iDRAC, iLO ve IPMI yönetim arayüzlerini güvene alma

Bu rehberde ne yapacağız?

iDRAC, iLO ve genel adıyla IPMI, sunucunun işletim sisteminden bağımsız çalışan yönetim denetleyicisi (BMC) üzerinden uzaktan güç kontrolü, konsol ve donanım izleme sağlar. Bu arayüz ele geçirilirse saldırgan sunucuyu kapatabilir, sanal medya ile işletim sistemi kurabilir veya konsola erişebilir. Bu yüzden yönetim arayüzünü güvene almak, sunucu sertleştirmenin ilk adımlarındandır.

Rehber dedicated sunucu, colocation ve özel bulut yöneten sistem yöneticileri içindir. Menü adları üreticiye ve sürüme göre değiştiği için ayarları genel adlarıyla anlatıyoruz; ayrıntı için üreticinin belgesine bakın. Süre yaklaşık 30-45 dakikadır.

Gereksinimler

• BMC'ye yönetici yetkisiyle web arayüzü veya komut satırı erişimi
• Yönetim trafiği için ayrı bir VLAN, ayrı bir switch ya da VPN altyapısı
• İşletim sisteminden BMC'ye bakmak için ipmitool paketi (Linux)
• Değişiklikler sırasında bağlantınız kopabilir; sunucunun fiziksel veya alternatif erişimi olduğundan emin olun
• Parola değişikliğinden önce mevcut yapılandırmanın notunu alın

Adım adım yönetim arayüzünü güvene alma

1. Mevcut durumu görün

Önce BMC'nin ağ ayarlarını ve kullanıcılarını inceleyin. İşletim sisteminden yerel olarak okumak için ipmitool kurun ve çekirdek modüllerini yükleyin.

# Debian / Ubuntu
sudo apt install -y ipmitool

# AlmaLinux / Rocky
sudo dnf install -y ipmitool

sudo modprobe ipmi_si
sudo modprobe ipmi_devintf

sudo ipmitool lan print 1
sudo ipmitool user list 1

İlk komut BMC'nin IP adresini, ağ geçidini ve erişim ayarlarını; ikincisi tanımlı kullanıcıları gösterir. Kanal numarası bazı cihazlarda 1 değildir; çıktı hata verirse 2 veya 8'i deneyin.

2. Yönetim arayüzünü ayrı ağa taşıyın

En önemli önlem, BMC'yi herkese açık internetten ayırmaktır. BMC'ye özel IP verin, yalnızca yönetim VLAN'ından ya da VPN üzerinden erişilebilir yapın. Sağlayıcınızın dedicated sunucusuysa yönetim erişiminin nasıl sunulduğunu (VPN, IP kısıtlı panel, tek kullanımlık oturum) sağlayıcıdan öğrenin.

BMC trafiği, paylaşımlı ağ portu kullanılsa bile işletim sisteminin güvenlik duvarından (UFW, firewalld) geçmez. Erişim kaynaklarını sınırlamak için üst ağ cihazında veya ağ güvenlik duvarında yalnızca yönetici IP aralığına izin veren bir kural kullanın; BMC'nin kendi IP filtreleme özelliği varsa onu da açın.

3. Varsayılan hesapları ve parolaları değiştirin

Üreticinin varsayılan kullanıcı adı ve parolası herkesçe bilinir. Mutlaka değiştirin; kullanılmayan hesapları devre dışı bırakın. Parolayı komut satırında düz yazmak yerine istem üzerinden girin.

sudo ipmitool user list 1
sudo ipmitool user set name 3 yonetici
sudo ipmitool user set password 3
sudo ipmitool user priv 3 4 1
sudo ipmitool channel setaccess 1 3 link=on ipmi=on callin=on privilege=4
sudo ipmitool user enable 3

Kullanıcı numarasını (burada 3) user list çıktısındaki boş bir yuvaya göre seçin. user priv 3 4 1 komutu 3 numaralı kullanıcıya 1. kanalda yönetici (4 = ADMINISTRATOR) yetkisi verir; yetki atanmayan hesapla giriş yapılamayabilir. Web arayüzü yetkileri bazı üreticilerde ayrıca arayüzden ayarlanır. Yeni hesapla web arayüzünden giriş yaptığınızı doğruladıktan sonra eski varsayılan hesabı kapatın.

sudo ipmitool user disable 2

Uyarı: Tek yönetici hesabını devre dışı bırakmadan önce yeni hesabın çalıştığını mutlaka sınayın.

4. Gereksiz servisleri kapatın

BMC arayüzünde (menü adları üreticiye göre değişir) kullanmadığınız servisleri devre dışı bırakın: Telnet, kullanılmayan IPMI over LAN, SNMP (kullanmıyorsanız), gereksiz uzak medya servisleri. Mümkünse yalnızca HTTPS ve SSH bırakın.

IPMI over LAN kullanmıyorsanız kapatmak iyi bir tercihtir; eski IPMI 2.0 protokolünün bilinen zayıflıkları vardır. Yerel ipmitool kullanımı bundan etkilenmez.

5. Güvenli şifreleme ve sertifikayı ayarlayın

Web arayüzü için üreticinin izin verdiği en yeni TLS sürümünü seçin, mümkünse kendi kuruluşunuzun sertifikasını yükleyin. IPMI kullanmak zorundaysanız şifresiz (cipher 0) erişimi kapatın ve yalnızca güçlü şifre paketlerine izin verin; bunun ayarı üreticiye özgüdür, belgesine bakın.

6. Firmware'i güncel tutun

BMC firmware'inde zaman zaman kritik açıklar kapatılır. Güncellemeden önce sürüm notlarını okuyun, yapılandırmanın yedeğini alın ve bakım penceresinde uygulayın.

7. Oturum günlüklerini ve uyarıları açın

Başarısız girişler, hesap değişiklikleri ve güç olayları için e-posta veya syslog hedefi tanımlayın. Günlüğü ayrı bir günlük sunucusuna göndermek, BMC ele geçirilse bile izleri korur.

Doğrulama

Sunucunuzun dışından (genel internetten ya da güvenmediğiniz bir ağdan) BMC IP adresine ulaşılamadığını doğrulayın.

nmap -Pn -p 22,23,80,443,623,5900 BMC_IP
sudo nmap -sU -Pn -p 623 BMC_IP

Beklenen sonuç: Yönetim ağı dışından bu portların filtered veya closed görünmesidir. Yönetim ağından ise yalnızca ihtiyaç duyduğunuz portlar açık olmalıdır. Ardından sudo ipmitool user list 1 çıktısında varsayılan hesabın kapalı, yeni hesabın açık olduğunu kontrol edin.

Sık karşılaşılan sorunlar

• ipmitool aygıt bulamıyor: ipmi_si ve ipmi_devintf modüllerinin yüklendiğini, /dev/ipmi0 dosyasının oluştuğunu kontrol edin. Sanal makinede BMC olmaz.
• Parola değişikliği reddediliyor: Cihaz parola uzunluğunu veya karakter kuralını zorlayabilir; daha uzun bir parola deneyin.
• Web arayüzüne erişilemiyor: Güvenlik duvarı kuralı veya VLAN yönlendirmesi yönetici IP'nizi dışarıda bırakmış olabilir. Sunucu başında veya alternatif erişimle ayarı geri alın.
• Sertifika uyarısı: Kendinden imzalı sertifika normaldir; kendi sertifikanızı yüklediğinizde kalkar.

Güvenlik ve bakım notları

• BMC arayüzünü hiçbir zaman doğrudan genel IP üzerinden yayınlamayın.
• Her yöneticiye kişisel hesap açın, ortak hesap kullanmayın; ayrılan kişinin hesabını hemen kapatın.
• BMC parolalarını parola yöneticisinde saklayın ve işletim sistemi parolalarından farklı tutun.
• Firmware güncellemelerini düzenli takip edin; üreticinin güvenlik duyurularına abone olun.
• Yönetim ağınızı ayda bir tarayıp beklenmeyen BMC cihazı olup olmadığına bakın.
• Sunucu kiralık ise sağlayıcının BMC erişim politikasını ve sorumluluk dağılımını sözleşmede netleştirin.