В стратегию всеобъемлющего доступа к важным серверам нередко включают и специально созданные для этого процессоры, размещаемые на управляемых машинах. Но для обеспечения эффективной работы такие сервисные процессоры — иногда их называют управляющими контроллерами системной платы — должны быть частью общей системы управления.
Информационные технологии выполняют роль кровеносной системы практически на всех предприятиях. Их постоянная готовность — это не произвольное, а обязательное условие в борьбе за экономическое выживание. Для того чтобы серверы и прочие компоненты сети можно было использовать непрерывно, организации придерживаются многоуровневой стратегии: наряду с мониторингом посредством продуктов управления системами и созданием многочисленных резервов многие обеспечивают готовность критичных аппаратных компонентов при помощи так называемой инфраструктуры управления по внешнему каналу (Out-Of-Band Infrastructure, OOBI).
Даже в случае сбоев в производст-венной сети администратор сможет вести наблюдение за отказавшими устройствами и снова вводить их в работу. Специальные консольные серверы обращаются к последовательным портам устройств. Переключатели KVM, в том числе на базе IP, предоставляют доступ к портам клавиатур, мониторов и мышей. Управление же системами посредством сервисных процессоров - относительно новая возможность. Они могут стать рациональной альтернативой инструментам управления по внешнему каналу. Решающим фактором при этом является то, какие функции должна выполнять OOBI.
Сервисные процессоры называются также управляющими контроллерами системных плат (Baseboard Management Controller, BMC) и размещаются на системной либо на сменной плате современных серверов. Они функционируют как отдельные небольшие компьютеры независимо от центрального процессора своего «сервера-хозяина» и продолжают работать даже в случае остановки операционной системы. Для обеспечения коммуникации с ними предлагаются разнообразные протоколы (см. Таблицу 1): Advanced Lights Out Management (ALOM) от Sun, Intelligent Lights Out (ILO) от HP/Compaq, Remote Supervisor Adapter (RSA) от IBM и Dell Remote Assistant Cards (DRAC). Кроме того, имеется стандартный протокол интерфейса интеллектуального управления платформами (Intelligent Platform Management Interface), который поддерживается многими производителями и поэтому может использоваться с большинством серверов. Сер-висные процессоры добавляют в системное управление большое число функций.
ВОЗМОЖНОСТИ СЕРВИСНЫХ ПРОЦЕССОРОВ
Сервисные процессоры, с одной стороны, предлагают функции, которые в том числе выполняют консольные серверы, а также переключатели KVM и KVM по IP. С их помощью системные администраторы могут удаленно конфигурировать BIOS и протоколировать события на сервере. Некоторые сервисные процессоры, как и переключатели KVM, поддерживают функции работы с клавиатурой, видео и мышью, поэтому удаленное управление «ощущается» так, как будто пользователь взаимодействует непосредственно с сервером.
Однако самое интересное в сервисных процессорах то, что они находятся на самом подконтрольном объекте — т. е. на сервере — и способны проверять его состояние: проводить мониторинг датчиков температуры, скорости вентиляторов и напряжения питания, измерять величину нагрузки на накопитель и центральный процессор, а кроме того, удаленно управлять подачей питания на сервер. Немалый плюс представляет и то, что сервисные процессоры не занимают места в стойке.
ВОЗМОЖНОСТИ ТРАДИЦИОННЫХ ИНСТРУМЕНТОВ ВНЕШНЕГО УПРАВЛЕНИЯ
Консольные серверы, а также переключатели KVM и KVM по IP представляют собой внешние устройства и в отличие от сервисных процессоров не обладают доступом к жизненно важным данным о сервере. Для управления питанием необходимо дополнительное аппаратное обеспечение, к примеру многорозеточный модуль или интеллектуальный блок распределения питания (Intelligent Power Distribution Unit, IPDU).
Если решение управления по внешнему каналу используется не для мониторинга внутренних данных сервера, а отвечает за обеспечение доступа к BIOS, проведение конфигураций и протоколирование событий на сервере, то с этими задачами прекрасно справляются и традиционные инструменты. Консольные серверы, кроме того, предлагают удаленный доступ не только к серверам, но и к сетевым компонентам - коммутаторам, маршрутизаторам и брандмауэрам. С их помощью помимо активности на сервере можно протоколировать и обращения пользователей. Еще один большой плюс заключается в том, что их можно включить в одно консолидированное решение. Посредством такого устройства администраторы могут получить доступ к 32 тыс. портов и даже более того (сравните с данными из статьи В. Горецки «Далеко — и все же так близко» в октябрьском номере «Журнала сетевых решений/LAN» за 2005 г.). В сети все порты видны под одним IP-адресом.
В отношении безопасности доступ к устройствам через «черную дверь» предъявляет особые требования. Консольные серверы и переключатели KVM, как правило, интегрируют методы для обычной серверной аутентификации (при помощи RADIUS, TACACS+, LDAP или Kerberos), шифруют трафик данных посредством SSL и SSH, а также поддерживают аутентификацию пользователей с применением токенов.
КОМБИНАЦИЯ ВНЕШНИХ КАНАЛОВ
Принимая решение о подходящем методе управления по внешнему каналу, необходимо, с одной стороны, ориентироваться на функции, которые будут выполняться (если на серверах требуется проводить мониторинг данных о состоянии системы, то наиболее подходящим средством являются сервисные процессоры), а с другой — учитывать уже существующую на предприятии инфраструктуру: при наличии большого числа старых серверов без сервисных процессоров следует задумать-ся о приобретении консольных серверов и переключателей KVM или KVM по IP. Как следствие, инфраструктура управления по внешнему каналу в большинстве случаев предполагает объединение различных технологических подходов (см. Рисунок 1). Для максимального упрощения управления очень важно, чтобы она контролировалась иерархическим образом на уровнях консолидации при помощи консолей управления.
УПРАВЛЕНИЕ СИСТЕМАМИ ПРИ ПОМОЩИ СЕРВИСНЫХ ПРОЦЕССОРОВ
Если принято решение об использовании сервисных процессоров в качестве альтернативного пути доступа к серверу, то необходимо устранить различные системные слабости. Средством для этого служит специальный подход к управлению сервисными процессорами.
К проблематичным моментам относятся следующие.
Собственные протоколы коммуникации. Большинство коммуникационных протоколов для взаимодействия с сервисными процессорами являются собственными разработками и могут использоваться только на серверах того же производителя. Единственный доступный на данный момент открытый протокол, признаваемый производителями серверов, — IPMI, но его, как правило, объединяют с собственными разработками и используют с собственным же программным обеспечением, т. е. для применения с другими серверами он не подходит. Однако эффективное управление сервисными процессорами должно оставлять предприятиям свободу выбора серверов разных производителей. Следовательно, поддерживаться должны как нестандартные протоколы, так и специфические расширения к IPMI.
Защита доступа. Доступ к сервисным процессорам защищается только локальным паролем и пользовательским именем. Однако при доступе через производственную сеть этого недостаточно, поскольку персональные данные могут быть перехвачены при помощи простых инструментов сканирования сети.
Необходимы всесторонние функции обеспечения безопасности: аутентификация на базе сервера, контрольные списки с сортировкой по имени пользователя, по группам или IP-адресам, а также регистрация пользователей и приложений. Кроме того, обмен данными между процессорами должен защищаться посредством протоколов Secure Shell (SSH) или Secure Socket Layer (SSL). Однако перечисленные меры обеспечения безопасности на уровне сервисных процессоров реализовать нельзя.
Сложность. На крупных предприятиях работают тысячи серверов и, соответственно, множество сервисных процессоров. Каждому нужен собственный IP-адрес, на его выделение тратится немало времени, а, кроме того, управление адресами достаточно дорого.
Теоретически администраторы обязаны следить за состоянием серверов через эту бездну IP-адресов и удаленно управлять ими в аварийном случае. На практике же это неосуществимо. Неразрешенным до конца остается и вопрос ограничения пользователей и соответствующего контроля. Надо следить за тем, чтобы администраторы имели удаленный доступ лишь к серверам, относящимся к их сфере ответственности.
Избежать этих трудностей и максимально использовать потенциал сервисных процессоров для системного управления поможет дополнительная технология управления. Она должна:
- консолидировать соединения Ethernet сервисных процессоров и изолировать сеть сервисных процессоров от производственной сети. В таком случае сервисные процессоры будут достижимы исключительно через соответствующий менеджер, а значит, создается надежный, контролируемый и консолидированный путь доступа;
- централизованно управлять доступом к сервисным процессорам в зависимости от прав пользователя или запрашиваемого приложения. Доступ к отдельным функциям сервисных процессоров небходимо иметь возможность предоставлять или блокировать в зависимости от прав. Важно, чтобы технология доступа предусматривала протоколирование обращений и действий на соответствующем сервере;
- аутентифицировать всех пользователей, к примеру при помощи RADIUS, TACACS+, LDAP, Active Directory, и шифровать обмен данными с сервисным процессором посредством SSH, SSL, HTTPS или VPN;
- понимать все имеющиеся протоколы сервисных процессоров вне зависимости от их производителя и обеспечивать доступность информации об управлении через единообразный интерфейс (см. Рисунок 2). Кроме того, желательна реализация таких функций, как графическое отображение или даже активный мониторинг информации с датчиков, управление питанием путем «наведения мыши и нажатия кнопки» или управление видео, клавиатурой и мышью в реальном времени.
Сервисные процессоры дополняют технические подходы к управлению серверами по внешнему каналу. Поэтому важно, чтобы консоль без проблем интегрировалась в архитектуру внешнего управления.
В идеальном случае к системе можно обращаться через единственный управляющий графический интерфейс пользователя и общий IP-адрес. В семействе продуктов AlterPath от Cyclades, к примеру к менеджерам сервисных процессоров, консольным серверам, переключателям KVM или KVM по IP, к менеджерам модульных серверов и интеллектуальным распределительным блокам, можно обращаться через интерфейс управляющей консоли OOBI (см. Рисунки 3, 4а и 4б).
СЕРВИСНЫЕ ПРОЦЕССОРЫ ДОПОЛНЯЮТ OOBI
Сервисные процессоры обогащают традиционное удаленное управление серверами внутренней информацией об устройствах, к которой внешние устройства OOBI, в частности консольные серверы, не имеют доступа. Для использования этого потенциала нужна дополнительная технология управления, предлагающая повышенную безопасность и одновременно обеспечивающая более простое управление сервисными процессорами. Положительный эффект очевиден: если менеджер серверных процессов хорошо интегрируется в инфраструктуру управления по внешнему каналу, у предприятия появляется возможность сокращения времени простоя серверов при неизменной стоимости эксплуатации.
Джон Лима — основатель и президент компании Cyclades. С ним можно связаться по адресу: jos@lanline.awi.de.
? AWi Verlag