardware und Firmware, die benutzt wird, um den Computer zu warten und zu verwalten. Außerdem wird es eingesetzt, um automatische Berichte über auftretende Fehler zu erzeugen. Der IPMI-Standard ist eine Entwicklung der Hardware-Hersteller Intel, Hewlett-Packard, NEC und Dell.

Mittels IPMI-Karte kann man einen Rechner aus der Ferne über eine verschlüsselte Verbindung (ab IMPMI 2.0 Standard RMCP+) administrieren. Es ist quasi eine Remote KVM Lösung. Dazu muss der Rechner nicht angeschaltet sein, nur Spannung muss anliegen.

Mit IPMI hat der Administrator eine zusätzliche Möglichkeit out-of-band (über einen extra „Kanal“) auf den Rechner zuzugreifen, selbst wenn die Konfiguration des Betriebsystemes falsch ist (z.B. Netzwerkkonfiguration) oder abgestürzt ist. Auch Einstellungen im BIOS oder Reset, Anschalten des Rechner etc. ist möglich solange der Rechner (und damit die IPMI-Komponenten) grundsätzlich mit Spannung versorgt werden.

Die IPMI-Karte wird als erstes initialisiert und muss eine Netzwerk-Verbindung (Netzwerkkabel) haben. Die IP-Adresse wird (je nach Mainboard) im BIOS des Rechners oder mittels der Software eingestellt.

Begriffe bei IPMI

  • IPMI – Intelligent Platform Management Interface
  • SOL – Serial Over LAN
  • SMDC – Server Management Daughter Card
  • BMC – Baseboard Management Controller
  • KVM – Keyboard Video Mouse

Funktionen

  • Verwaltung des Rechners sobald Spannung anliegt, das eigentliche Betriebssystem muss noch nicht korrekt eingerichtet sein.
  • Reset und Start des Rechners per Mausklick
  • Fernsteuerung der Tastatur
  • Bildschirmübertragung und Steuerung incl. BIOS
  • lokale Laufwerke und ISO-Abbilder können am entfernten Rechner eingebunden werden.
  • Monitorung der Temperatur, Lüfter, etc. mit Ereignis Logbuch

Voraussetzungen

  • eine funktionierende TCP/IP-Anbindung
  • extra zu bezahlene IPMI-Karte (Aufpreis ~100eur)
  • Mainboard dessen Grafikchip kompatibel ist
  • im Netzwerk (des Kunden) muss eine IP-Adresse extra reserviert und auf der IPMI-Karte eingerichtet werden.

Links

Konfiguration

Wenn das System per (Hardware-) Firewall abgeschirmt wird, muss Port 623 (UDP) geöffnet werden

IPMI-Karte zurücksetzen

Auf dem System in der die IPMI-Karte eingebaut ist:

  1. Download von IPMIcfg (lauffähig unter DOS & Linux) Die Registrierungssseite kann damit übersprungen werden.
  2. auf den Server kopieren, entpacken
  3. aus dem Ordner linux/64bit das Programm starten: ./ipmicfg-linux.x86_64.static -fd (Bei Erfolg: Reset to the factory default completed.)
  4. aktuelle IP anzeigen (DHCP ist Voreinstellung) mit ./ipmicfg-linux.x86_64.static -m
  5. mit ADMIN/ADMIN einloggen

siehe auch: IPMI Passwort zurücksetzen.

IP-Adresse einstellen

  • von Supermicro-CD starten
  • Taste drücken bei erster Meldung
  • mit „IPMICFG“ Einstellungen vornehmen, Optionen von ipmicfg:
    • -m“ zeigt MAC-Adresse und aktuelle IP
    • “-m 192.168.123.123“ setzt die IP 192.168.123.123
    • “-k 255.255.255.0“ setzt Subnetzmaske 255.255.255.0
    • -dhcp on|off

Verbindung mit ipmiview

  1. Programm von CD installieren
  2. IP bzw. das Netz der IPMI-Karte muss bekannt sein
  3. Username und Passwort ist zuerst „ADMIN“

ipmitool

:!: Bei Supermicro-Boards ist der Standard-Benutzer „ADMIN“ mit Passwort „ADMIN“, das sollte geändert werden!

ipmitool -U ADMIN -H Hostname_ODER_IP IPMI_Befehl
-U BENUTZER
-H Hostname_ODER_IP
IPMI_Befehl

Das Passwort durch vier Methoden übergeben werden:

  1. interaktiv (-a oder wenn nichts angegeben wurde)
  2. aus einer Passwortdatei gelesen werden (-f Dateiname)
  3. als Parameter übergeben werden: -p Passwort - das Passwort wird in der Prozessliste auftauchen auftauchen, ist also aus Sicherheitsgründen nicht zu empfehlen
  4. in der Umgebungsvariable „IPMI_PASSWORD“ mit -E

IPMI-Absicherung

  1. Standardpasswörter ändern!
  2. Benutzerrollen zuweisen, nicht alle mit vollen Rechten ausstatten wenn nicht nötig
  3. eigenen IP-Adressbereich / eigenes VLAN für diese Verwaltungsaufgaben einrichten
  4. diesen Adressbereich per Firefall absichern bzw. Überwachungsregeln einrichten
  5. regelmäßig auf Sicherheitslücken/BMC-Firmware-updates überprüfen

siehe auch: Best Practices for managing servers with IPMI features enabled in Datacenters, ipmi password cracking.

 
software/ipmi.txt · Zuletzt geändert: 2015/03/14 00:38 von st
 
Backlinks: [[software:ipmi]]