Zanim uruchomi się system

Czasami system, którym administrujemy odmawia posłuszeństwa. Taka sytuacja nie jest częsta, ale warto, dmuchając na zimne, zapewnić sobie możliwość dostępu do serwera w inny sposób niż SSH / RDP.

Pierwszą możliwością jest fizyczna obecność przy maszynie. Warunek – serwerownia musi być niedaleko i dostępna w każdej porze. Kolokacja w innym mieście czy wyjazd na wakacje nie idą w parze z tym rozwiązaniem. Niemniej jeśli je stosujemy, zawsze upewnijmy się, że jest dostępny monitor i klawiatura (ew. myszka) w standardzie takim, który umożliwi nam podłączenie i pracę. Szukanie klawiatury z wtyczką PS/2 w momencie awarii jest najmniej ciekawą czynnością.

Out-of-band management, czyli dostęp do urządzenia alternatywnym kanałem. Wielu producentów serwerów wyposaża swoje produkty w dodatkowe porty lub karty zarządzające, dzięki którym możemy przez sieć sprawdzić co dzieje się z maszyną. W zależności od producenta rozwiązanie może nazywać się różnie (np. iLO w HP czy DRAC w Dell), ale idea jest podobna. Po podłączeniu do konsoli możemy sprawdzić, która kość pamięci nie działa lub ile wiatraków chłodzi naszą maszynę, ew. ‘wirtualnie’ nacisnąć przycisk ‘On/Off’. W szczególności możemy też zobaczyć co serwer chce wyświetlić na ekranie podłączonym lokalnie. Warunkiem do wykorzystania jest działająca infrastruktura sieciowa.

Jeśli chcemy zdalnie mieć możliwość podglądania tego, co wyświetlane jest na ekranie podczas startu maszyny, przydatnym urządzeniem okaże się KVM-IP (wybrani producenci: Aten, Planet, D-Link). To przełącznik klawiatury, myszy i monitora, do którego podłączyć możemy się za pomocą sieci dzięki odpowiedniemu oprogramowaniu. Do takiej skrzynki możemy podłączyć nawet kilka serwerów i nie muszą on być wyposażane w dodatkowe karty rozszerzeń, więc każda starsza maszyna będzie współpracować. BSoD i jego odpowiedniki nie bolą już tak bardzo. Warunek – działająca infrastruktura sieciowa. Warto dodać, że dla bezpieczeństwa zawsze należy wylogować się po zakończeniu pracy, bo to co widzimy zdalnie, jest również widoczne lokalnie.

Podobnym rozwiązaniem może być przekierowanie konsoli na port szeregowy. Można to zrobić już w BIOS w większości serwerów, więc mamy również możliwość podejrzenia startu maszyny i tego co się dzieje przed lub w trakcie uruchomienia systemu. Ograniczeniem jest konsola tekstowa (odpada famebuffer czy środowisko graficzne). Jeśli BIOS nie pozwala na przekierowanie, można zrobić je po stronie systemu operacyjnego (np. console=ttyS1,38400 w grub.conf dla Linux lub console="comconsole" w /boot/loader.conf dla FreeBSD), ale stracimy to, co dzieje się przed programem rozruchowym. Warunkiem do użycia jest druga maszyna ze zdalnym dostępem, która ‘odbierze’ przekierowanie. Jeśli chcemy to rozwiązanie wykorzystać na większą skalę, możemy użyć wieloportowych kart (produkuje je np. Moxa).

Jeśli wykorzystujemy wirtualizację, pamiętajmy, że z systemu gospodarza (hypervisor) możemy sprawdzić co dzieje się w systemach gościach. Wprawdzie korzystanie jedynie z tego sposobu to zaufanie zarówno fizycznemu sprzętowi jak i podstawowemu systemowi, ale po połączeniu np. z przekierowaniem konsoli uzyskujemy pełniejsze rozwiązanie.

W momencie gdy wykupujemy usługę kolokacji w jednym z centrów danych, sprawdźmy czy w ofercie jest usługa remote hands. To nic innego jak osoba na miejscu, która potrafi odróżnić klawiaturę od gąbki do mycia naczyń i w razie awarii możemy telefonicznie przekazać jej instrukcję co zrobić. Upewnijmy się zawczasu czy jesteśmy na liście osób upoważnionych do kontaktu i czy mamy wszystkie elementy do telefonicznego uwierzytelnienia.

Kolejnym składnikiem, który może przyczynić się do zabezpieczenia serwerowni jest zarządzalna listwa zasilająca. Dzięki niej możemy zdalnie wyłączyć i włączyć zasilanie dla konkretnego urządzenia, więc służyć nam może nie tylko dla serwerów. Dodatkowo urządzenia takie mogą obsługiwać czujniki temperatury czy wilgotności, a także zapewniać opóźniony start gniazd.

W kontekście zbliżającego się lata pomyślmy o zabezpieczeniu dostępu, zanim awaryjnie ściągnięci zostaniemy do firmy, by wcisnąć przycisk RESET.

Tweet

oceń artykuł (1 gł., średnia: 5,00)

 Loading ...