IPMI (Intelligent Platform Management Interface) ist ein herstellerübergreifender Standard für die Out-of-Band-Verwaltung von Servern. Über IPMI lässt sich ein Server überwachen und steuern, selbst wenn das Betriebssystem abgestürzt ist oder der Rechner ausgeschaltet ist. Die Schnittstelle arbeitet unabhängig von der Haupt-CPU über den BMC (Baseboard Management Controller) auf der Hauptplatine.
Was IPMI leistet
- Sensoren: Temperatur, Lüfterdrehzahl, Spannungen und Netzteilstatus auslesen.
- Power-Management: Server ein- und ausschalten oder neu starten, ohne vor Ort zu sein.
- Serial over LAN (SOL): serielle Konsole und BIOS-Ausgabe über das Netzwerk übertragen.
- Event-Log: Hardware-Ereignisse im System Event Log (SEL) protokollieren.
- Lights-out-Management: reagieren, wenn das Betriebssystem nicht mehr antwortet.
Geschichte und Versionen
IPMI wurde 1998 von Intel, Dell, Hewlett-Packard und NEC vorgestellt. Version 1.5 folgte 2001, die bis heute verbreitete Version 2.0 im Jahr 2004. IPMI 2.0 brachte verschlüsselte Sitzungen über das Protokoll RMCP+ und Serial over LAN.
Technik: LAN-Schnittstelle und Port 623
Ein IPMI-fähiger Server besitzt einen eigenen Management-Netzwerkanschluss, dediziert oder mit einem Datenport geteilt. Die Kommunikation per LAN läuft über UDP-Port 623 mit dem Remote Management Control Protocol (RMCP). Werkzeuge wie ipmitool sprechen diesen Port direkt an und lesen Sensoren aus oder schalten die Stromversorgung.
Abgrenzung und Nachfolger
IPMI ist ein Protokoll, der BMC ist die Hardware, die es umsetzt. Hersteller liefern eigene Verwaltungsoberflächen auf IPMI-Basis, etwa iDRAC (Dell) und iLO (HPE). Moderne Systeme setzen zusätzlich auf Redfish, eine REST-API über HTTPS, die IPMI schrittweise ablöst.
Sicherheit
IPMI ist ein häufiges Angriffsziel und gehört deshalb nie direkt ins Internet, sondern in ein getrenntes Management-Netz. Erreichbar ist es nur über VPN oder einen Bastion Host, ähnlich abgeschottet wie eine DMZ. Bekannt ist die Schwachstelle CVE-2013-4786: Das Authentifizierungsverfahren RAKP gibt Passwort-Hashes an nicht authentifizierte Anfragen preis, die sich offline knacken lassen. Werksseitige Standard-Passwörter müssen sofort geändert und die BMC-Firmware im Rahmen des Patch Management aktuell gehalten werden.
Praxis im Rechenzentrum
Im Rechenzentrum stecken IPMI-fähige Server-Komponenten in Racks, deren Rack-Server über IPMI fernbedient werden. Für den Gesamtüberblick ergänzt man die Hardware-Sensoren um Standard-Monitoring und SNMP-Abfragen der Dienste.