Эксперты в подборе IT-оборудования
Сервер подключен к розетке, но выключен. Операционная система не загружена, BIOS молчит. А вы уже заходите в его веб-интерфейс, проверяете температуру процессора и смотрите логи. Магия? Нет, просто HP iLO - технология, которая превращает удалённый доступ к серверам в нечто большее, чем просто SSH-подключение.
iLO (Integrated Lights-Out) - это отдельный микрокомпьютер внутри сервера. У него свой процессор, память и сетевой интерфейс. Пятое поколение ставится на серверы ProLiant Gen10 и Gen10 Plus, и его главная особенность - контроллер всегда активен, пока сервер подключён к питанию. Даже если машина выключена, iLO живёт и работает.
Сориентироваться по поколениям просто: Gen9 - это iLO 4, Gen10 и Gen10 Plus - iLO 5, Gen11 - iLO 6. Веб-интерфейсы отличаются, но логика подключения и большинство команд совпадают. Если вам нужно не «как настроить», а «что это вообще такое и зачем» - об этом отдельно, в статье про iLO в сервере.
Начнём с интересного. В iLO 5 встроены датчики температуры, вентиляторов и питания, и всё это работает без установки драйверов в операционную систему. Захотели узнать, не перегревается ли процессор на сервере в другом городе? Открываете браузер, заходите в веб-интерфейс и видите показатели в реальном времени.
Виртуальная консоль - штука, которая экономит нервы. Через HTML5 или Java/.NET вы подключаетесь к серверу так, будто сидите перед его монитором. Можете работать в BIOS, видеть POST-сообщения, устанавливать операционную систему с виртуального DVD. Причём «виртуального» в прямом смысле: монтируете ISO-образ со своего компьютера, и сервер думает, что в него вставили настоящий диск.
Здесь важная оговорка, из-за которой чаще всего разочаровываются. В бесплатной редакции iLO Standard, которая идёт с сервером, удалённая консоль работает только до загрузки операционной системы и только в текстовом режиме. То есть зайти в BIOS и посмотреть POST вы сможете, а увидеть графический экран уже загруженной системы - нет. Виртуальные носители (монтирование ISO) в Standard недоступны совсем. Полноценная графическая консоль и монтирование образов открываются платной лицензией iLO Advanced. Бесплатно при этом доступны мониторинг датчиков, инвентаризация железа, журнал событий, управление питанием и доступ по SSH. У HPE есть пробная лицензия на 90 дней, если хочется сначала попробовать.
Что именно открывает Advanced, разобрано в статье про расширенную лицензию iLO.
Мониторинг и оповещения работают через SNMP, HPE SIM или почту. Настроили пороговые значения температуры - и если сервер начнёт перегреваться, придёт письмо. Это не «проверьте сервер, когда будет время», а «идите туда прямо сейчас, пока не сгорело».
Энергопотребление тоже под контролем. iLO показывает, сколько ватт потребляет сервер, и позволяет установить лимит через Power Capping. Полезно, когда у вас 20 серверов в стойке, а электрическая мощность ограничена.
А ещё есть RESTful API и Redfish - стандартизированные интерфейсы для автоматизации. Если у вас больше трёх серверов, вы не будете настраивать каждый вручную. Написали скрипт - и он прошёл по всем машинам, настроил сеть, создал пользователей, включил мониторинг.
Первое, обо что спотыкаются: универсального пароля у iLO 5 нет. Логин по умолчанию - Administrator, а пароль индивидуальный для каждого сервера: случайная строка из восьми символов, напечатанная на бирке. Бирка выдвигается спереди сервера или наклеена на корпус, там же указано сетевое имя iLO.
Если бирки нет (сервер б/у, наклейку содрали, лоток потеряли) - пароль сбрасывается двумя способами: утилитой HPONCFG из работающей операционной системы либо через меню настройки iLO при загрузке. Заводского пароля вида admin/admin в iLO 5 не существует, и это правильно: контроллер управления с известным паролем - открытая дверь в сервер мимо всех остальных защит.
По умолчанию iLO получает адрес по DHCP. Если DHCP в сети есть, адрес проще всего посмотреть на его стороне по MAC-адресу iLO (он тоже на бирке) либо в меню настройки при загрузке сервера.
Узнать адрес из уже работающей операционной системы можно утилитой HPONCFG: она читает конфигурацию контроллера напрямую с материнской платы, без сети. Это выручает, когда сервер доступен по SSH или RDP, а адрес iLO никто не записал.
Если DHCP в сети нет, адрес задаётся статически - через то же меню при загрузке.
iLO 5 поддерживает два варианта.
Выделенный порт управления. На задней панели сервера есть отдельный сетевой разъём с иконкой гаечного ключа. Втыкаете туда кабель, настраиваете IP - и iLO живёт в своей сети, не пересекаясь с рабочим трафиком сервера. Это правильный вариант: если ляжет продуктивная сеть, до сервера всё равно можно достучаться.
Совместное использование интерфейса (shared LOM). iLO и операционная система делят один физический порт, но с разными MAC-адресами и IP. Экономит порты на коммутаторе, но смешивает управляющий и рабочий трафик - и лишает главного преимущества выделенного порта.
Если есть физический доступ к серверу, зайдите при загрузке в System Utilities (на POST-экране это F9), а оттуда в iLO 5 Configuration Utility. Там задаются IP-адрес, маска, шлюз и учётные записи.
Тут стоит оговориться, потому что старые инструкции сбивают с толку. F8 - это путь для Gen9 и iLO 4, где конфигуратор контроллера открывался отдельной утилитой. На Gen10 его убрали внутрь System Utilities, и по F8 вы туда не попадёте. Подсказка с нужной клавишей в любом случае выводится внизу POST-экрана.
Если сервер уже в сети и на нём работает ОС, используйте HPONCFG. Она есть под Windows и Linux и конфигурирует iLO из командной строки. Особенно полезно при массовом развёртывании: запустили скрипт на 50 серверах - и всё настроилось само.
После того как адрес назначен, открываете браузер и вводите https://адрес-iLO. Появится предупреждение о самоподписанном сертификате - это нормально, свой можно загрузить позже.
Создание пользователей идёт через раздел User Administration. В iLO есть ролевая модель: кому-то нужен только просмотр показателей, кому-то право перезагрузки, кому-то полный контроль. Не давайте всем Administrator, создавайте роли под задачи.
Слово «порт» в вопросах про iLO означает то физический разъём, то номер в межсетевом экране. Разведём.
Физический порт - тот самый разъём с иконкой гаечного ключа на задней панели. Отдельного «включения» он не требует: работает, как только в настройках выбран режим выделенного порта.
Сетевые порты - это номера, которые нужно открыть на межсетевом экране.
| Порт | Протокол | Для чего |
|---|---|---|
| 443 | TCP | Веб-интерфейс по HTTPS, Redfish и RESTful API |
| 80 | TCP | Веб-интерфейс без шифрования (лучше выключить) |
| 22 | TCP | Доступ по SSH к командной строке iLO |
| 17988 | TCP | Виртуальные носители (монтирование ISO) |
| 17990 | TCP | Удалённая консоль |
| 623 | UDP | IPMI over LAN |
Минимум для повседневной работы через браузер - 443. Если планируете монтировать образы и работать в консоли, нужны ещё 17988 и 17990: без них консоль откроется и повиснет, а причина в интерфейсе никак не объясняется.
Веб-интерфейс хорош для разовых операций и визуального мониторинга. Открыл, посмотрел температуру, подключился к консоли, перезагрузил сервер.
Командная строка по SSH - для тех, кто любит терминал и автоматизацию. Подключаетесь обычным клиентом: ssh Administrator@адрес-iLO. Синтаксис непривычный, он построен на дереве объектов, но запоминается быстро:
power on, power off, power reset - включить, выключить, перезагрузить сервер.
show /system1 - состояние системы.
show /system1/led1 - состояние индикатора UID; start /system1/led1 и stop /system1/led1 - зажечь и погасить его.
show /map1/accounts1 - список учётных записей iLO.
reset /map1 - перезагрузить сам контроллер.
exit - выход.
Индикатор UID - синяя лампочка на корпусе. Зажигаете её командой, приходите в серверную и сразу видите нужную машину в стойке, не сверяя серийники. На стойке из сорока одинаковых серверов это экономит много времени.
Журнал событий из командной строки смотрят через дерево логов iLO: сначала show /system1/log1, затем конкретную запись по её номеру. Веб-интерфейс для разбора журнала удобнее, но по SSH это работает и тогда, когда браузер до сервера не достаёт.
RESTful API и Redfish - вершина автоматизации. Отправляете HTTP-запросы, получаете JSON или меняете настройки. Redfish стандартизирован и понимается серверами разных вендоров, поэтому система управления парком не превращается в набор из десяти отдельных интеграций. Работает Redfish по тому же 443-му порту.
Для массового администрирования есть шаблоны конфигурации: настроили один сервер, выгрузили конфигурацию в XML, применили на остальных. Либо HPE OneView - централизованное управление парком с единой точкой контроля. Если iLO для вас часть более общей задачи, посмотрите заодно разбор KVM-over-IP: там про аппаратное удалённое управление вообще, включая решения других вендоров.
Встроенная аутентификация через локальные учётные записи работает, но плохо масштабируется. У вас 50 серверов, на каждом по три админа - это 150 паролей, которые надо где-то хранить и синхронизировать.
iLO 5 умеет интегрироваться с Active Directory и LDAP. Настраиваете подключение к домену, указываете группы AD с правами администратора iLO - и пользователи заходят доменными учётками. Сменили человеку пароль в AD, и он сменился для доступа ко всем серверам сразу.
Журналирование - отдельная тема. iLO Event Log фиксирует всё: кто подключался, что делал, когда сервер включался, какие были ошибки. При интеграции с SIEM эти журналы собираются централизованно, и попытки перебора паролей на iLO становятся видны. Как это устроено, разобрано в материале про SIEM и IDS.
Про сертификаты. По умолчанию iLO использует самоподписанный, что вызывает предупреждение в браузере. Для продуктива загружайте сертификат своего центра сертификации: это убирает предупреждение и защищает от подмены.
Обновление прошивок - часть безопасной эксплуатации. HPE регулярно закрывает уязвимости iLO, а сами прошивки подписаны: контроллер проверяет подпись перед установкой и чужую не примет. Цифровые подписи BIOS и микросхемы iLO защищают микрокод от подмены на аппаратном уровне.
Три вещи, которые стоит сделать сразу после настройки:
Сервер не загружается, а вы за 500 километров. Первым делом открываете виртуальную консоль и смотрите, на каком этапе останавливается загрузка: POST-коды и сообщения BIOS видны целиком. Может, память отошла, может, диск отвалился. Журнал iLO покажет аппаратные ошибки за последние дни.
iLO умеет монтировать виртуальные носители: если система полетела, монтируете установочный ISO со своего компьютера, перезагружаете сервер, и он грузится с образа. Переустановка ОС удалённо, без курьеров и выездов. Напомню: и консоль, и виртуальные носители требуют лицензии Advanced.
Power management перезагружает сервер и жёстко его выключает - как если бы вы зажали кнопку питания на четыре секунды. Зависшая машина на программное выключение не реагирует, и тогда это единственный вариант.
Восстановление BIOS/UEFI: если прошивка системной платы повреждена, iLO может загрузить резервную копию или принять новый образ. Это спасает от ситуации «сервер кирпич, везите в сервисный центр».
| Симптом | Вероятная причина | Что делать |
|---|---|---|
| Адрес не пингуется | iLO не получил адрес по DHCP или кабель воткнут не в тот разъём | Проверить разъём с иконкой ключа, посмотреть адрес в меню настройки при загрузке |
| Веб-интерфейс не открывается, порт закрыт | Закрыт 443 на межсетевом экране или включён только shared LOM | Открыть 443, проверить выбранный режим сетевого интерфейса |
| Логин и пароль не подходят | Пароль индивидуальный, с бирки, а не универсальный | Взять с бирки; если её нет - сбросить через HPONCFG |
| Консоль открывается и виснет на чёрном экране | Закрыты 17990 и 17988 либо нет лицензии Advanced | Открыть порты; проверить лицензию в разделе Licensing |
| «Отсутствуют необходимые файлы» при запуске консоли | Запущена Java или .NET-версия консоли, браузер её не поддерживает | Переключиться на консоль HTML5 |
| Интерфейс отвечает, но сервер не реагирует на команды питания | Подвис сам контроллер | Сбросить iLO из веб-интерфейса или командой reset /map1 по SSH |
| После обновления прошивки iLO недоступен | Обновление не завершилось | Подождать 2-3 минуты: контроллер перезагружается дольше, чем кажется |
Отдельно частый случай: iLO не отвечает, а сервер работает. Контроллер живёт своей жизнью и иногда зависает независимо от сервера. Его перезагрузка безопасна - она не трогает работающую операционную систему и не выключает машину.
HP iLO 5 - это полноценная система управления жизненным циклом железа: от первого включения до вывода из эксплуатации, от мониторинга температуры до автоматизации через API. Технология, которая работает всегда, даже когда сервер спит. Когда в три ночи упадёт сервер в филиале, вы скажете спасибо тому, кто заранее настроил виртуальную консоль и оповещения на почту.
Нужна лицензия iLO или сервер HPE?
Если упёрлись в то, что виртуальная консоль недоступна, - вопрос решается лицензией iLO Advanced, она поставляется отдельно и активируется ключом без перезагрузки сервера. Инженеры ITTELO подберут лицензию под ваше поколение ProLiant или конфигурацию сервера под задачу, соберут и протестируют её перед отгрузкой, с гарантией и поддержкой после продажи. На рынке серверов 11+ лет.
