Удаленное управление через Lenovo BMC для серверной инфраструктуры

Lenovo BMC - это встроенный контроллер, который управляет сервером в обход операционной системы. В серверах ThinkSystem он называется XClarity Controller, сокращённо XCC. Удалённое управление через Lenovo BMC работает, когда до машины не достучаться ничем другим: система зависла, не загрузилась или её ещё нет.

Контроллер живёт на отдельном процессоре ARM с собственной памятью и сетевым интерфейсом. В XCC2 и XCC3 это чип ASPEED AST2600, двухъядерный Cortex-A7 на 1,2 ГГц. Питается он от дежурной линии блока питания, поэтому остаётся на связи даже при выключенном сервере. Такое управление называют внеполосным (out-of-band): вы работаете с железом мимо основной системы.

Дальше - без общих слов: поколения и лицензии, порты, пароль по умолчанию, порядок первой настройки и то, чего от XCC ждать не стоит.

Почему XClarity Controller - это больше, чем просто IPMI

IPMI (Intelligent Platform Management Interface) появился в конце 90-х и своё отработал. Он давал базовый удалённый доступ, показывал температуры и напряжения, перезагружал сервер по команде. Дальше инфраструктура усложнилась, а протокол остался прежним - вместе с известными проблемами безопасности.

XCC умеет заметно больше: удалённая консоль с клавиатурой и мышью в графическом режиме, подключение ISO-образов как виртуального привода, обновление прошивок UEFI и самого контроллера, мониторинг компонентов в реальном времени. Веб-интерфейс XCC2 и XCC3 работает на HTML5, без Java-плагинов и привязки к конкретному браузеру.

Если вы разбираете, чем IPMI отличается от того, что пришло ему на смену, у нас есть отдельный разбор про Lenovo IPMI и его возможности.

Замена IPMI - Redfish, RESTful API от DMTF. Через него железо интегрируется с системами автоматизации: массовые операции скриптом, сбор метрик в общий мониторинг, инвентаризация парка. XCC3 поддерживает спецификацию Redfish 1.17.0 и набор схем 2024.3.

Поколения XCC и что входит в лицензию

На этом чаще всего и спотыкаются при закупке. У XClarity Controller три поколения и в каждом - платные уровни. Удалённая консоль и виртуальные носители, то есть ровно то, ради чего BMC обычно и берут, в базовый уровень не входят.

Что входит в Standard во всех поколениях: инвентарь железа, мониторинг датчиков, журнал событий, оповещения, настройка сети, обновление прошивок, включение и выключение сервера.

У XCC3 разница с предшественниками ещё и в устройстве. Он построен на OpenBMC - открытой прошивке, которую сообща развивают Intel, IBM, Google, Microsoft и другие участники отраслевого проекта. Для сисадмина это означает предсказуемое поведение Redfish и меньше вендорских странностей. У HPE и Dell прошивки контроллеров остаются закрытыми, так что это действительно отличие, а не маркетинг.

Выглядит это так. Приходит сервер, вы заходите в XCC, видите живой дашборд с температурами - всё отлично. Потом пытаетесь смонтировать образ для установки системы, и кнопка не нажимается. Уровень Standard. Дальше либо ехать в серверную с флешкой, либо покупать апгрейд лицензии, который активируется ключом прямо в интерфейсе.

Уровень стоит проверить до отгрузки, а не в ночь развёртывания. У XClarity Administrator, платформы для управления парком, лицензирование тоже своё и отдельное от контроллеров.

Когда XCC действительно спасает ситуацию

Типовые ситуации, ради которых внеполосное управление вообще существует.

Восстановление после критических сбоев. Сервер завис так, что даже SSH не отвечает. Через XCC вы подключаетесь к консоли, видите экран, читаете, на чём всё встало, при необходимости делаете аппаратный сброс.

Установка операционных систем на новое железо. Приехала партия серверов. Через XCC монтируете ISO-образ как виртуальный привод, загружаетесь с него, ставите систему - из офиса, а не из холодного коридора.

Обновление критических компонентов. Вышел UEFI с патчами безопасности. Заливаете прошивку, перезагружаете, следите за процессом. Если что-то пошло не так, вы это видите сразу, а не когда сервер уже не поднимается. Порядок здесь важен: сначала обновляется XCC, потом UEFI, а не наоборот - так рекомендует сама Lenovo, и на это есть причина. Новая прошивка UEFI может ждать от контроллера свежих интерфейсов.

Плановое обслуживание в нерабочее время. Перезагрузку для применения обновлений ядра в два часа ночи вы делаете из дома, а если серверов много - скриптом через Redfish. Планировщика перезагрузок внутри самого контроллера нет, расписание живёт в вашей системе автоматизации или в XClarity Administrator.

Диагностика аппаратных проблем. В журнале появились ошибки памяти. Через XCC смотрите журнал аппаратных событий и видите конкретный модуль DIMM, который начал сбоить. Дальше - заявка на замену, без вскрытия корпуса ради поиска виноватого.

Как выглядит работа с XCC на практике

После входа открывается дашборд: температуры процессоров, обороты вентиляторов, состояние блоков питания, загрузка ресурсов. В разделе мониторинга разбирается каждый компонент - какие модули памяти стоят, какие диски подключены, какие сетевые карты активны. Нештатное состояние подсвечивается сразу.

Сетевые настройки контроллера простые: адрес (статический или по DHCP), маска, шлюз, DNS. Вешать BMC принято в отдельный управляющий сегмент, а не в тот же VLAN, где ходят пользователи.

Удалённая консоль - то, ради чего XCC чаще всего открывают. Картинка сервера в реальном времени, управление мышью и клавиатурой, вход в UEFI, монтирование ISO или локальной папки. Работает через порт 3900/TCP, и качество держится даже на узком канале за счёт сжатия. И снова про лицензию: на уровне Standard этой вкладки у вас не будет. Общий принцип аппаратной консоли одинаков у всех вендоров - разбирали его в материале про KVM-over-IP на аппаратном уровне.

Учётные записи заводятся с разными правами. Предустановленных ролей три: Administrator (в прошивках постарше он назывался Supervisor) - без ограничений, Operator - управление питанием и консолью, но не учётными записями, ReadOnly - только просмотр без права что-либо переключить. Есть и произвольная роль: права собираются поштучно, от доступа к консоли до очистки журналов. Все действия пишутся в журнал аудита.

Централизованное управление парком серверов

Один сервер через веб-интерфейс - удобно. Десять - терпимо. Полсотни - уже работа для отдельного инструмента. У Lenovo их два.

XClarity Administrator - отдельная платформа, которая ставится виртуальной машиной в вашей инфраструктуре. Вы добавляете туда серверы и получаете одну панель на всё: мониторинг, массовое обновление прошивок, раскатка конфигураций по шаблону, сбор логов. Настроили эталонный профиль - применили на группу.

XClarity Integrator - набор плагинов к чужим системам управления: Windows Admin Center, System Center, VMware vCenter, Red Hat Ansible. Если инфраструктура уже построена вокруг одной из них, серверы Lenovo добавляются в существующую панель, и метрики железа стекаются туда, куда вы и так смотрите.

Redfish: один запрос вместо десяти вкладок

Redfish - это обычный HTTPS-запрос к контроллеру, который возвращает JSON. Проверить версию прошивки или собрать инвентарь по всему парку можно скриптом, не открывая ни одного окна браузера:

curl -u USERID:<пароль> https://10.20.30.40/redfish/v1/Systems/1

Ответ - структура с моделью, серийным номером, состоянием питания, процессорами и памятью. Дальше это разбирается любым языком и складывается куда нужно: в CMDB, в мониторинг, в таблицу для инвентаризации.

Две практические оговорки. Первая: на свежем сервере сертификат самоподписанный, и curl будет ругаться. Отключать проверку флагом -k допустимо один раз для проверки связи, а дальше нормальный путь - поставить в XCC сертификат вашего центра сертификации. Вторая: для автообнаружения контроллеров по Redfish используется SSDP на порту 1900/UDP, и в отфильтрованной сети его придётся разрешить отдельно.

Под автоматизацию Lenovo даёт и командную утилиту - XClarity Essentials OneCLI. Она работает и из операционной системы сервера, и снаружи через контроллер, и умеет ровно то же самое: инвентарь, настройки, обновление прошивок.

Безопасность: не дать ключи от королевства

Доступ к BMC - это доступ к железу. Кто попал в контроллер, тот выключает сервер, монтирует свой образ и грузится с него. Никакие пароли внутри операционной системы от этого не спасают.

Первое правило - изолированная управляющая сеть. BMC не должен быть виден из интернета и из пользовательских сегментов. Только выделенный VLAN, куда администраторы попадают через VPN или промежуточный узел доступа. Публично торчащий BMC находят сканером за считаные часы.

Второе - свой пароль на каждый контроллер. Заводской меняется в день установки, один пароль на весь парк не считается.

Третье - HTTPS и свой сертификат. XCC умеет принимать сертификат корпоративного центра сертификации, и это заодно снимает вечное предупреждение браузера, к которому все привыкают и перестают читать.

Четвёртое - роли по задачам. Дежурному инженеру хватит перезагрузки и просмотра журналов, стажёру - роли ReadOnly. Полные права нужны единицам.

Пятое - вывод журналов наружу. XCC пишет, кто входил и что делал, но локальный журнал не поможет, если инцидент как раз в контроллере. Отправляйте события в syslog или SIEM, тогда картина сохранится независимо от сервера. Как это устроено на уровне инфраструктуры, разбирали в статье про мониторинг безопасности серверов.

Отдельно про целостность прошивок. В XCC2 и XCC3 есть аппаратный корень доверия (Root of Trust): контроллер проверяет подпись собственной прошивки и UEFI до запуска, поэтому подменённый образ не стартует. Функция System Guard идёт дальше - снимает слепок состава железа и сравнивает его при каждом включении. Поменялась плата расширения или планка памяти без вашего ведома - будет событие в журнале, а при жёсткой настройке сервер просто не загрузится. System Guard живёт в платных уровнях (Platinum и Premier).

Порты XCC: что открывать в управляющем сегменте

Список для тех, кто пишет правила на межсетевом экране.

Минимально рабочий набор для администратора - 443 и 3900. SSH добавляется, если нужна командная строка контроллера, SNMP - если события уходят в мониторинг. Порт 623 включается только под конкретную задачу и никогда не выставляется наружу.

Lenovo vs конкуренты: объективный взгляд

Три вендора, три контроллера, одна идея. Разница - в деталях и в том, сколько стоит полный набор.

Про возраст решений тоже есть распространённое заблуждение. XCC часто называют молодым, но линия тянется от IBM: RSA-II, потом IMM, потом IMM2, и уже после сделки 2014 года, когда x86-серверный бизнес IBM перешёл к Lenovo, появилось имя XClarity Controller. Новое здесь название, а не инженерная школа.

По функциям все три решения примерно равны, и выбор упирается в другое: что уже стоит в стойках, с чем умеет работать команда, во что интегрируется ваш мониторинг. Разбор соседних экосистем - в материалах про iLO в сервере и про особенности настройки iDRAC.

Практические шаги по настройке

Порядок для нового сервера, от распаковки до рабочего состояния.

Первый вход: адрес, логин, пароль

Сетевой порт контроллера подписан на задней панели - XCC, Mgmt или MGT. На части моделей выделенного порта нет, и управление делит первый сетевой порт с основной системой; какой вариант у вашей платформы, написано в руководстве к модели.

Адрес контроллер получает по DHCP. Если DHCP-сервера в сегменте нет, XCC поднимается на заводском статическом адресе 192.168.70.125 - подключаете ноутбук напрямую, прописываете себе адрес из той же подсети и заходите браузером.

С паролем есть нюанс, из-за которого теряют время чаще всего:

Дальше по порядку:

1. Сеть. В разделе сетевых настроек задайте статический адрес из управляющей подсети, маску, шлюз, DNS. Сохраните и переподключитесь по новому адресу.
2. Время. Пропишите NTP-сервер. Без синхронизации журнал событий бесполезен: расследовать инцидент по времени, которое разъехалось на часы, невозможно.
3. Учётные записи. Заведите именные учётки по ролям, а общую заводскую отключите. Без этого шага журнал потом покажет, что сервер перезагрузил USERID, и расследование на этом закончится.
4. Сертификат. Загрузите сертификат вашего центра сертификации вместо самоподписанного.
5. Прошивки. Скачайте с сайта поддержки Lenovo пакет обновлений UpdateXpress System Pack под ваш machine type. Сначала XCC, потом UEFI.
6. Проверка. Откройте консоль, смонтируйте любой ISO, перезагрузите сервер из интерфейса. Проверять это нужно на спокойную голову, а не в момент аварии.

Что настроить после первого входа: уведомления и учётные записи

Базовая настройка делает контроллер доступным. Дальше его нужно связать с тем, что у вас уже работает, иначе XCC останется вкладкой, которую открывают раз в полгода.

Настройка SNMP в XClarity Controller

Задайте community string и адрес сервера мониторинга для трапов. После этого падение вентилятора или ошибка памяти прилетают в общую панель, а не ждут, пока кто-нибудь зайдёт в веб-интерфейс. Как выстроить это по-взрослому, расписано в материале про настройку SNMP-мониторинга серверного оборудования.

Platform Event Filter: какие события превращать в уведомления

Фильтр событий - отдельная настройка, которая решает, на что вообще реагировать и куда слать уведомление: трапом, письмом или в syslog. Без фильтра вы либо тонете в шуме, либо не узнаёте о важном. Разумная отправная точка: критические события и предупреждения по питанию, температуре и памяти шлют оповещение, информационные - только пишутся в журнал.

Подключение XCC к LDAP и Active Directory

XCC умеет проверять пользователей во внешнем каталоге. Смысл прямой: сотрудник уволился, учётку заблокировали в домене - доступ к сотне контроллеров закрылся сам. Заводить и вычищать локальные учётки на каждом сервере руками не нужно.

При настройке указываются адрес контроллера домена, база поиска и соответствие групп каталога ролям в XCC. Одну локальную аварийную учётную запись с полными правами всё же оставьте: если домен недоступен, а сервер лёг, входить будет нечем.

Где XCC не поможет

Внеполосное управление закрывает не всё, и понимать границы полезнее, чем верить в универсальность.

• Сеть до контроллера должна быть жива. XCC питается от дежурной линии и переживёт выключенный сервер, но не переживёт упавший управляющий коммутатор или обесточенную стойку. Резервировать нужно путь до BMC, а не один контроллер.
• Мониторинг он не заменяет. Контроллер знает только про свой сервер и хранит ограниченный журнал. Картина по парку, история метрик, корреляция событий - это уже XClarity Administrator, Zabbix или что у вас принято. Подробнее - в разборе про комплексный мониторинг серверов.
• Данные он не спасает. XCC покажет сбойный диск и даст загрузиться с образа, но не восстановит массив и не заменит резервное копирование.
• На базовой лицензии в аварии от него мало толку. Мониторинг работает, а консоли и монтирования образа нет - именно тогда, когда они нужны.
• Парк только свой. XCC стоит в серверах ThinkSystem. На старых машинах IBM System x, которые ещё встречаются в стойках, свой контроллер - IMM или IMM2, с другим интерфейсом и другими возможностями. А в смешанном парке с HPE и Dell понадобится нейтральный слой поверх: Redfish или система мониторинга.
• Зависший контроллер придётся приводить в чувство отдельно. Обычно хватает перезапуска XCC из интерфейса или из операционной системы через OneCLI. Если не отвечает ничего, помогает только полное обесточивание: дежурное питание надо снять физически, кнопкой сервер не выключить «до конца».

Короткие ответы

Какой пароль у XClarity Controller по умолчанию?
Заводская пара - USERID и PASSW0RD с нулём вместо буквы O. На новых серверах Lenovo печатает уникальный пароль на выдвижной табличке, и он имеет приоритет над заводским.

Как перезагрузить XCC, не трогая сервер?
Из веб-интерфейса есть перезапуск контроллера, сервер продолжает работать. Если интерфейс не отвечает, а система жива, помогает OneCLI из ОС. Крайний вариант - полностью снять питание с сервера, потому что контроллер работает от дежурной линии и обычным выключением не сбрасывается.

Где скачать прошивку XCC?
На сайте поддержки Lenovo по machine type сервера. Брать лучше пакет UpdateXpress System Pack целиком, а не отдельные файлы: в нём версии XCC, UEFI и драйверов уже проверены на совместимость.

Чем BMC отличается от IPMI?
BMC - это железо, отдельный контроллер на плате. IPMI - протокол, по которому с ним разговаривают. XClarity Controller и есть BMC компании Lenovo, а IPMI в нём поддерживается, но выключен по умолчанию; штатный способ автоматизации сегодня - Redfish.

Нужна ли платная лицензия для удалённой консоли?
Да. В XCC это Advanced или Enterprise, в XCC2 - Platinum, в XCC3 - Premier. На уровне Standard остаются мониторинг, журнал, настройка сети, обновление прошивок и управление питанием.

Как узнать версию прошивки контроллера?
Она видна на дашборде в разделе сведений о системе. Для парка удобнее запросом Redfish к /redfish/v1/UpdateService/FirmwareInventory - так версии по всем серверам собираются одним скриптом.

Коротко о главном

От удалённого управления через Lenovo BMC зависит простая вещь: поедете вы ночью в серверную или разберётесь из дома. XClarity Controller даёт доступ к железу независимо от состояния операционной системы, а через Redfish встраивается в автоматизацию.

Два практических вывода. Проверяйте уровень лицензии до покупки: без Platinum или Premier удалённой консоли у вас не будет, а именно она нужна в аварии. И проверяйте работу контроллера заранее - консоль, монтирование образа, оповещения. BMC, который первый раз открывают в ночь инцидента, обычно преподносит сюрприз.