LOM-Port-Verwaltung für SDX 9200 und SDX 17000

Dieser Abschnitt enthält Schritt-für-Schritt-Anleitungen für die Erstkonfiguration der Lights Out Management (LOM)-Schnittstelle auf NetScaler SDX 9200 und 17000 Serienplattformen. Das LOM ermöglicht eine wesentliche Out-of-Band-Verwaltung, sodass Sie die Appliance unabhängig vom Hauptbetriebssystem verwalten können.

Voraussetzungen

Bevor Sie mit der LOM-Konfiguration beginnen, stellen Sie sicher, dass die folgenden Anforderungen erfüllt sind:

• Physischer oder Konsolenzugriff auf NetScaler.
• Netzwerkkonnektivität zum LOM-Port (direkt oder über Switch).
• Seriennummer des Geräts (für die Erstauthentifizierung erforderlich).
• Geplantes IP-Adressierungsschema für das LOM-Netzwerksegment.
• Anmeldeinformationen für den administrativen Zugriff.
• Webbrowser mit HTML5-Unterstützung (Chrome, Firefox, Edge oder Safari).
• Standard-HTTPS-Netzwerkzugriff (Port 443) auf die LOM-IP-Adresse.

Hinweis:

Java oder Plug-ins von Drittanbietern sind nicht erforderlich.

Erster Netzwerkzugriff

Die LOM-Schnittstelle ist mit Standardeinstellungen konfiguriert, um die Erstkonfiguration zu erleichtern.

Standard-LOM-Einstellungen

Netzwerkverbindungsmethoden

Wählen Sie eine der folgenden Verbindungsmethoden für die Ersteinrichtung aus:

Direkte Verbindung:

• Verbinden Sie einen Laptop-Ethernet-Port über ein Crossover-Kabel mit der LOM-Schnittstelle.
• Stellen Sie die statische IP-Adresse des Laptops auf 192.168.1.10 mit einer Subnetzmaske von 255.255.255.0 ein.

Gekoppelte Verbindung:

• Verbinden Sie die LOM-Schnittstelle und eine Management-Workstation mit demselben Netzwerk-Switch.
• Stellen Sie sicher, dass sich beide Geräte in der 192.168.1.0/24 Broadcast-Domäne befinden.

LOM über die GUI konfigurieren

Erstanmeldung und Passwortänderung

Greifen Sie über die Standard-IP-Adresse auf die LOM-Weboberfläche zu.

1. Einen Webbrowser öffnen

   1. Geben Sie https://192.168.1.3 ein.
   2. Akzeptieren Sie die Warnung vor dem selbstsignierten SSL-Zertifikat, die im Browser angezeigt wird.

2. Mit Standardanmeldeinformationen authentifizieren

   1. Geben Sie nsroot als Benutzernamen ein.
   2. Geben Sie die Seriennummer des Geräts als Passwort ein (Hinweis: Groß-/Kleinschreibung beachten).
   3. Klicken Sie auf Anmelden.

3. Obligatorische Passwortänderung

   Beim ersten Login erzwingt das System aus Sicherheitsgründen eine Passwortänderung.

   • Aktuelles Passwort: Geben Sie die Seriennummer des Geräts ein.
   • Neues Passwort: Geben Sie ein Passwort ein, das die auf der Seite angezeigten Komplexitätsanforderungen erfüllt.
   • Passwort bestätigen: Geben Sie das neue Passwort erneut ein.
   • Klicken Sie auf Senden, um zu speichern.

Hinweis:

Das System meldet Sie automatisch ab, sobald das Passwort gespeichert wurde. Melden Sie sich erneut mit dem nsroot Konto und Ihrem neu erstellten Passwort an.

Netzwerkkonfiguration

Um LOM in Ihr Produktionsmanagementnetzwerk zu integrieren:

1. Navigieren Sie zu Einstellungen > Netzwerk-IP-Einstellungen > LAN-Schnittstelle (eth0).
2. Geben Sie die folgenden Details ein:
   1. IPv4-Adresse
   2. IPv4-Subnetz
   3. IPv4-Gateway
3. Klicken Sie auf Speichern. Der Baseboard Management Controller (BMC) benötigt etwa 30 Sekunden, um die Änderungen zu übernehmen, und trennt dann Ihre aktuelle Sitzung.

4. Überprüfen Sie die Konnektivität, indem Sie die neue LOM-IP-Adresse mit dem folgenden Befehl von Ihrer Verwaltungsarbeitsstation aus anpingen:

   ping <New_LOM_IP_Address>

5. Greifen Sie über die neue IP-Adresse auf die LOM-Schnittstelle zu:

   https://<new_LOM_IP_address>

6. Melden Sie sich mit nsroot und dem aktualisierten Passwort an.

Einschränkung des System-Lockdown-Modus

Wenn der System-Lockdown-Modus aktiviert ist, sind alle Out-of-Band-Verwaltungsschnittstellen (LOM-Web-UI, IPMI und Redfish) auf schreibgeschützten Zugriff beschränkt. Folglich können Benutzer LOM/BMC-Einstellungen wie Netzwerkeinstellungen und Benutzerverwaltung im Menü Einstellungen nicht ändern.

Symptome des Lockdown-Modus

Wenn das System gesperrt ist, treten in der GUI die folgenden Probleme auf:

• Fehlermeldungen: Unzureichende Berechtigung (Code 8000).
• Benachrichtigungen: Sie haben keine Berechtigung, diesen Inhalt anzuzeigen.
• GUI-Verhalten: Menüelemente für Einstellungen werden ausgegraut angezeigt oder sind vollständig unzugänglich.

Betroffene Funktionen

Die folgenden Vorgänge sind während der Sperrung eingeschränkt:

• Änderungen der Netzwerkkonfiguration.
• Benutzerverwaltung und Kennwortvorgänge.
• LOM-Firmware-Updates.
• Datenänderungen an Field Replaceable Units (FRU).

Lösung

Die Systemsperre muss über das NetScaler-Host-Betriebssystem mithilfe von ipmitool-Befehlen deaktiviert werden. Informationen zum Deaktivieren der Sperre finden Sie im Abschnitt [System lockdown management].(#system-lockdown-management) im CLI-Abschnitt für Sperrverwaltungsverfahren.

LOM mithilfe der CLI (IPMI-Tool) konfigurieren

Wenn die GUI nicht zugänglich ist oder System Lockdown aktiv ist, verwenden Sie die NetScaler-Host-Shell, um die ipmitool-Befehle auszuführen.

Zugriffsanforderungen

Um Befehlszeilenanweisungen auszuführen, stellen Sie eine Verbindung zum Gerät mithilfe einer der folgenden Methoden her:

• Serielle Konsolenverbindung
• SSH-Sitzung (wenn ein Netzwerk konfiguriert ist)
• Direkter Zugriff oder Monitorzugriff

Hinweis:

Alle Befehle müssen in der NetScaler-Shell-Umgebung ausgeführt werden. Wenn Sie sich an der NetScaler-CLI-Eingabeaufforderung befinden, geben Sie shell ein, um die FreeBSD-Umgebung aufzurufen.

System-Lockdown-Verwaltung

Der System-Lockdown-Modus erzwingt schreibgeschützten Zugriff über alle Out-of-Band-Verwaltungsschnittstellen. Diese Sicherheitsfunktion verhindert unbefugte Konfigurationsänderungen über LOM, IPMI und Redfish.

• Status prüfen: ipmitool raw 0x34 0x81 (00=Deaktiviert (Konfigurationsänderungen erlaubt), 01=Aktiviert (Schreibgeschützter Modus aktiv)).

• Lockdown deaktivieren: ipmitool raw 0x34 0x81 0x0.

  Dieser Befehl ermöglicht vollen Lese- und Schreibzugriff auf alle BMC-Konfigurationsschnittstellen.

• Lockdown aktivieren: ipmitool raw 0x34 0x81 0x1.

  Dieser Befehl beschränkt alle BMC-Schnittstellen auf schreibgeschützten Zugriff für erhöhte Sicherheit.

Statische IP-Konfiguration

Führen Sie die folgende Prozedur aus, um die Schnittstelle manuell zu konfigurieren:

1. IP-Adressquelle auf statisch setzen: Ändern Sie den Schnittstellenmodus, um DHCP zu deaktivieren, und bereiten Sie die Schnittstelle für die statische IP-Zuweisung mit dem folgenden Befehl vor:

   ipmitool lan set 1 ipsrc static

2. IP-Adresse zuweisen: Geben Sie die statische IP-Adresse für die LOM-Schnittstelle mit dem folgenden Befehl an:

   ipmitool lan set 1 ipaddr <LOM_IP_Address>

   Beispiel: ipmitool lan set 1 ipaddr 192.0.2.255

3. Subnetzmaske zuweisen: Definieren Sie die Subnetzmaske für das LOM-Netzwerksegment mit dem folgenden Befehl:

   ipmitool lan set 1 netmask <Subnet_Mask>

   Beispiel: ipmitool lan set 1 netmask 255.255.255.0

4. Standard-Gateway konfigurieren: Geben Sie die Gateway-Adresse für das Routing von Datenverkehr außerhalb des lokalen Segments mit dem folgenden Befehl an:

   ipmitool lan set 1 defgw ipaddr <Gateway_IP>

   Beispiel: ipmitool lan set 1 defgw ipaddr 192.0.2.255

5. Setzen Sie den BMC zurück oder starten Sie ihn neu, um die Änderungen zu übernehmen:

   ipmitool bmc reset cold

   Der BMC benötigt nach einem Reset etwa 120 Sekunden, um vollständig initialisiert zu werden.

Konfiguration überprüfen

Überprüfen Sie nach der 120-sekündigen Initialisierungsphase die neue Netzwerkkonfiguration.

Aktuelle LOM-Netzwerkeinstellungen anzeigen

Führen Sie den folgenden Befehl aus, um alle aktuellen Netzwerkparameter anzuzeigen, einschließlich IP-Adresse, Subnetzmaske, Gateway und MAC-Adresse.

ipmitool lan print 1

Netzwerkkonnektivität testen

Testen Sie von einer externen Management-Workstation aus die Konnektivität zur neuen LOM-IP-Adresse:

ping <new_LOM_IP_address>

Greifen Sie auf die LOM-Weboberfläche zu, um die volle Funktionalität zu bestätigen:

https://<new_LOM_IP_address>

Benutzerpasswortverwaltung

Ändern Sie das Standard-LOM-Passwort aus der NetScaler-Hostumgebung, um die Sicherheit zu erhöhen.

1. Aktuelle Benutzer auflisten

   Führen Sie den folgenden Befehl aus, um alle konfigurierten LOM-Benutzerkonten mit ihren Benutzer-IDs anzuzeigen:

   ipmitool user list 1

   Beispielausgabe:

   ID	Name	Callin	Link-Authentifizierung	IPMI-Nachricht	Kanal-Berechtigungslimit
   1	nsroot-Benutzer	falsch	falsch	falsch	KEIN ZUGRIFF
   2		falsch	falsch	wahr	ADMINISTRATOR
   3		wahr	falsch	falsch	KEIN ZUGRIFF

   Hinweis:

   Das Standardkonto nsroot hat die Benutzer-ID 2.

2. Benutzerpasswort ändern

   Führen Sie den folgenden Befehl aus, um das Passwort für das Konto nsroot (Benutzer-ID 2) zu ändern:

   ipmitool user set password <user_ID> <new_LOM_password>

   Dabei gilt:

   • <user_ID> ist die entsprechende Benutzer-ID (typischerweise 2 für das nsroot-Konto).
   • <new_LOM_password> ist das neue Passwort.

   Beispiel:

   ipmitool user set password 2

   Sie werden aufgefordert, das neue Kennwort interaktiv einzugeben.

   Alternative (nicht interaktiv):

   ipmitool user set password 2 NewSecurePassword123

   Hinweis:

   Das System fordert Sie interaktiv zur Eingabe des neuen Kennworts auf. Geben Sie das Kennwort ein, wenn Sie dazu aufgefordert werden.

LOM-Werksreset

Stellen Sie die BMC auf die Werkseinstellungen wieder her. Wenn die Option Konfiguration beibehalten (IPMI/Netzwerk) im Abschnitt Wartung → Konfiguration beibehalten der LOM-GUI nicht aktiviert ist, setzt dieser Vorgang alle Einstellungen – einschließlich der LOM-Netzwerkkonfiguration, Benutzerkonten und IPMI-Web-Einstellungen – auf die LOM-Werkseinstellungen zurück.

Führen Sie den folgenden Befehl aus, um das LOM auf die Werkseinstellungen zurückzusetzen.

ipmitool raw 0x32 0x66

Auswirkungen des Resets:

• Alle Einstellungen werden auf die Standardwerte zurückgesetzt (192.168.1.3/24).
• Alle Kennwörter werden auf die Seriennummer des Geräts zurückgesetzt.
• Der System-Lockdown-Modus wird standardmäßig auf „aktiviert“ zurückgesetzt.
• SSL-Zertifikate werden auf selbstsignierte Standardwerte zurückgesetzt.
• Alle Benutzerkonfigurationen und benutzerdefinierten Einstellungen werden gelöscht und auf die Werkseinstellungen zurückgesetzt.

Aktionen nach dem Zurücksetzen:

Der BMC wird nach einem Werksreset automatisch neu gestartet. Warten Sie 120 Sekunden auf die vollständige Initialisierung und konfigurieren Sie dann die LOM-Schnittstelle entweder über die GUI oder über Befehlszeilenmethoden neu.

Fernsteuerung der Systemstromversorgung

Die LOM-Schnittstelle bietet umfassende Funktionen zur Fernverwaltung der Stromversorgung für Systemstart-, Herunterfahr- und Reset-Vorgänge.

Einschaltvorgang

Führen Sie die folgenden Schritte aus, um das System remote zu starten.

1. Überprüfung vor dem Start

   Bevor Sie das Einschalten initiieren, überprüfen Sie die folgenden Bedingungen:

   • Netzteile sind angeschlossen und betriebsbereit.
   • Die Netzwerkinfrastruktur ist verfügbar und stabil.
   • Umgebungsbedingungen liegen innerhalb eines akzeptablen Bereichs (Temperatur, Luftstrom).
   • Es sind keine Hardware-Warnungen oder kritischen Meldungen aktiv.

2. Zugriff auf die Stromversorgungssteuerung

   Navigieren Sie zur Stromversorgungssteuerung: LOM Web UI > Dashboard > Power Control.

3. Einschalten

   1. Wählen Sie Einschalten aus den verfügbaren Energiesteuerungsaktionen.
   2. Überprüfen Sie das Bestätigungsdialogfeld.
   3. Klicken Sie auf Aktion ausführen, um die Startsequenz einzuleiten.

4. Startvorgang überwachen

   Beachten Sie während des Systemstarts die folgenden Indikatoren:

   • Die Power-LED wechselt von aus zu durchgehend grün.
   • Das System schließt den POST (Power-On Self-Test) ab.
   • Netzwerkschnittstellen werden initialisiert und verbinden sich.
   • Das Betriebssystem wird geladen und ist zugänglich.

Hinweis:

Verwenden Sie bei Bedarf die iKVM-Konsolenfunktion, um den Startfortschritt in Echtzeit zu überwachen.

Prozedur zum ordnungsgemäßen Herunterfahren

Führen Sie ein ordnungsgemäßes Herunterfahren des Betriebssystems durch, bevor Sie die Stromversorgung trennen.

1. Überprüfung vor dem Herunterfahren

   Bestätigen Sie die folgenden Bedingungen, bevor Sie ein Herunterfahren einleiten:

   • Es sind keine kritischen Vorgänge im Gange.
   • Alle aktiven Benutzersitzungen wurden abgebrochen.
   • Konfigurationsänderungen wurden gespeichert.
   • Sicherungsvorgänge sind abgeschlossen.

2. Stromversorgungssteuerung aufrufen

   Navigieren Sie zur Schnittstelle für die Stromversorgungssteuerung, LOM Web UI > Dashboard > Power Control.

3. ACPI-Herunterfahren einleiten

   1. Wählen Sie ACPI Shutdown aus den Aktionen zur Stromversorgungssteuerung aus.
   2. Überprüfen Sie das Bestätigungsdialogfeld.
   3. Klicken Sie auf Perform Action, um das ordnungsgemäße Herunterfahren einzuleiten.

   Die Option ACPI Shutdown sendet ein Signal zum ordnungsgemäßen Herunterfahren an das Betriebssystem, wodurch alle Dienste beendet werden können.

4. Herunterfahrvorgang überwachen

   Beachten Sie die folgenden Indikatoren während des Systemherunterfahrens:

   • Das Betriebssystem beginnt die Herunterfahrsequenz.
   • Netzwerkschnittstellen gehen offline.
   • Systemdienste werden ordnungsgemäß beendet.
   • Die Power-LED wechselt von grün zu aus.

   Hinweis:

   Geben Sie ausreichend Zeit für ein vollständiges Herunterfahren, bevor Sie Einschaltvorgänge initiieren.

Fehlerbehebung

Häufige Probleme und Lösungsverfahren für die anfängliche LOM-Konfiguration.

Zugriff auf die Standard-IP-Adresse nicht möglich

Problem: Browser kann https://192.168.1.3 nicht erreichen.

Mögliche Ursachen:

• Die Workstation ist nicht mit der korrekten IP-Adresse konfiguriert.
• Das Netzwerkkabel ist nicht richtig angeschlossen.
• Layer-2-Switching-Problem oder VLAN-Fehlkonfiguration.
• BMC ist nach dem Systemstart nicht vollständig initialisiert.

Lösungsschritte:

1. IP-Konfiguration der Workstation überprüfen: Verwenden Sie ipconfig (Windows) oder ifconfig/ip addr (Linux/macOS).
2. Physische Kabelverbindung überprüfen: Stellen Sie sicher, dass das Kabel an den dedizierten LOM-Port angeschlossen ist.
3. Link-Status prüfen: Überprüfen Sie, ob die LED am LOM-Port aktiv ist.
4. Auf Initialisierung warten: Geben Sie dem BMC nach dem Systemstart bis zu 5 Minuten Zeit zur Initialisierung.
5. Direktverbindung: Versuchen Sie eine direkte Crossover-Kabelverbindung, wenn ein Problem mit dem Switched Network vermutet wird.

Anmeldung schlägt mit Standardanmeldeinformationen fehl

Problem: Die Authentifizierung schlägt fehl, wenn nsroot und die Seriennummer verwendet werden.

Mögliche Ursachen:

• Falsche Eingabe der Seriennummer (Passwörter sind Groß-/Kleinschreibung-sensitiv).
• Das Passwort wurde zuvor vom Standardwert geändert.
• Das Benutzerkonto ist aufgrund mehrerer fehlgeschlagener Versuche gesperrt.

Lösungsschritte:

1. Seriennummer überprüfen: Überprüfen Sie das physische Etikett oder die Gerätedokumentation.
2. Groß-/Kleinschreibung prüfen: Stellen Sie sicher, dass die Seriennummer genau wie angezeigt eingegeben wird.
3. Browserdaten löschen: Leeren Sie den Browser-Cache und die Cookies, und versuchen Sie es dann erneut.
4. Kontosperrung: Warten Sie 15 Minuten, wenn das Konto gesperrt ist, und versuchen Sie es dann erneut.
5. Werksreset: Führen Sie einen Werksreset durch, wenn das Passwort verloren gegangen ist und nicht wiederhergestellt werden kann.

BMC reagiert nach der Konfiguration nicht

Problem: Die LOM-Schnittstelle wird nach dem Anwenden von Netzwerkänderungen unzugänglich.

Mögliche Ursachen:

• Eine ungültige IP-Adresse oder Subnetzmaske wurde eingegeben.
• Das Netzwerk-Gateway ist von der neuen IP-Adresse aus nicht erreichbar.
• IP-Adresskonflikte mit einem anderen Gerät im Netzwerk.
• BMC benötigt zusätzliche Zeit für die Initialisierung.

Schritte zur Fehlerbehebung:

1. Auf Initialisierung warten: Warten Sie volle 120 Sekunden auf die BMC-Netzwerkinitialisierung.
2. Auf Konflikte prüfen: Stellen Sie sicher, dass kein anderes Gerät im Netzwerksegment dieselbe IP-Adresse verwendet.
3. Konnektivität testen: Versuchen Sie, die neue IP-Adresse von einer Management-Workstation aus ping.
4. Auf Standard zurücksetzen: Versuchen Sie, eine Verbindung zur ursprünglichen Standard-IP-Adresse (192.168.1.3) herzustellen, wenn die neue IP-Adresse fehlschlägt.
5. Werksreset: Führen Sie einen Werksreset durch, wenn der BMC vollständig unzugänglich bleibt.

Best Practices für die LOM-Konfiguration und -Verwaltung

Best Practices für die Sicherheit

Implementieren Sie die folgenden Sicherheitsmaßnahmen unmittelbar nach der anfänglichen LOM-Konfiguration, um die Integrität der Verwaltungsumgebung zu gewährleisten.

Passwortrichtlinie

• Standardpasswörter ändern: Aktualisieren Sie die Standardanmeldeinformationen sofort nach der ersten Anmeldung.
• Komplexitätsanforderungen: Verwenden Sie sichere Passwörter mit mindestens 8 Zeichen.
• Zeichenvielfalt: Verwenden Sie eine Mischung aus Großbuchstaben, Kleinbuchstaben, Zahlen und Sonderzeichen.
• Rotation: Ändern Sie Passwörter regelmäßig gemäß Ihrer organisatorischen Sicherheitsrichtlinie.
• Einzigartigkeit: Vermeiden Sie die Verwendung gängiger Wörter oder gerätespezifischer Informationen (wie Seriennummern) in Passwörtern.

System-Sperre

• Produktionsbereitschaft: Aktivieren Sie den Modus System-Sperre in allen Produktionsumgebungen.
• Wartungsfenster: Deaktivieren Sie die Sperre nur, wenn Konfigurationsänderungen explizit erforderlich sind.
• Wiederaktivierung: Aktivieren Sie die Sperre sofort nach Abschluss der Wartungsaufgaben wieder.

Zugriffsprotokollierung

• Audit-Protokollierung: Aktivieren Sie die Audit-Protokollierung für alle administrativen Aktionen, um eine klare Historie der Änderungen zu erhalten.
• Regelmäßige Überprüfungen: Überprüfen Sie regelmäßig die Zugriffsprotokolle auf Anzeichen unautorisierter Zugriffsversuche.
• Alarmierung: Implementieren Sie Alarmierungsmechanismen für fehlgeschlagene Authentifizierungsversuche.

SSL/TLS-Konfiguration

• Zertifikatserneuerung: Ersetzen Sie das standardmäßige selbstsignierte LOM-SSL-Zertifikat durch Zertifikate einer vertrauenswürdigen mehrstufigen CA-Stammkette.
• Kettenvalidierung: Implementieren Sie eine ordnungsgemäße Zertifikatskettenvalidierung.
• Protokollversion: Verwenden Sie mindestens das TLS 1.2-Protokoll.
• Überwachung: Konfigurieren Sie eine geeignete Überwachung für den Ablauf von Zertifikaten.

Best Practices für die Stromversorgungssteuerung

Befolgen Sie diese Richtlinien für ein sicheres und effektives Energiemanagement:

• Priorisieren Sie ordnungsgemäße Herunterfahren: Verwenden Sie nach Möglichkeit ordnungsgemäße Herunterfahrverfahren, um Datenbeschädigung und Dienstunterbrechungen zu vermeiden.
• Beachten Sie die Verzögerungen beim Stromzyklus: Warten Sie mindestens 30 Sekunden zwischen dem Ausschalten und Einschalten.
• Dokumentation pflegen: Dokumentieren Sie alle Stromsteuerungsaktionen in Änderungsmanagement- oder Wartungsprotokollen.
• Vorgänge planen: Koordinieren Sie alle Stromversorgungsoperationen mit den festgelegten Wartungsfenstern, um die Auswirkungen zu minimieren.
• Redundanten Zugriff sicherstellen: Halten Sie alternative Zugriffsmethoden (wie serielle Konsole oder iKVM) bereit, während das System neu gestartet wird.
• Systemstatus überprüfen: Überprüfen Sie immer den Betriebsstatus des Systems sowohl vor als auch nach der Durchführung von Energieoperationen.