iLO 7 چیست؛ مدیریت از راه دور و امنیت سرورهای HPE Gen12

هر مدیر شبکه‌ای که یک بار نیمه‌شب برای ریستارت یک سرور هنگ‌کرده تا دیتاسنتر رانندگی کرده باشد، ارزش iLO را می‌داند. iLO (Integrated Lights-Out) کارت مدیریت از راه دور سرورهای HPE است که مستقل از سیستم‌عامل کار می‌کند: حتی وقتی ویندوز یا لینوکس بالا نیامده، می‌توانید سرور را روشن و خاموش کنید، صفحه‌ی آن را ببینید، ISO نصب کنید و سلامت سخت‌افزار را بررسی کنید. نسخه‌ی ۷ این کارت همراه سرورهای نسل دوازدهم (ProLiant Compute Gen12) آمده و بیشترین تغییرش در امنیت است. در این مقاله توضیح می‌دهیم iLO 7 چیست، چه فرقی با iLO 6 و iLO 5 دارد و چطور آن را در شبکه‌ی سازمان‌های ایرانی، که معمولاً دسترسی اینترنت محدودی دارند، امن و کاربردی راه بیندازید.

اگر هنوز درباره‌ی خود نسل جدید سرورها تصمیم نگرفته‌اید، اول مقاله‌ی سرورهای HPE Gen12 و مقایسه با Gen11 را بخوانید.

iLO دقیقاً چه کارهایی انجام می‌دهد؟

• کنسول از راه دور (Remote Console): تصویر صفحه‌ی سرور، کیبورد و ماوس از طریق مرورگر؛ حتی در محیط BIOS و هنگام بوت.
• مدیا مجازی (Virtual Media): وصل کردن فایل ISO از کامپیوتر خودتان به سرور برای نصب سیستم‌عامل یا ابزار تعمیر.
• کنترل برق: روشن، خاموش، ریست سخت و نرم.
• مانیتورینگ سخت‌افزار: دما، فن‌ها، پاورها، دیسک‌ها، رم و رویدادهای خطا (IML).
• به‌روزرسانی فرم‌ور: BIOS، کارت‌ها و خود iLO.
• API استاندارد Redfish: برای خودکارسازی با اسکریپت، Ansible یا ابزارهای مانیتورینگ.

iLO 7 چه چیزی را عوض کرده؟

Secure Enclave؛ گاوصندوق سخت‌افزاری داخل iLO

مهم‌ترین تغییر iLO 7 یک پردازنده‌ی امنیتی مستقل داخل تراشه‌ی iLO است که HPE آن را Secure Enclave می‌نامد. کلیدهای رمزنگاری، رمزها و تنظیمات امنیتی در این ناحیه‌ی مقاوم در برابر دست‌کاری نگهداری می‌شوند و فقط از طریق چند رابط محدود و خصوصی قابل دسترسی‌اند. HPE اعلام کرده این طراحی برای برآورده کردن الزامات سخت‌افزاری FIPS 140-3 سطح ۳ ساخته شده است. نتیجه‌ی عملی: حتی اگر مهاجم به شبکه‌ی مدیریتی راه پیدا کند، بیرون کشیدن کلیدها از iLO بسیار سخت‌تر است.

آمادگی برای رمزنگاری پساکوانتومی

به‌روزرسانی‌های فرم‌ور iLO، BIOS و CPLD در Gen12 با الگوریتم امضای LMS، هم‌راستا با راهنمای CNSA 2.0، امضا می‌شوند. یعنی سرور فقط فرم‌وری را قبول می‌کند که امضای معتبر HPE داشته باشد، و این امضا در برابر حمله‌های آینده‌ی کامپیوترهای کوانتومی هم مقاوم طراحی شده است. برای سازمان‌هایی که سرور را ۷ تا ۱۰ سال نگه می‌دارند، این موضوع کم‌اهمیت نیست.

امنیت پیش‌فرض

iLO 7 به‌صورت پیش‌فرض در حالت امنیتی Secure Standard کار می‌کند. پروتکل‌ها و رمزنگاری‌های قدیمی و ناامن از ابتدا خاموش‌اند و لازم نیست مدیر شبکه آن‌ها را یکی‌یکی غیرفعال کند.

مدیریت کلید دیسک‌های رمزنگاری‌شده

قابلیت Advanced SED Local Key Management با تکیه بر Secure Enclave، کلید دیسک‌های خودرمزنگار (SED) را داخل خود سرور و در ناحیه‌ی امن نگه می‌دارد. اگر دیسکی دزدیده یا اشتباهی دور انداخته شود، داده‌اش قابل خواندن نیست.

رابط کاربری و امکانات تازه

• رابط گرافیکی جدید با داشبوردهای ساده‌تر و طراحی مبتنی بر جریان کار.
• تشخیص نشتی در سرورهای دارای خنک‌کاری مایع.
• ماژول قابل تعویض: اگر سخت‌افزار iLO خراب شود، تعویضش بدون از دست رفتن تنظیمات سرور ساده‌تر است.
• پورت سرویس جلوی سرور برای اتصال مستقیم لپ‌تاپ در دیتاسنتر.

مقایسه‌ی iLO 5، iLO 6 و iLO 7

جزئیات دقیق هر قابلیت به مدل سرور و نسخه‌ی فرم‌ور بستگی دارد؛ پیش از خرید، سند Standard Features مربوط به همان نسخه را بررسی کنید.

لایسنس iLO؛ کدام قابلیت‌ها پولی است؟

iLO با لایسنس استاندارد روی همه‌ی سرورها فعال است و کنترل برق، مانیتورینگ و دسترسی وب را می‌دهد. ولی قابلیت‌هایی که بیشترین استفاده را در عمل دارند، معمولاً به لایسنس iLO Advanced نیاز دارند؛ مثل کنسول گرافیکی کامل پس از بوت سیستم‌عامل، مدیا مجازی از طریق کنسول، ثبت ویدیوی رویدادها و یکپارچگی با سرویس دایرکتوری. هنگام خرید سرور حتماً بپرسید لایسنس Advanced در قیمت هست یا نه؛ در خیلی از پیش‌فاکتورهای بازار ایران این مورد جا می‌افتد. هزینه‌های مشابه را در هزینه‌های پنهان خرید سرور فهرست کرده‌ایم.

راه‌اندازی امن iLO 7 در شبکه‌ی سازمان

1. شبکه‌ی مدیریتی جدا: پورت iLO را در VLAN جداگانه با دسترسی فقط از سیستم‌های مدیریتی قرار دهید. iLO هرگز نباید مستقیم از اینترنت قابل دسترسی باشد.
2. تعویض رمز پیش‌فرض: برچسب رمز پیش‌فرض روی سرور را عوض کنید و برای هر مدیر حساب جداگانه بسازید.
3. اتصال به Active Directory یا LDAP: تا دسترسی‌ها با رفتن کارمندان خودکار قطع شود.
4. گواهی TLS سازمانی: گواهی پیش‌فرض را با گواهی صادرشده از CA داخلی جایگزین کنید.
5. Syslog و SNMP/Redfish: رویدادهای iLO را به سامانه‌ی مانیتورینگ (Zabbix، PRTG یا مشابه) بفرستید تا خرابی دیسک و پاور را قبل از توقف سرویس ببینید.
6. برنامه‌ی به‌روزرسانی آفلاین: در بیشتر سازمان‌های ایرانی سرورها به سایت HPE دسترسی مستقیم ندارند. بسته‌ی SPP (Service Pack for ProLiant) مناسب Gen12 را در مخزن داخلی نگه دارید و فصلی به‌روزرسانی کنید.

چه کسانی بیشترین سود را از iLO 7 می‌برند؟

• بانک‌ها، بیمه‌ها و شرکت‌های فین‌تک که ممیزی امنیتی سخت‌گیرانه دارند.
• سازمان‌هایی با چند دیتاسنتر یا شعبه در شهرهای مختلف که حضور فیزیکی پرهزینه است.
• تیم‌هایی که زیرساخت را با Ansible یا اسکریپت خودکار مدیریت می‌کنند و به Redfish نیاز دارند.
• مراکز داده‌ی هوش مصنوعی با خنک‌کاری مایع که پایش نشتی برایشان حیاتی است؛ درباره‌ی این زیرساخت در راه‌اندازی سرور هوش مصنوعی نوشته‌ایم.

کارشناسان سوان‌تک در انتخاب سرور HPE مناسب، فعال‌سازی لایسنس iLO و راه‌اندازی امن شبکه‌ی مدیریتی کنار شما هستند.

سوالات متداول

iLO 7 چیست؟

نسل هفتم کارت مدیریت از راه دور HPE که روی سرورهای ProLiant Gen12 نصب است و امکان کنترل، مانیتورینگ و به‌روزرسانی سرور را مستقل از سیستم‌عامل فراهم می‌کند.

مهم‌ترین تفاوت iLO 7 با iLO 6 چیست؟

Secure Enclave سخت‌افزاری برای نگهداری کلیدها و رمزها، امضای فرم‌ور مقاوم در برابر حمله‌های کوانتومی، حالت امنیتی سخت‌گیرانه‌ی پیش‌فرض و رابط کاربری جدید.

آیا iLO 7 روی سرورهای Gen11 نصب می‌شود؟

خیر. iLO یک تراشه‌ی سخت‌افزاری روی مادربرد است؛ Gen11 با iLO 6 و Gen12 با iLO 7 عرضه می‌شود و قابل ارتقای سخت‌افزاری بین نسل‌ها نیست.

برای کنسول از راه دور به لایسنس نیاز است؟

کنسول کامل گرافیکی بعد از بالا آمدن سیستم‌عامل و برخی امکانات مدیا مجازی معمولاً به لایسنس iLO Advanced نیاز دارند. پیش از خرید وضعیت لایسنس را بررسی کنید.

آیا می‌توان iLO را به اینترنت وصل کرد؟

توصیه نمی‌شود. iLO باید فقط در شبکه‌ی مدیریتی جدا و از طریق VPN یا جامپ‌سرور در دسترس باشد.