BMC (Baseboard Management Controller) — специализированный микропроцессор на материнской плате, работающий независимо от основного CPU и операционной системы. BMC позволяет управлять сервером удалённо даже при зависании ОС, потере питания или отсутствии ОС: включать/выключать питание, перезагружать, загружаться с ISO-образа по сети, просматривать видеовыход сервера. Без BMC удалённое управление физическим сервером невозможно.
Как работает BMC
BMC имеет собственный сетевой порт (dedicated management port или shared с основным NIC), оперативную память (64–256 МБ), flash-хранилище (16–64 МБ) и прошивку (обычно Linux-based). Он подключается к внутренним шинам материнской платы через JTAG, I²C и LPC-шину, следит за: температурами компонентов (CPU, RAM, диски), напряжениями на рейлах питания, оборотами вентиляторов, состоянием дисков (S.M.A.R.T.), ошибками памяти ECC.
Стандарт IPMI (Intelligent Platform Management Interface) версии 2.0 определяет унифицированный протокол взаимодействия с BMC через LAN. Протокол IPMI работает поверх UDP-порта 623. Команды ipmitool: ipmitool -H IP -U admin power status, ipmitool chassis power cycle.
Производители и продукты
- iDRAC (Dell) — iDRAC Express (базовый), iDRAC Enterprise (полный KVM-over-IP). Версии: iDRAC8 (PowerEdge 13G), iDRAC9 (14G–16G).
- iLO (HPE) — iLO 4 (Gen8–Gen9), iLO 5 (Gen10), iLO 6 (Gen11). Включает агент виртуального носителя, встроенный BIOS-обход.
- IPMI / Redfish — стандартизированный интерфейс от DMTF (Distributed Management Task Force). Redfish (HTTP REST API) — современный стандарт с 2015 года, заменяет legacy IPMI.
- ASPEED AST2600 — наиболее распространённый BMC-чип у Supermicro, ASRock Rack, Tyan.
KVM-over-IP через BMC
BMC Enterprise/Advanced-уровня предоставляет KVM-консоль: видеовыход сервера транслируется через браузер (HTML5 или Java-апплет), клавиатура и мышь передаются в обратном направлении. Виртуальный DVD/USB: можно подмонтировать ISO-образ с рабочей станции и загрузить сервер с него — без физического доступа к дата-центру. Это ключевая функция для провайдеров колокейшн.
История
Стандарт IPMI 1.0 опубликован Intel в 1998 году. IPMI 2.0 (2004) добавил шифрование (RAKP), серийную консоль через LAN (SOL — Serial Over LAN), KVM-over-IP для enterprise. HPE iLO появился в 2001 году (BladeSystem). Redfish — открытый REST API-стандарт DMTF, принят в 2015 году — заменяет IPMI для современных серверов. ASPEED BSMB AST2600 (2020) — референсный BMC-чип большинства современных серверных плат.
Безопасность BMC
BMC — потенциальный вектор атаки: если пароль admin/admin не сменён или сеть управления доступна из интернета — сервер полностью скомпрометирован. Уязвимость iLO 4 (CVE-2017-12542, 2017): обход аутентификации без пароля через HTTP-заголовок. Уязвимости iDRAC9 (2019–2022) позволяли RCE. Меры защиты: BMC-порт только в выделенном management VLAN, изолированном от production сети; смена паролей по умолчанию; регулярное обновление прошивки BMC; отключение неиспользуемых сервисов (IPMI over LAN, если используется только Redfish). Провайдеры закрывают IPMI-порт на уровне фаервола — доступ только через VPN.
Redfish API — современный стандарт BMC
Redfish (DMTF стандарт DSP0266) — RESTful API для управления серверным железом, заменяющий legacy IPMI. Запросы — обычный HTTP/HTTPS с JSON-ответами. Примеры: GET /redfish/v1/Systems/1 — состояние сервера, POST /redfish/v1/Systems/1/Actions/ComputerSystem.Reset с body {"ResetType":"On"} — включить. Ansible Redfish-модули (community.general.redfish_command) позволяют автоматизировать управление железом в IaC. Python-библиотека redfish-client — для скриптов. Все современные серверы (2018+): HPE iLO 5+, Dell iDRAC9+, Supermicro BMC 3.x+ — поддерживают Redfish.