En nu de andere lights-out management "oplossingen" nog even, heb je er nog een paar meer. Dit is een probleem bovenop het probleem dat IPMI (en de anderen uit die familie), namelijk dat het "bolt-on" constructies zijn om je scherm en toetsenbord (en je floppy drive en je cdrom drive) te vervirtualiseren, want dan heb je je goedkope desktopje tot min of meer werkbare servert opgevijzeld.

Nadelen zijn, onder andere, dat je client software nodig hebt die best wel ingewikkeld is maar ook wel eens behoorlijk brak kon zijn (heb het eigenlijk niet anders meegemaakt, zo had ik zowel 64bits als 32bits java tegelijk nodig want anders deed de webclient het niet), en dat je naar een plaatje van een scherm zit te kijken. Dat maakt automatiseren lastig. Je kan er niet zomaar een expect script op zetten, maar hebt eerst een laag OCR nodig.

Maar er zitten dus ook beveiligingsproblemen aan vast, vrij typisch voor "bolt-on" constructies.

Betere oplossing? Echte servers bouwen. Die hebben geen grafische kaart, maar een serieele poort. Lijkt me dat je met de huidige technologie ook best serieele poorten sneller kan laten gaan. Gewoon een gigabit punt-naar-punt verbinding (dus zonder allerlei framing zoals ethernet; ik zou de line coding van spacewire/firewire afkijken) met een openboot-type BIOS erachter. Virtuele cdroms en dergelijke doe je dan daardoorheen, in het BIOS zelf. En je hele rack aan servers concentreer je in een 1u ssh-bastion-appliance met een flinke stapel van zulke serieele poorten.

Waarom we dit niet eerder bedacht hebben? Omdat teveel servertjes windows draaien en windows een beetje achterloopt met dit soort concepten. Omdat computerbouwers hiervoor "optimalizeren" en daarom grafische fratsen en muisondersteuning belangrijker vinden dan beheerbaarheid. Hadden we het gelijk goed gedaan dan hingen er niet zoveel management consoles aan het 'net, want de standaardmanier ze aan te sluiten is via een bastion host.

Waarom zou je IPMI open op het internet laten staan. Kan je thuis zien welke pizza (server) afgebakken wordt.
De fysieke toegangsbeveiliging zou de eerste verdedigingslijn zijn.... weg.

Ja precies...

MKB?
Wel weten waar een cisco-bak voor gebruikt wordt, maar niet het kan worden?
Dat samen met de meestal niet al te beste 'fabrieksinstellingen' en het is prijs. De vraag is alleen hoeveel systemen daadwerkelijk kwetsbaar zijn, gelukkig staat boot-by-LAN standaard uit en is natuurlijk lang niet ieder aangesloten endpoint 'per ongeluk' geschikt voor IPMI.

Neemt niet weg dat ik het 100% met je eens ben.

Veel servers hangen bij een colo-boer zonder management-VPN. Veel klanten hebben dus niet echt keuze, of ze moeten er switches bijhangen. Dus een goeie coloboer is slim als die hier op in speelt. Of je het nou ook anders kan oplossen door zelf hardware aan te schaffen is voor velen een brug / prijskaartje te ver.