Використовуючи Supermicro IPMI за проксі?

Це сервер SuperMicro з материнською платою X8DT3, який містить вбудований IPMI BMC. У цьому випадку BMC - це Winbond WPCM450 ). Я вважаю, що багато серверів Dell використовують цю подібну модель BMC.

Поширена практика з IPMI полягає в тому, щоб виділити його в приватну мережу без маршрутизації. У нашому випадку всі IPMI-карти підключаються до приватної локальної мережі управління за адресою 192.168.1.0/24, яка не має шляху до зовнішнього світу. Якщо я підключу ноутбук до мережі 192.168.1.0/24, я можу переконатися, що всі функції IPMI працюють як слід, включаючи віддалену консоль.

Мені потрібно отримати доступ до всіх функцій IPMI з іншої мережі через якесь зашифроване з'єднання.

Я спробував переадресацію портів SSH. Це працює чудово для кількох серверів, однак у нас є близько 100 таких серверів, і підтримка клієнтської конфігурації SSH для пересилання 6 портів на 100 серверів недоцільна.

Тому я думав, що спробую проксі-сервер SOCKS . Це працює, але, здається, програма віддаленої консолі не підпорядковується моїм системним налаштуванням проксі.

1. Я встановлюю проксі-сервер SOCKS. Докладний журнал дозволяє мені бачити мережеву діяльність та перенаправлення портів.

   ssh -v -D 3333 stefanl@gateway.example.org
   

2. Я налаштовую свою систему на використання проксі-сервера SOCKS. Я підтверджую, що Java використовує налаштування проксі-сервера SOCKS.

3. Проксі-сервер SOCKS працює. Я підключаюсь до BMC за адресою http://192.168.1.100/ за допомогою свого веб-браузера. Я можу увійти, переглянути стан здоров'я сервера, увімкнути або вимкнути машину тощо. Оскільки ввімкнено протокол журналу SSH, я можу побачити прогрес.

Ось де це складно:

3. Я натискаю кнопку "Запустити консоль", яка завантажує файл з назвою jviewer.jnlp. Файли JNLP відкриваються за допомогою Java Web Start.

4. Відкриється вікно Java. У заголовку на панелі заголовка написано: "Переглядач перенаправлення". Існують меню для "Відео", "Клавіатури", "Миші" і т. Д. Це підтверджує, що Java може завантажити додаток через проксі і запустити програму.

5. Через 60 секунд програма закінчується та просто каже "Помилка відкриття відеорозетки". Ось скріншот . Якби це спрацювало, я побачив би вікно в стилі VNC. У моїх журналах SSH немає спроб підключення до портів 5900/5901. Це говорить про те, що програма Java запустила додаток VNC, але що програма VNC ігнорує загальносистемні настройки проксі і, таким чином, не в змозі підключитися до віддаленого хоста.

Здається, Java підкоряється моїм системним параметрам проксі, але ця програма VNC, здається, ігнорує її.

Чи є мені спосіб змусити цей додаток VNC використовувати мої налаштування проксі для всієї системи?

Здається, VPN може бути справді найкращою ставкою. Майте ACL на маршрутизаторі, щоб єдиний не локальний трафік мав пройти VPN, і ви закінчили. Дуже простий і безпечний, а також простий в управлінні.

Я зрозумів, що краще не використовувати для цього проксі-шкарпетки, а натомість переадресувати всі порти, необхідні для IP-адреси localhost. Щоб ухилитися від будь-яких існуючих служб, я використовую IP-адресу, відмінну від 127.0.0.1. Якщо припустити, що ви вибрали 127.0.0.2, а ваш сервер за проксі - 192.168.1.1, це команда ssh для використання:

ssh user @ proxy-server -L127.0.0.2: 443: 192.168.1.1: 443 -L127.0.0.2: 5900: 192.168.1.1: 5900 -L127.0.0.2: 5901: 192.168.1.1: 5901 -L127 .0.0.2: 5120: 192.168.1.1: 5120 -L127.0.0.2: 5123: 192.168.1.1: 5123 -C

Потім ви можете переглянути https://127.0.0.2 і використовувати KVM як завжди.

Передані порти TCP - це 5900 та 5901 для управління та відео, 5120 - для віртуальної CD та 5123 - для віртуальної дискети (останні два не тестував). Додано -С для стиснення, хоча я не знаю, чи що-небудь відправлене підходить для стиснення.

Інший, трохи зручніший (і теоретично, більш ефективний) метод на Linux - це використання sshuttle , який прозоро пересилає всі TCP-з'єднання через ssh за допомогою iptables та інтерпретатора python на проксі-сервері.

sshuttle -r user @ proxy-сервер 192.168.1.1

Підказка: sshuttle упаковується в Debian.

Що я поки не міг переслати, це порт UDP 623, який можна використовувати для ipmitool, підключення CLI для IPMI. З цього приводу є декілька навчальних посібників, але жоден для мене не вийшов. У будь-якому випадку, Java KVM досить добре.

Спробуйте tsocks , він повинен дозволити вам запустити будь-який процес через проксі-сервер SOCKS, встановивши LD_PRELOAD, який повинен працювати у всіх підпроцесах, див. Це, наприклад, використання. Звичайно, якщо ви використовуєте ssh для створення проксі-сервера SOCKS, ви все одно матимете проблему з UDP, але це має усунути проблему підпроцесу.