Работа с IPMI и KVM-консолью на выделенном сервере

Каждый выделенный сервер поставляется с IPMI или аналогичной консолью KVM. Это ваш путь к серверу, когда SSH недоступен: во время установки операционной системы, после неудачного изменения сетевых настроек или когда сервер не загружается.

Что такое IPMI и консоль KVM

На материнской плате установлен контроллер управления системной платой (BMC) — небольшой отдельный компьютер с собственной прошивкой и сетевым портом. Он работает всегда, когда на сервер подано питание, даже если операционная система зависла или не установлена. IPMI — это протокол для взаимодействия с ним; веб-интерфейс добавляет удалённую консоль, которую часто называют KVM-over-IP (клавиатура, видео, мышь). BMC предоставляет вам:

• удалённую консоль, которая показывает экран с момента включения, в том числе BIOS и меню загрузки;
• виртуальные носители, чтобы загрузить сервер с ISO-файла на вашем компьютере;
• управление питанием: включение, выключение, сброс и корректное завершение работы;
• аппаратные датчики и журнал событий: температура, вентиляторы, блоки питания и ошибки памяти.

Меню у разных производителей различаются; в этом руководстве используются общие названия.

Доступ к интерфейсу IPMI

1. Найдите адрес IPMI, имя пользователя и пароль на странице сервера в личном кабинете.
2. На той же странице в разделе Действия с сервером отправьте запрос Разрешить мой IP для консоли IPMI, указав публичный IP-адрес, с которого будете подключаться. Доступ к интерфейсу IPMI открыт только для запрошенных вами адресов; когда ваш адрес будет разрешён, запрос отобразится как выполненный.
3. Откройте https://IPMI_ADDRESS в браузере. Будьте готовы к предупреждению о сертификате: BMC используют самоподписанные сертификаты.
4. Войдите и сразу смените пароль (см. раздел «Защита BMC»).

Если ваш публичный IP-адрес меняется (такое бывает при домашних, мобильных и VPN-подключениях), перед подключением отправьте новый адрес тем же способом.

Если включён доступ IPMI через LAN, вы также можете использовать ipmitool с разрешённого IP-адреса. Считайте пароль в переменную, чтобы он не попал в историю командной оболочки:

read -rs IPMI_PASSWORD
export IPMI_PASSWORD
ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis power status

Параметр -E берёт пароль из IPMI_PASSWORD; в примерах ниже используются те же параметры.

Подключение ISO-образа через виртуальные носители

1. Откройте удалённую консоль из веб-интерфейса IPMI.
2. В меню виртуальных носителей консоли подключите ISO-файл со своего компьютера как виртуальный привод CD/DVD.
3. Перезагрузите сервер и выберите виртуальный привод в меню однократной загрузки (часто F11) или назначьте его устройством для следующей загрузки:

ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis bootdev cdrom options=efiboot
ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis power cycle

Не указывайте options=efiboot, если сервер загружается в режиме Legacy BIOS. ISO-образ передаётся потоком с вашего компьютера, поэтому большие образы устанавливаются медленно. По возможности используйте небольшой сетевой установщик, например образ netinst для Debian, и не закрывайте консоль до окончания установки: при её закрытии привод обычно отключается.

Управление питанием

В командной строке укажите ключевое слово в конце команды:

ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis power soft

Вход в настройки BIOS или UEFI

Откройте консоль, перезагрузите сервер и, пока на экране логотип производителя, нажмите клавишу входа в настройки — обычно Del или F2. Браузерные консоли иногда пропускают короткие нажатия, поэтому нажимайте клавишу многократно или дайте BMC команду загрузиться сразу в настройки:

ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis bootdev bios
ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis power cycle

Менять порядок загрузки безопасно. Три вещи лучше не трогать, если вы не знаете точно, зачем это нужно: собственные сетевые настройки BMC (неверное значение отрежет вам доступ к IPMI), встроенные сетевые карты и режим контроллера накопителей (переключение между AHCI и RAID может сделать установленную систему незагружаемой).

Переустановка операционной системы

Прежде чем стереть старую систему, запишите её IP-адрес, маску сети и шлюз:

ip -br addr
ip route

1. Подключите ISO-образ установщика и загрузитесь с него, как описано выше.
2. Разметьте диски. На серверах с двумя накопителями NVMe или SSD используйте программный RAID 1 (mdadm) или зеркало ZFS, чтобы отказ одного накопителя не выводил систему из строя. На серверах для хранения данных установите систему на SSD, а жёсткие диски объедините в отдельный пул данных, например RAID 6 или RAIDZ2.
3. Настройте сеть, используя записанные значения.
4. Установите SSH-сервер и задайте надёжный пароль или, что лучше, SSH-ключ.
5. Отключите ISO-образ, перезагрузитесь в новую систему и войдите по SSH. Затем выполните шаги из руководства по усилению защиты.

Если что-то не получается, откройте тикет на странице «Поддержка» в личном кабинете и укажите IP-адрес сервера.

Защита BMC

• Смените пароль при первом входе. Используйте длинный уникальный пароль из менеджера паролей; некоторые BMC ограничивают длину пароля или спецсимволы.
• Никогда не открывайте доступ к BMC из публичного интернета. IPMI 2.0 позволяет любому, кто может достучаться до BMC, запросить хеш пароля для офлайн-подбора (CVE-2013-4786), а в июне 2025 г. агентство CISA внесло обход аутентификации в прошивке AMI MegaRAC (CVE-2024-54085) в перечень активно эксплуатируемых уязвимостей. Именно поэтому доступ разрешён только с вашего IP-адреса.
• Разрешайте только адрес, который вы контролируете. Общий адрес, например выходной адрес коммерческого VPN, позволяет достучаться до вашего BMC всем, кто за ним находится.
• Выходите из системы и закрывайте консоль, когда закончите работу.
• Не создавайте лишних учётных записей BMC: каждая из них — это ещё один пароль, который можно подобрать.

Устранение неполадок

Страница IPMI не загружается

Проверьте, что ваш текущий публичный IP-адрес входит в число тех, которые вы просили разрешить (Действия с сервером на странице сервера). Если BMC перестал отвечать, перезапустите его из операционной системы сервера; при этом перезапускается только контроллер управления, а не сам сервер:

apt install -y ipmitool
modprobe ipmi_devintf
ipmitool mc reset cold

Потеряли пароль IPMI? От имени root на сервере выведите список пользователей BMC, затем задайте новый пароль для своего (замените 2 его идентификатором). ipmitool запросит новый пароль:

ipmitool user list 1
ipmitool user set password 2

Проблемы с консолью HTML5

• Чёрный экран: сервер может быть выключен, или операционная система погасила экран. Проверьте состояние питания, затем нажмите любую клавишу.
• Ничего не открывается: разрешите в браузере всплывающие окна для адреса IPMI.
• Указатель мыши смещён: переключите в настройках консоли режим мыши между абсолютным и относительным.
• Вводятся не те символы: консоль и сервер могут использовать разные раскладки клавиатуры. Согласуйте их или вводите пароли с виртуальной клавиатуры консоли.
• Отключаются виртуальные носители: держите вкладку консоли на переднем плане, не давайте компьютеру уходить в спящий режим и используйте ISO-образ поменьше.

Консоль на Java в старых BMC

Старые прошивки запускают консоль через загрузку файла .jnlp, для которого нужен Java Web Start. В Java 11 и более поздних версиях его больше нет, поэтому установите OpenWebStart — замену с открытым исходным кодом — и откройте файл с его помощью. Если Java блокирует консоль, добавьте https://IPMI_ADDRESS в список исключений сайтов Java. Если консоль всё равно не работает из-за старых версий TLS, спросите в тикете, доступна ли консоль HTML5.