Noteingang Serviceprozessoren sicher einsetzen

Ordnungsmerkmale

erschienen in: <kes> 2006^#5, Seite 84

Zusammenfassung: Serviceprozessoren bereichern das Out-of-Band-Management von Servern enorm: Anders als andere Fernwartungs-Instrumente können sie auch Vitalitätsdaten überwachen. Ohne Weiteres kann das Remote-Management mit den unabhängigen Wartungseinheiten jedoch kaum als sicher gelten. Um sie in Einklang mit internen Sicherheitsrichtlinien zu bringen, bedarf es meist ergänzender Technik.

Autor: Von Wolfgang Goretzki, München

Serviceprozessoren schließen eine Lücke im Out-of-Band-Management: Netzwerkverantwortliche sind damit in der Lage, unabhängig vom Betriebszustand des Servers von Ferne Vorfälle auf diesem zu loggen, die Stromzufuhr zu steuern, ein neues Betriebssystem aufzuspielen, Fehler zu diagnostizieren und die Geräte ferngesteuert wieder in Betrieb zu nehmen. Serviceprozessoren befinden sich entweder direkt auf dem Mainboard oder auf einer Steckkarte moderner Server.

Für die Kommunikation mit ihnen haben verschiedene Hersteller proprietäre Protokolle entwickelt – beispielsweise Advanced Lights Out Management (ALOM) von Sun, Intelligent Lights Out (ILO) von HP/Compaq, Remote Supervisor Adapter (RSA) von IBM und Dell Remote Assistant Cards (DRAC). 1998 hat ein Konsortium von Hardware-Herstellern zudem den offenen Standard Intelligent Platform Management Interface (IPMI) vorgestellt; mittlerweile gibt es die Spezifikation in ihrem dritten Release (IPMI 2.0), das etwa 170 Hersteller adaptiert haben.

Die IPMI-Firmware läuft auf dem Serviceprozessor (auch als Baseboard Management Controller – BMC – bezeichnet) und bildet zusammen mit diesem ein unabhängiges Management-Subsystem. Selbst wenn der Server ausfällt oder das Betriebssystem gestört ist, können Systemadministratoren über IPMI immer noch mit der Server-Hardware kommunizieren. Das erfolgt entweder über LAN mithilfe des Remote-Management-Control-Protokolls (RMCP) per UDP oder über einen eigenen seriellen Port der Serviceprozessoren. IPMI 2.0 ermöglicht zudem auch den Datenaustausch per Serial over LAN (SOL).

Einige Serviceprozessoren unterstützen ähnlich wie KVM-Switches Keyboard-, Video- und Maus-Funktionen, sodass sich das Fernmanagement damit genauso "anfühlt" wie eine Tätigkeit direkt am Server. Damit ähnelt sich das Leistungsportfolio von Serviceprozessoren auf den ersten Blick dem klassischer Out-of-Band-Werkzeuge wie serieller Ports oder KVM- (evtl. -over-IP-) Switches an. Nur für die Steuerung der Stromverteilung sind bei den traditionellen Instrumenten zusätzliche Tools notwendig.

Mehr als KVM

Serviceprozessoren haben jedoch einen entscheidenden Vorteil: Sie befinden sich innerhalb der Server selbst und sind dadurch in der Lage, auch die Vitalitätsdaten der Geräte über die Abfrage der unterschiedlichen internen Sensoren zu überwachen. Dazu gehören beispielsweise Temperatur, Lüftergeschwindigkeit, Versorgungsspannungen oder CPU-Auslastung. So können Administratoren beispielsweise den Ausfall eines Lüfters von Ferne frühzeitig registrieren und entsprechend reagieren. Serviceprozessoren mit IPMI können zudem bei bedrohlichen Änderungen der Vitalitätsdaten SNMP-Alerts verschicken. Ein weiteres Argument "pro Serviceprozessor" ist, dass sie in den meisten Fällen bereits mitgeliefert werden und zudem keinen zusätzlichen Platz im Rack benötigen.

Zwei Stolpersteine gibt es aber dennoch beim Einsatz von Serviceprozessoren für das Out-of-Band-Management: Sicherheit und Komplexität.

Seiteneingang überwachen

Sicherheit ist beim Out-of-Band-Management generell ein wichtiges Thema. Zum einen im durchaus positiven Sinne, da die Fernverwaltung der Hardware für mehr Sicherheit sorgt: Administratoren müssen das oder die Rechenzentren kaum noch betreten, die Gefährdung der IT und der Daten durch den menschlichen Zutritt wird auf ein Minimum reduziert. Zum anderen können die Netzwerkverantwortlichen ausgefallene Geräte schneller wieder in Betrieb nehmen, als wenn sie sich zuerst physisch der entsprechenden Hardware nähern müssten. Dies sorgt für höhere Verfügbarkeit.

Auf der anderen Seite bedeutet Out-of-Band-Management aber auch immer den Gerätezugriff über "die Hintertür", sprich: Die Zugriffe umgehen die Sicherheitssysteme des internen LANs. Aus diesem Grund bieten Managementsysteme für den Fernzugriff über serielle Konsolen oder KVM-Switches üblicherweise Sicherheitsfeatures wie serverbasierte Authentifizierung und Verschlüsselung (z. B. über SSH, SSL, AES RADIUS, TACACS+, LDAP, NIS oder Kerberos). Zum Teil unterstützen sie auch eine token-basierte User-Authentifizierung.

Der Fernzugriff auf die Serviceprozessoren per se erfordert nur ein lokales Passwort und einen Benutzernamen – eine sehr schlichte Authentifizierung also, die für größere Unternehmen keinen ausreichenden Schutz bietet; einfache Netzwerk-Scanner wären in der Lage, diese Zugangscodes abzufangen. Serviceprozessoren mit IBM RSA, HP iLO und Dell DRAC können Anmeldungen zusätzlich über LDAP authentifizieren. Dies ist jedoch für große IT-Umgebungen ebenfalls nicht zufriedenstellend, die entweder skalierbare Verfahren für die serverbasierte Authentifizierung benötigen oder Active Directory, RADIUS, TACACS+, NIS oder Kerberos verlangen. Da sich derartige Sicherheitsfunktionen nicht auf Serviceprozessor-Ebene implementieren lassen, müssen sie über ein externes Gerät zur Verfügung gestellt werden, so genannte Serviceprozessor-Manager.

Erthernet-Schnittstellen von Service-Prozessoren sollten in einem getrennten Management-Netz genutzt werden.

Serviceprozessor-Manager

Diese ergänzende Managementtechnik sollte alle Ethernet-Verbindungen der Serviceprozessoren zusammenfassen und das Serviceprozessor-Netzwerk vom produktiven Netzwerk isolieren. Da die Serviceprozessoren dann ausschließlich über den entsprechenden Manager erreichbar sind, entsteht ein sicherer, kontrollierbarer und konsolidierter Zugangsweg. Des Weiteren sollte eine solche Lösung den Zugriff je nach Berechtigung des Users oder der nachfragenden Anwendung zentral steuern und überwachen können und dabei auch einzelne Funktionen der Serviceprozessoren je nach Berechtigung zugänglich machen oder sperren.

Wichtig ist zudem, dass Zugriffe und Aktivitäten auf dem jeweiligen Server revisionssicher protokolliert werden (ggf. gem. Sarbanes-Oxley Act – SOX). Es sollten gesicherte Kontrolllisten bestehen, die nach Benutzernamen, -gruppen oder IP-Adressen sortiert sind. Zudem ist es unerlässlich, dass alle User über skalierbare Verfahren wie beispielsweise RADIUS, TACACS+, LDAP, Active Directory serverbasiert authentifiziert werden – wie bereits erwähnt ist dies oft die ursprüngliche Motivation für den Einsatz eines Serviceprozessor-Managers. Als Backup für den Authentifizierungsserver sollte dennoch ein System mit lokalen Passwörtern existieren.

Für eine verbesserte Sicherheit ist zudem notwendig, dass der Datenaustausch mit den Serviceprozessoren über chiffrierte Verbindungen erfolgt, beispielsweise Secure Shell (SSH, für den Zugang über Command Line) oder Secure Sockets Layer (SSL) beziehungsweise HTTPS (für den webbasierten Zugang).

Komplexität verringern

Neben der Sicherheitsproblematik wirft die Hardware-Steuerung über Serviceprozessoren auch Fragen hinsichtlich der Komplexität auf: In großen Unternehmen befinden sich oft Tausende von Servern und dementsprechend viele Serviceprozessoren. Jedem muss gegebenenfalls eine eigene IP-Adresse zugewiesen werden – oft ein zeitaufwändiger und damit kostspieliger Prozess. Auch hier kann ein Serviceprozessor-Manager hilfreich sein, der nicht nur die Funktion des Sicherheits-Gateways übernimmt, sondern auch als Konsolidierungsebene dient. Wichtig ist dabei, dass der Manager nicht nur das standardisierte IPMI versteht, sondern gegebenenfalls auch proprietäre Protokolle sowie herstellerspezifische IPMI-Erweiterungen. Wünschenswert wären darüber hinaus Funktionen wie eine grafische Veranschaulichung oder das Monitoring von Sensoreninformationen, Strommanagement und Echtzeit-Video-/Keyboard-/Maus-Kontrolle.

Zudem sollte man nicht vergessen, dass Serviceprozessoren traditionelle Out-of-Band-Instrumente nicht vollständig ersetzen können: Zum einen lässt sich mit ihnen ausschließlich auf Server, nicht aber auf Switches, Hubs, Firewalls oder TK-Systeme zugreifen. Zum anderen sind Administratoren mit KVM-Switches und seriellen Ports in der Lage, nicht nur die Aktivitäten der Server selbst, sondern auch Vorgänge auf dem laufenden System zu überwachen und zu verwalten. Das Management der Serviceprozessoren sollte sich daher reibungslos in die übrige Out-of-Band-Infrastruktur einfügen. Ideal ist es, wenn sich alle Zugänge über ein einziges Management-GUI und eine gemeinsame IP-Adresse kontaktieren lassen (konsolidierte Management-Plattform – z. B. bei Avocent DSView 3).

Fazit

Unternehmen stehen verschiedene Wege offen, um Ausfallzeiten ihrer Server zu reduzieren. Serviceprozessoren ergänzen traditionelle Out-of-Band-Geräte ideal, da sie in der Lage sind, geräteinterne Vitalitätsdaten abzufragen und damit dem Administrator wichtige Indikatoren für die Prognose möglicher Ausfälle liefern. Für die Nutzung dieses Potenzials bedarf es jedoch zusätzlicher Managementtechnik, die sowohl erhöhte Sicherheit bietet als auch die Komplexität des Serviceprozessor-Managements reduziert.

Wolfgang Goretzki ist Market Manager EMEA bei Avocent.

zurück zum Inhalt
© SecuMedia-Verlags-GmbH, 55205 Ingelheim (DE),
<kes> 2006^#5, Seite 84