LOM-Port-Verwaltung für MPX 9200 und MPX 17000

Dieser Abschnitt enthält Schritt-für-Schritt-Anleitungen für die Erstkonfiguration der Lights Out Management (LOM)-Schnittstelle auf NetScaler MPX 9200- und 17000-Serienplattformen. Das LOM ermöglicht eine wesentliche Out-of-Band-Verwaltung, sodass Sie das Gerät unabhängig vom Hauptbetriebssystem verwalten können.

Voraussetzungen

Bevor Sie mit der LOM-Konfiguration beginnen, stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind:

• Physischer oder Konsolenzugriff auf NetScaler.
• Netzwerkkonnektivität zum LOM-Port (direkt oder über Switch).
• Seriennummer des Geräts (erforderlich für die Erstauthentifizierung).
• Geplantes IP-Adressierungsschema für das LOM-Netzwerksegment.
• Anmeldeinformationen für den Administratorzugriff.
• Webbrowser mit HTML5-Unterstützung (Chrome, Firefox, Edge oder Safari).
• Standard-HTTPS-Netzwerkzugriff (Port 443) auf die LOM-IP-Adresse.

Hinweis:

Java oder Plugins von Drittanbietern sind nicht erforderlich.

Erster Netzwerkzugriff

Die LOM-Schnittstelle ist mit Standardeinstellungen konfiguriert, um die Erstkonfiguration zu erleichtern.

Standard-LOM-Einstellungen

Netzwerkverbindungsmethoden

Wählen Sie eine der folgenden Verbindungsmethoden für die Ersteinrichtung aus:

Direkte Verbindung:

• Verbinden Sie einen Laptop-Ethernet-Port über ein Crossover-Kabel mit der LOM-Schnittstelle.
• Stellen Sie die statische IP-Adresse des Laptops auf 192.168.1.10 mit einer Subnetzmaske von 255.255.255.0 ein.

Geschaltete Verbindung:

• Verbinden Sie die LOM-Schnittstelle und eine Management-Workstation mit demselben Netzwerk-Switch.
• Stellen Sie sicher, dass sich beide Geräte in der 192.168.1.0/24 Broadcast-Domäne befinden.

LOM mithilfe der GUI konfigurieren

Erstanmeldung und Passwortänderung

Greifen Sie über die Standard-IP-Adresse auf die LOM-Weboberfläche zu.

1. Einen Webbrowser öffnen

   1. Geben Sie https://192.168.1.3 ein.
   2. Akzeptieren Sie die Warnung vor dem selbstsignierten SSL-Zertifikat, die im Browser angezeigt wird.

2. Mit Standardanmeldeinformationen authentifizieren

   1. Geben Sie nsroot als Benutzernamen ein.
   2. Geben Sie die Seriennummer des Geräts als Passwort ein (Hinweis: Groß-/Kleinschreibung beachten).
   3. Klicken Sie auf Anmelden.

3. Obligatorische Passwortänderung

   Beim ersten Login erzwingt das System aus Sicherheitsgründen eine Passwortänderung.

   • Aktuelles Passwort: Geben Sie die Seriennummer des Geräts ein.
   • Neues Passwort: Geben Sie ein Passwort ein, das den auf der Seite angezeigten Komplexitätsanforderungen entspricht.
   • Passwort bestätigen: Geben Sie das neue Passwort erneut ein.
   • Klicken Sie auf Senden, um zu speichern.

Hinweis:

Das System meldet Sie automatisch ab, sobald das Passwort gespeichert wurde. Melden Sie sich erneut mit dem nsroot Konto und Ihrem neu erstellten Passwort an.

Netzwerkkonfiguration

Um LOM in Ihr Produktionsmanagementnetzwerk zu integrieren:

1. Navigieren Sie zu Einstellungen > Netzwerk-IP-Einstellungen > LAN-Schnittstelle (eth0).
2. Geben Sie die folgenden Details ein:
   1. IPv4-Adresse
   2. IPv4-Subnetz
   3. IPv4-Gateway
3. Klicken Sie auf Speichern. Der Baseboard Management Controller (BMC) benötigt etwa 30 Sekunden, um die Änderungen zu übernehmen, und trennt dann Ihre aktuelle Sitzung.

4. Überprüfen Sie die Konnektivität, indem Sie die neue LOM-IP-Adresse mit dem folgenden Befehl von Ihrer Verwaltungsarbeitsstation aus anpingen:

   ping <New_LOM_IP_Address>

5. Greifen Sie über die neue IP-Adresse auf die LOM-Schnittstelle zu:

   https://<new_LOM_IP_address>

6. Melden Sie sich mit nsroot und dem aktualisierten Kennwort an.

Einschränkung des System-Lockdown-Modus

Wenn der System-Lockdown-Modus aktiviert ist, sind alle Out-of-Band-Verwaltungsschnittstellen (LOM-Web-UI, IPMI und Redfish) auf schreibgeschützten Zugriff beschränkt. Infolgedessen können Benutzer LOM/BMC-Einstellungen wie Netzwerkeinstellungen und Benutzerverwaltung im Menü Einstellungen nicht ändern.

Symptome des Lockdown-Modus

Wenn das System gesperrt ist, treten in der GUI die folgenden Probleme auf:

• Fehlermeldungen: Unzureichende Berechtigung (Code 8000).
• Benachrichtigungen: Sie haben keine Berechtigung, diesen Inhalt anzuzeigen.
• GUI-Verhalten: Menüelemente für Einstellungen erscheinen ausgegraut oder sind vollständig unzugänglich.

Betroffene Funktionen

Die folgenden Vorgänge sind während der Sperrung eingeschränkt:

• Änderungen an der Netzwerkkonfiguration.
• Benutzerverwaltung und Kennwortvorgänge.
• LOM-Firmware-Updates.
• Änderungen an den Daten der vor Ort austauschbaren Einheit (FRU).

Lösung

Die Systemsperre muss vom NetScaler-Host-Betriebssystem aus mithilfe von ipmitool Befehlen deaktiviert werden. Informationen zum Deaktivieren der Sperre finden Sie im Abschnitt System lockdown management im CLI-Abschnitt für Sperrverwaltungsverfahren.

LOM mithilfe der CLI (IPMI-Tool) konfigurieren

Wenn die GUI unzugänglich ist oder System Lockdown aktiv ist, verwenden Sie die NetScaler-Host-Shell, um die ipmitool Befehle auszuführen.

MPX 17000 Systemsperrmodus (LOM-Sicherheitsverbesserung)

Wenn die Systemsperre In-Band vom Host-Betriebssystem aus aktiviert wird, erzwingt der BMC den Out-of-Band-Konfigurationsschutz. Alle Plattformkonfigurationsschnittstellen – einschließlich LOM-Firmware-Updates, Netzwerkeinstellungen, Benutzerverwaltung, FRU-Daten und allgemeiner LOM-Konfiguration – sind auf „Nur-Lese“-Zugriff über die LOM-Web-Benutzeroberfläche und IPMI/Redfish-Schnittstellen beschränkt.

Es können keine dauerhaften Konfigurations- oder Firmware-Änderungen vorgenommen werden, während die Sperre aktiv ist.

Zugriffsanforderungen

Um Befehlszeilenanweisungen auszuführen, stellen Sie eine Verbindung zum Gerät her, indem Sie eine der folgenden Methoden verwenden:

• Serielle Konsolenverbindung
• SSH-Sitzung (wenn ein Netzwerk konfiguriert ist)
• Direkter Zugriff oder Monitorzugriff

Hinweis:

Alle Befehle müssen in der NetScaler-Shell-Umgebung ausgeführt werden. Wenn Sie sich an der NetScaler-CLI-Eingabeaufforderung befinden, geben Sie shell ein, um die FreeBSD-Umgebung aufzurufen.

System-Lockdown-Verwaltung

Der System-Lockdown-Modus erzwingt schreibgeschützten Zugriff über alle Out-of-Band-Verwaltungsschnittstellen. Diese Sicherheitsfunktion verhindert unbefugte Konfigurationsänderungen über LOM, IPMI und Redfish.

• Status prüfen: ipmitool raw 0x34 0x81 (00=Deaktiviert (Konfigurationsänderungen erlaubt), 01=Aktiviert (Schreibgeschützter Modus aktiv)).

• Lockdown deaktivieren: ipmitool raw 0x34 0x81 0x0.

  Dieser Befehl ermöglicht vollen Lese- und Schreibzugriff auf alle BMC-Konfigurationsschnittstellen.

• Lockdown aktivieren: ipmitool raw 0x34 0x81 0x1.

  Dieser Befehl beschränkt alle BMC-Schnittstellen auf schreibgeschützten Zugriff für erhöhte Sicherheit.

Statische IP-Konfiguration

Führen Sie das folgende Verfahren aus, um die Schnittstelle manuell zu konfigurieren:

1. IP-Adressquelle auf statisch festlegen: Ändern Sie den Schnittstellenmodus, um DHCP zu deaktivieren und die Schnittstelle für die statische IP-Zuweisung mit dem folgenden Befehl vorzubereiten:

   ipmitool lan set 1 ipsrc static

2. IP-Adresse zuweisen: Geben Sie die statische IP-Adresse für die LOM-Schnittstelle mit dem folgenden Befehl an:

   ipmitool lan set 1 ipaddr <LOM_IP_Address>

   Beispiel: ipmitool lan set 1 ipaddr 192.0.2.255

3. Subnetzmaske zuweisen: Definieren Sie die Subnetzmaske für das LOM-Netzwerksegment mit dem folgenden Befehl:

   ipmitool lan set 1 netmask <Subnet_Mask>

   Beispiel: ipmitool lan set 1 netmask 255.255.255.0

4. Standard-Gateway konfigurieren: Geben Sie die Gateway-Adresse für das Routing von Datenverkehr außerhalb des lokalen Segments mit dem folgenden Befehl an:

   ipmitool lan set 1 defgw ipaddr <Gateway_IP>

   Beispiel: ipmitool lan set 1 defgw ipaddr 192.0.2.255

5. Setzen Sie den BMC zurück oder starten Sie ihn neu, um die Änderungen zu übernehmen:

   ipmitool bmc reset cold

   Der BMC benötigt nach einem Reset etwa 120 Sekunden, um vollständig initialisiert zu werden.

Konfiguration überprüfen

Überprüfen Sie nach der 120-sekündigen Initialisierungsphase die neue Netzwerkkonfiguration.

Aktuelle LOM-Netzwerkeinstellungen anzeigen

Führen Sie den folgenden Befehl aus, um alle aktuellen Netzwerkparameter anzuzeigen, einschließlich IP-Adresse, Subnetzmaske, Gateway und MAC-Adresse.

ipmitool lan print 1

Netzwerkkonnektivität testen

Testen Sie von einer externen Management-Workstation aus die Konnektivität zur neuen LOM-IP-Adresse:

ping <new_LOM_IP_address>

Greifen Sie auf die LOM-Weboberfläche zu, um die volle Funktionalität zu bestätigen:

https://<new_LOM_IP_address>

Benutzerpasswortverwaltung

Ändern Sie das Standard-LOM-Passwort aus der NetScaler-Hostumgebung, um die Sicherheit zu erhöhen.

1. Aktuelle Benutzer auflisten

   Führen Sie den folgenden Befehl aus, um alle konfigurierten LOM-Benutzerkonten mit ihren Benutzer-IDs anzuzeigen:

   ipmitool user list 1

   Beispielausgabe:

   ID	Name	Callin	Link-Authentifizierung	IPMI-Nachricht	Kanal-Berechtigungslimit
   1	ns-Administrator	falsch	falsch	falsch	KEIN ZUGRIFF
   2		falsch	falsch	wahr	ADMINISTRATOR
   3		wahr	falsch	falsch	KEIN ZUGRIFF

   Hinweis:

   Das Standardkonto nsroot hat die Benutzer-ID 2.

2. Benutzerpasswort ändern

   Führen Sie den folgenden Befehl aus, um das Passwort für das Konto nsroot (Benutzer-ID 2) zu ändern:

   ipmitool user set password <user_ID> <new_LOM_password>

   Dabei gilt:

   • <user_ID> ist die entsprechende Benutzer-ID (typischerweise 2 für das nsroot-Konto).
   • <new_LOM_password> ist das neue Kennwort.

   Beispiel:

   ipmitool user set password 2

   Sie werden aufgefordert, das neue Kennwort interaktiv einzugeben.

   Alternative (nicht interaktiv):

   ipmitool user set password 2 NewSecurePassword123

   Hinweis:

   Das System fordert interaktiv das neue Kennwort an. Geben Sie das Kennwort ein, wenn Sie dazu aufgefordert werden.

LOM-Werksreset

Stellen Sie die BMC auf die Werkseinstellungen zurück. Wenn die Option Konfiguration beibehalten (IPMI/Netzwerk) im Abschnitt Wartung → Konfiguration beibehalten der LOM-GUI nicht aktiviert ist, setzt dieser Vorgang alle Einstellungen – einschließlich LOM-Netzwerkkonfiguration, Benutzerkonten und IPMI-Webeinstellungen – auf die LOM-Werkseinstellungen zurück.

Führen Sie den folgenden Befehl aus, um das LOM auf die Werkseinstellungen zurückzusetzen.

ipmitool raw 0x32 0x66

Auswirkung des Resets:

• Alle Einstellungen werden auf die Standardwerte zurückgesetzt (192.168.1.3/24).
• Alle Passwörter werden auf die Seriennummer des Geräts zurückgesetzt.
• Der System-Lockdown-Modus wird standardmäßig auf „aktiviert“ zurückgesetzt.
• SSL-Zertifikate werden auf selbstsignierte Standardwerte zurückgesetzt.
• Alle Benutzerkonfigurationen und benutzerdefinierten Einstellungen werden gelöscht und auf die Werkseinstellungen zurückgesetzt.

Aktionen nach dem Zurücksetzen:

Der BMC wird nach einem Werksreset automatisch neu gestartet. Warten Sie 120 Sekunden auf die vollständige Initialisierung und konfigurieren Sie dann die LOM-Schnittstelle entweder über die GUI oder über Befehlszeilenmethoden neu.

Remote-System-Stromsteuerung

Die LOM-Schnittstelle bietet umfassende Funktionen zur Remote-Stromverwaltung für Systemstart-, Herunterfahr- und Reset-Vorgänge.

Einschaltvorgang

Führen Sie die folgenden Schritte aus, um das System remote zu starten.

1. Überprüfung vor dem Start

   Überprüfen Sie vor dem Einschalten die folgenden Bedingungen:

   • Netzteile sind angeschlossen und betriebsbereit.
   • Die Netzwerkinfrastruktur ist verfügbar und stabil.
   • Umgebungsbedingungen liegen in einem akzeptablen Bereich (Temperatur, Luftstrom).
   • Keine Hardware-Warnungen oder kritischen Warnungen sind aktiv.

2. Zugriff auf die Stromversorgungskontrolle

   Navigieren Sie zur Schnittstelle für die Stromversorgungskontrolle, LOM Web UI > Dashboard > Power Control.

3. Einschalten ausführen

   1. Wählen Sie Power On aus den verfügbaren Aktionen zur Stromversorgungskontrolle aus.
   2. Überprüfen Sie das Bestätigungsdialogfeld.
   3. Klicken Sie auf Perform Action, um die Startsequenz einzuleiten.

4. Startvorgang überwachen

   Beachten Sie die folgenden Indikatoren während des Systemstarts:

   • Die Power-LED wechselt von aus zu durchgehend grün.
   • Das System schließt den POST (Power-On Self-Test) ab.
   • Netzwerkschnittstellen werden initialisiert und verbinden sich.
   • Das Betriebssystem wird geladen und ist zugänglich.

Hinweis:

Verwenden Sie bei Bedarf die iKVM-Konsolenfunktion, um den Startfortschritt in Echtzeit zu überwachen.

Prozedur für geordnetes Herunterfahren

Führen Sie ein geordnetes Herunterfahren des Betriebssystems durch, bevor Sie die Stromversorgung trennen.

1. Überprüfung vor dem Herunterfahren

   Bestätigen Sie die folgenden Bedingungen, bevor Sie ein Herunterfahren einleiten:

   • Es sind keine kritischen Vorgänge im Gange.
   • Alle aktiven Benutzersitzungen sind beendet.
   • Konfigurationsänderungen sind gespeichert.
   • Sicherungsoperationen sind abgeschlossen.

2. Zugriff auf die Stromsteuerung

   Navigieren Sie zur Stromsteuerungsoberfläche, LOM Web UI > Dashboard > Power Control.

3. ACPI-Herunterfahren einleiten

   1. Wählen Sie ACPI Shutdown aus den Stromsteuerungsaktionen aus.
   2. Überprüfen Sie das Bestätigungsdialogfeld.
   3. Klicken Sie auf Aktion ausführen, um das geordnete Herunterfahren einzuleiten.

   Die Option ACPI Shutdown sendet ein Signal zum geordneten Herunterfahren an das Betriebssystem, wodurch alle Dienste beendet werden können.

4. Herunterfahrvorgang überwachen

   Beachten Sie die folgenden Indikatoren während des Systemherunterfahrens:

   • Das Betriebssystem beginnt die Herunterfahrsequenz.
   • Netzwerkschnittstellen gehen offline.
   • Systemdienste werden ordnungsgemäß beendet.
   • Die Power-LED wechselt von grün zu aus.

   Hinweis:

   Geben Sie ausreichend Zeit für ein vollständiges Herunterfahren, bevor Sie Einschaltvorgänge initiieren.

Fehlerbehebung

Häufige Probleme und Lösungsverfahren für die LOM-Erstkonfiguration.

Standard-IP-Adresse kann nicht aufgerufen werden

Problem: Browser kann https://192.168.1.3 nicht erreichen.

Mögliche Ursachen:

• Die Workstation ist nicht mit der korrekten IP-Adresse konfiguriert.
• Netzwerkkabel ist nicht richtig angeschlossen.
• Layer-2-Switching-Problem oder VLAN-Fehlkonfiguration.
• BMC ist nach dem Systemstart nicht vollständig initialisiert.

Lösungsschritte:

1. Arbeitsstations-IP-Konfiguration überprüfen: Verwenden Sie ipconfig (Windows) oder ifconfig/ip addr (Linux/macOS).
2. Physische Kabelverbindung überprüfen: Stellen Sie sicher, dass das Kabel an den dedizierten LOM-Port angeschlossen ist.
3. Link-Status überprüfen: Stellen Sie sicher, dass die LED am LOM-Port aktiv ist.
4. Auf Initialisierung warten: Warten Sie nach dem Systemstart bis zu 5 Minuten, damit der BMC initialisiert wird.
5. Direktverbindung: Versuchen Sie eine direkte Crossover-Kabelverbindung, wenn ein Problem mit dem Switched Network vermutet wird.

Anmeldung schlägt mit Standardanmeldeinformationen fehl

Problem: Die Authentifizierung schlägt fehl, wenn nsroot und die Seriennummer verwendet werden.

Mögliche Ursachen:

• Falsche Eingabe der Seriennummer (Passwörter sind Groß-/Kleinschreibung-sensitiv).
• Das Passwort wurde zuvor vom Standardwert geändert.
• Das Benutzerkonto ist aufgrund mehrerer fehlgeschlagener Versuche gesperrt.

Lösungsschritte:

1. Seriennummer überprüfen: Überprüfen Sie das physische Etikett oder die Gerätedokumentation.
2. Groß-/Kleinschreibung prüfen: Stellen Sie sicher, dass die Seriennummer genau wie angezeigt eingegeben wird.
3. Browserdaten löschen: Löschen Sie den Browser-Cache und die Cookies und versuchen Sie es dann erneut.
4. Kontosperrung: Warten Sie 15 Minuten, wenn das Konto gesperrt ist, und versuchen Sie es dann erneut.
5. Werksreset: Führen Sie einen Werksreset durch, wenn das Passwort verloren gegangen ist und nicht wiederhergestellt werden kann.

BMC reagiert nach der Konfiguration nicht

Problem: Die LOM-Schnittstelle wird nach dem Anwenden von Netzwerkänderungen unzugänglich.

Mögliche Ursachen:

• Eine ungültige IP-Adresse oder Subnetzmaske wurde eingegeben.
• Das Netzwerk-Gateway ist von der neuen IP-Adresse aus nicht erreichbar.
• Die IP-Adresse kollidiert mit einem anderen Gerät im Netzwerk.
• BMC benötigt zusätzliche Zeit für die Initialisierung.

Lösungsschritte:

1. Auf Initialisierung warten: Warten Sie volle 120 Sekunden auf die BMC-Netzwerkinitialisierung.
2. Konflikte prüfen: Stellen Sie sicher, dass kein anderes Gerät im Netzwerksegment dieselbe IP-Adresse verwendet.
3. Konnektivität testen: Versuchen Sie, die neue IP-Adresse von einer Management-Workstation aus ping.
4. Auf Standard zurücksetzen: Versuchen Sie, sich mit der ursprünglichen Standard-IP-Adresse (192.168.1.3) zu verbinden, falls die neue IP-Adresse fehlschlägt.
5. Werksreset: Führen Sie einen Werksreset durch, wenn der BMC vollständig unzugänglich bleibt.

Best Practices für die LOM-Konfiguration und -Verwaltung

Best Practices für die Sicherheit

Implementieren Sie die folgenden Sicherheitsmaßnahmen sofort nach der anfänglichen LOM-Konfiguration, um die Integrität der Managementumgebung zu gewährleisten.

Passwortrichtlinie

• Standardpasswörter ändern: Aktualisieren Sie die Standardanmeldeinformationen sofort nach der ersten Anmeldung.
• Komplexitätsanforderungen: Verwenden Sie sichere Passwörter mit mindestens 8 Zeichen.
• Zeichenvielfalt: Verwenden Sie eine Mischung aus Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen.
• Rotation: Ändern Sie Passwörter regelmäßig gemäß Ihrer organisatorischen Sicherheitsrichtlinie.
• Einzigartigkeit: Vermeiden Sie die Verwendung gängiger Wörter oder gerätespezifischer Informationen (wie Seriennummern) in Passwörtern.

System-Sperre

• Produktionsbereitschaft: Aktivieren Sie den Modus System Lockdown in allen Produktionsumgebungen.
• Wartungsfenster: Deaktivieren Sie die Sperre nur, wenn Konfigurationsänderungen explizit erforderlich sind.
• Wiederherstellung: Aktivieren Sie die Sperre sofort wieder, nachdem Sie die Wartungsaufgaben abgeschlossen haben.

Zugriffsprotokollierung

• Audit-Protokollierung: Aktivieren Sie die Audit-Protokollierung für alle administrativen Aktionen, um eine klare Historie der Änderungen zu führen.
• Regelmäßige Überprüfungen: Überprüfen Sie regelmäßig die Zugriffsprotokolle auf Anzeichen unbefugter Zugriffsversuche.
• Alarmierung: Implementieren Sie Alarmierungsmechanismen für fehlgeschlagene Authentifizierungsversuche.

SSL/TLS-Konfiguration

• Zertifikatsaustausch: Ersetzen Sie das standardmäßige selbstsignierte LOM-SSL-Zertifikat durch Zertifikate einer vertrauenswürdigen Multi-Tier-CA-Root-Kette.
• Kettenvalidierung: Implementieren Sie eine ordnungsgemäße Zertifikatskettenvalidierung.
• Protokollversion: Verwenden Sie mindestens das TLS 1.2-Protokoll.
• Überwachung: Konfigurieren Sie eine geeignete Überwachung für den Ablauf von Zertifikaten.

Best Practices für die Stromversorgungssteuerung

Befolgen Sie diese Richtlinien für ein sicheres und effektives Energiemanagement:

• Priorisieren Sie ordnungsgemäße Herunterfahren: Verwenden Sie nach Möglichkeit ordnungsgemäße Herunterfahrprozeduren, um Datenbeschädigungen und Dienstunterbrechungen zu vermeiden.
• Beachten Sie die Verzögerungen beim Stromzyklus: Warten Sie mindestens 30 Sekunden zwischen dem Ausschalten und Einschalten.
• Dokumentation pflegen: Dokumentieren Sie alle Stromsteuerungsaktionen in Änderungsmanagement- oder Wartungsprotokollen.
• Vorgänge planen: Koordinieren Sie alle Stromvorgänge mit festgelegten Wartungsfenstern, um die Auswirkungen zu minimieren.
• Redundanten Zugriff sicherstellen: Behalten Sie alternative Zugriffsmethoden (wie serielle Konsole oder iKVM) bei, während des Power-Cycling des Systems.
• Systemstatus überprüfen: Überprüfen Sie immer den Betriebszustand des Systems sowohl vor als auch nach der Durchführung von Stromvorgängen.