BMC в сервере: что это, как работает и как подключиться — инструкция для новичка

BMC в сервере: что это такое простыми словами

BMC (Baseboard Management Controller, контроллер управления материнской платой) — отдельный чип на материнской плате сервера. У него есть свой процессор, память, прошивка и сетевой порт. Часто это микросхема семейства ASPEED AST.

Представьте второй мини-компьютер внутри сервера. Он не зависит от основной операционной системы: даже если Linux или Windows не загрузились, BMC отвечает на запросы. Он питается от дежурного питания (standby), поэтому работает и при выключенном сервере, пока блок питания включён в розетку.

Зачем он нужен: вы включаете и перезагружаете машину, смотрите экран и читаете показания датчиков, не выезжая в дата-центр. Например, BMC с адресом 192.168.1.120 позволяет проверить питание командой ipmitool -I lanplus -H 192.168.1.120 -U ADMIN -E chassis power status. Для связи обычно используют стандарт IPMI 2.0 (2004 год), порт 623/UDP и веб-интерфейс по HTTPS на порту 443.

Что BMC умеет, если перечислить коротко:

• включать, выключать и перезагружать сервер;
• показывать экран и принимать ввод с клавиатуры через удалённую консоль;
• выводить температуру, напряжение и скорость вентиляторов;
• вести журнал событий оборудования.

На VPS собственного BMC у клиента нет: оборудованием управляет хостер. На выделенном сервере BMC обычно есть, но условия доступа зависят от хостера и тарифа. Если управлять железом вам не нужно, проще выбрать VPS и не заниматься оборудованием. А если вы только собираете машину, начните с материала как сделать сервер.

Как работает BMC: питание, датчики и удалённая консоль

BMC (Baseboard Management Controller) питается от дежурного питания (standby), поэтому работает, пока блок питания включён в розетку, даже если сервер выключен. У него свой процессор, память и прошивка, так что от основной операционной системы он не зависит. Через шины I2C (Inter-Integrated Circuit) и PMBus (Power Management Bus) BMC опрашивает датчики температуры, напряжения и оборотов вентиляторов, а также включает, выключает и перезагружает сервер.

Все события, такие как перегрев, отказ вентилятора или пропадание питания, BMC записывает в журнал SEL (System Event Log). Журнал сохраняется после зависания или сбоя, поэтому по нему удобно искать причину. Прочитать его можно командой ipmitool sel list.

К сети BMC подключается через отдельный порт управления или через порт основной сетевой карты (режим shared). Отдельный порт надёжнее: управление не зависит от настроек сети самой ОС. Если BMC получил адрес 192.168.1.120 (как устроены адреса, объясняет статья об IP-адресе), веб-интерфейс открывается по HTTPS на порту 443, а команды IPMI идут на порт 623/UDP. BMC не заменяет гипервизор: гипервизор запускает виртуальные машины внутри ОС, а BMC работает ниже уровня ОС и не видит ваши виртуальные машины.

Удалённая консоль даёт три возможности:

• KVM-консоль (Keyboard, Video, Mouse): экран, клавиатура и мышь сервера открываются в браузере, видны BIOS и загрузка;
• виртуальные носители: вы подключаете ISO-образ со своего компьютера, и сервер загружается с него, как с USB-диска, поэтому ОС ставят без визита в дата-центр;
• текстовая консоль Serial over LAN: запускается командой ipmitool sol activate.

Как подключиться к BMC: пошаговая инструкция

Если сервер стоит у вас, подключение к BMC (Baseboard Management Controller) занимает 7 шагов. Понадобятся кабель Ethernet и ноутбук в той же сети.

Если сервер арендован, порядок другой: хостер обычно выдаёт доступ к BMC по запросу, через защищённый шлюз или временный адрес. Условия зависят от тарифа. На виртуальном сервере собственного BMC у клиента нет.

Команда на последнем шаге выполняется в терминале. Если вы с ним не работали, сначала прочитайте статью про Linux и SSH для сервера. Порядок действий на примере Supermicro с адресом BMC 192.168.1.120:

1. Найдите порт. Ищите выделенный разъём RJ-45 с подписью IPMI или BMC. У части плат управление идёт через общий порт LAN1.
2. Подключите кабель. Вставьте его в сеть управления, например в VLAN 10 (10.10.10.0/24).
3. Узнайте адрес. Откройте BIOS, раздел Server Management или BMC network configuration. Арендованный сервер: адрес смотрите в панели хостера.
4. Войдите в веб-интерфейс. Откройте https://192.168.1.120 (порт 443). Логин у Supermicro в примере ADMIN, пароль указан на наклейке платы или выдан хостером.
5. Смените пароль и задайте статический IP. Делайте это сразу: заводской пароль известен всем.
6. Откройте KVM-консоль. KVM (Keyboard, Video, Mouse) показывает экран сервера удалённо. Убедитесь, что картинка видна.
7. Проверьте связь через ipmitool. Выполните ipmitool -I lanplus -H 192.168.1.120 -U ADMIN -E chassis power status. Пароль ключ -E берёт из переменной IPMI_PASSWORD. В ответе должно быть Chassis Power is on или off.

Команды ipmitool: что можно сделать через BMC

ipmitool — консольная утилита для Linux, которая отправляет команды в BMC (Baseboard Management Controller) по сети. Общий префикс выглядит так: ipmitool -I lanplus -H 192.168.1.120 -U ADMIN -E. Интерфейс lanplus означает IPMI 2.0 (Intelligent Platform Management Interface), обмен идёт на порту 623/UDP. Если нужно разобраться, как устроен такой обмен, прочитайте про сетевой протокол.

Ключ -E берёт пароль из переменной IPMI_PASSWORD, поэтому он не попадает в историю shell. Задайте её перед работой: read -s IPMI_PASSWORD; export IPMI_PASSWORD. После префикса добавьте нужную команду из таблицы:

В выводе sensor list температура указана в °C, скорость вентиляторов — в RPM (оборотах в минуту). Значение na означает, что датчик не отвечает или не установлен. Пороги срабатывания зависят от модели платы, поэтому сверяйтесь с документацией производителя.

chassis power cycle обесточивает и снова включает сервер на уровне питания, как нажатие кнопки. Мягкая перезагрузка из ОС (reboot) корректно закрывает сервисы и файловые системы, но не помогает при зависшем ядре. Поэтому сначала пробуйте reboot, а power cycle оставляйте на крайний случай.

Как защитить BMC от посторонних

BMC (Baseboard Management Controller) управляет сервером на уровне железа: включает и выключает питание, открывает консоль, меняет настройки. Поэтому доступ к BMC равен физическому доступу к машине. Тот, кто вошёл в него, может перезагрузить сервер или подключить свой загрузочный образ.

Главная ошибка новичков — открыть порты управления в интернет. Не пробрасывайте 623/UDP и 443 наружу: почему так делать нельзя, объясняет материал о пробросе портов. Открытый BMC становится мишенью для перебора паролей и лёгкой добычей для атак, о которых рассказано в статье про DDoS-атаки.

Минимальный набор правил состоит из пяти пунктов:

• Отдельная сеть: держите порт BMC в VLAN 10 (10.10.10.0/24) и пускайте только администраторов, например через VPN (защищённый туннель).
• Пароль: замените заводской (у Supermicro это ADMIN) на уникальный длиной от 12 символов.
• Прошивка: ставьте обновления от производителя и проверяйте их наличие хотя бы раз в квартал.
• Службы и шифрование: отключите всё неиспользуемое и режим cipher suite 0, который допускает вход без пароля.
• Redfish: по возможности переходите на него поверх HTTPS и выключайте IPMI через сеть (IPMI over LAN), если он не нужен.

Частые ошибки при работе с BMC и как их исправить

Большинство проблем с BMC (Baseboard Management Controller) сводится к четырём: не открывается веб-интерфейс, ipmitool не устанавливает сессию, забыт пароль и завис сам контроллер. Чаще всего виноваты адрес, порт или пароль, а не прошивка.

Веб-интерфейс не открывается

Причина: BMC получил от DHCP не тот адрес, который вы ждёте (например, не 192.168.1.120), или кабель включён не в выделенный порт управления, а в обычный сетевой разъём. Решение: посмотрите текущий адрес в настройках сети BMC в BIOS, переставьте кабель в порт управления и откройте адрес по HTTPS на порту 443. Если страница всё равно висит, разберите причины таймаута соединения.

ipmitool выдаёт ошибку сессии RMCP+

Причина: неверный пароль, закрытый порт 623/UDP или пропущенный ключ -I lanplus. Проверьте по порядку:

• команда содержит -I lanplus;
• пароль в переменной IPMI_PASSWORD введён без опечаток;
• порт 623/UDP не блокирует файрвол между вами и BMC.

Рабочая проверка: ipmitool -I lanplus -H 192.168.1.120 -U ADMIN -E chassis power status.

Забыт пароль

Если есть доступ к ОС сервера, выполните локально ipmitool user set password 2 НовыйПароль; номер 2 у ADMIN обычно, точный ID покажет ipmitool user list 1. При аренде выделенного сервера сбросьте пароль через панель хостера или запросите у поддержки. Если железо ваше, следуйте инструкции производителя.

BMC завис

Причина: ошибка прошивки или долгая работа без перезапуска. Решение: выполните ipmitool mc reset cold. Перезапуск затрагивает только контроллер, операционная система продолжает работать, а BMC обычно возвращается в течение нескольких минут.

Проверяйте по порядку: кабель и адрес, затем ключ -I lanplus и порт 623/UDP, и только потом сбрасывайте пароль или перезапускайте BMC.

BMC, IPMI, iDRAC, iLO и Redfish: в чём разница

BMC (Baseboard Management Controller) — сам контроллер: отдельный чип на материнской плате со своим процессором, памятью и прошивкой. Он работает от дежурного питания, поэтому доступен при выключенном сервере. Остальные термины описывают либо протокол, либо конкретную реализацию этого контроллера.

IPMI (Intelligent Platform Management Interface) — спецификация: версия 1.0 появилась в 1998 году, версия 2.0 — в 2004 году. По сети она работает через протокол RMCP+ на порту 623/UDP. iDRAC, iLO, XClarity Controller и iBMC — фирменные BMC производителей со своей прошивкой и веб-интерфейсом.

Redfish — REST-интерфейс управления от DMTF, первая версия вышла в 2015 году. Он работает поверх HTTPS и постепенно вытесняет IPMI. Сравните термины в таблице:

У вендоров часть функций, например расширенная KVM-консоль, может требовать платную лицензию. Условия зависят от модели сервера и тарифа хостера, поэтому уточняйте их до покупки. Если управлять железом, дисками и настройкой RAID вам не нужно, посмотрите ответы на вопросы о VPS: собственного BMC на виртуальном сервере у клиента нет.

Нужен ли вам BMC: для кого не подходит

BMC (Baseboard Management Controller) нужен тем, кто отвечает за физический сервер. Это аренда выделенного сервера, свой сервер в стойке (colocation) и домашняя лаборатория на серверной плате. Во всех трёх случаях сервер может зависнуть или не загрузить операционную систему, а вы не рядом с ним. BMC позволяет перезагрузить машину, открыть KVM-консоль и прочитать журнал событий за пару минут, без поездки в дата-центр.

Не нужен BMC пользователям VPS и обычного хостинга: железом управляет провайдер, собственного BMC у клиента там нет. Для перезагрузки хватит кнопки в панели хостера. Домашнему NAS на потребительской плате он тоже не нужен: на таких платах BMC обычно отсутствует, а нужные задачи закрывают Wake-on-LAN и ИБП.

У BMC есть цена. Он добавляет ещё одну точку уязвимости: прошивка со своим процессором и сетевым стеком, открытые порты 623/UDP и 443. Ему нужен отдельный сетевой порт и, по-хорошему, отдельная сеть, например VLAN 10. У хостера доступ к BMC может стоить доплаты, это зависит от тарифа.

Прежде чем решать, ответьте на вопросы:

• Стоит ли сервер в месте, куда вы не можете быстро доехать?
• Простой дороже, чем настройка и защита BMC?
• Есть ли свободный порт и отдельная сеть управления?

Если везде «да», настраивайте BMC. Если вам нужен просто сервер без заботы о железе, выберите VPS по вашей задаче. Для дома читайте про домашний сервер для хранения данных и про NAS-сервер.