独立服务器 IPMI 与 KVM 控制台使用教程

每台独立服务器都配有 IPMI 或同等功能的 KVM 控制台。当 SSH 无法使用时，它就是您的访问途径：例如在安装操作系统期间、网络配置出错之后，或服务器无法启动时。

什么是 IPMI 和 KVM 控制台

主板上集成了一个基板管理控制器（BMC），它是一台独立的小型计算机，拥有自己的固件和网络端口。只要服务器通电，它就会运行，即使操作系统已经崩溃或尚未安装。IPMI 是与 BMC 通信的协议；Web 界面还提供远程控制台，通常称为 IP KVM（键盘、视频、鼠标）。BMC 为您提供：

远程控制台：从开机起即可显示屏幕画面，包括 BIOS 和启动菜单；
虚拟介质：可以用您电脑上的 ISO 文件启动服务器；
电源控制：开机、断电、复位和正常关机；
硬件传感器和事件日志：涵盖温度、风扇、电源和内存错误。

各厂商的菜单有所不同；本指南使用通用名称。

访问 IPMI 界面

在客户中心的服务器页面上找到 IPMI 地址、用户名和密码。
在同一页面的服务器操作下，申请允许我的 IP 访问 IPMI 控制台，并填写您将用于连接的公网 IP 地址。只有您申请过的地址才能访问 IPMI 界面；您的地址被放行后，该申请会显示为已完成。
在浏览器中打开 https://IPMI_ADDRESS。出现证书警告属于正常现象：BMC 使用的是自签名证书。
登录后立即修改密码（参见确保 BMC 安全）。

如果您的公网 IP 发生变化（家庭宽带、移动网络和 VPN 连接都可能出现这种情况），请在连接前按同样的方式提交新的 IP。

如果已启用基于 LAN 的 IPMI，您也可以从已放行的 IP 使用 ipmitool。先将密码读入变量，这样它就不会留在 shell 历史记录中：

read -rs IPMI_PASSWORD
export IPMI_PASSWORD
ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis power status

-E 选项会从 IPMI_PASSWORD 读取密码；下文示例均使用相同的选项。

通过虚拟介质挂载 ISO

从 IPMI Web 界面打开远程控制台。
在控制台的虚拟介质菜单中，将您电脑上的 ISO 文件挂载为虚拟 CD/DVD 光驱。
重启服务器，在一次性启动菜单（通常按 F11）中选择该虚拟光驱，或将其设为下一次启动的设备：

ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis bootdev cdrom options=efiboot
ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis power cycle

如果服务器以传统 BIOS 模式启动，请去掉 options=efiboot。ISO 是从您的电脑以流式方式传输的，因此大型镜像安装起来会很慢。建议使用小巧的网络安装程序，例如 Debian 的 netinst 镜像，并在安装完成前保持控制台打开：关闭控制台通常会断开虚拟光驱。

电源控制

操作	结果	ipmitool 关键字
正常关机	发送 ACPI 信号，操作系统正常关闭	`soft`
开机	启动服务器	`on`
复位	不切断电源的硬复位	`reset`
电源循环	切断电源，然后重新通电	`cycle`
断电	立即切断电源	`off`

在命令行中，将关键字放在命令末尾：

ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis power soft

进入 BIOS 或 UEFI 设置

打开控制台，重启服务器，在厂商徽标出现时按下设置键，通常是 Del 或 F2。浏览器控制台有时会漏掉短促的按键，因此请反复按键，或让 BMC 直接引导进入设置界面：

ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis bootdev bios
ipmitool -I lanplus -H IPMI_ADDRESS -U IPMI_USER -E chassis power cycle

修改启动顺序是安全的。除非您清楚这样做的理由，否则不要改动以下三项：BMC 自身的网络设置（设置错误会切断您的 IPMI 访问）、板载网卡，以及存储控制器模式（在 AHCI 和 RAID 之间切换可能导致已安装的系统无法启动）。

重装操作系统

在清除旧系统之前，记下它的 IP 地址、子网掩码和网关：

ip -br addr
ip route

按上文所述挂载安装程序 ISO 并从中启动。
为硬盘分区。在配有两块 NVMe 或 SSD 硬盘的服务器上，请使用软件 RAID 1（mdadm）或 ZFS 镜像，这样一块硬盘故障不会导致系统宕机。在存储服务器上，请将系统安装在 SSD 上，并将机械硬盘组成单独的数据池，例如 RAID 6 或 RAIDZ2。
使用您记下的值配置网络。
安装 SSH 服务器，并设置强密码，更好的做法是使用 SSH 密钥。
卸载 ISO，重启进入新系统并通过 SSH 登录。然后按照加固指南操作。

如果遇到困难，请从客户中心的“支持”页面提交工单，并附上服务器的 IP 地址。

确保 BMC 安全

首次登录时修改密码。使用密码管理器生成的长且唯一的密码；部分 BMC 会限制密码长度或特殊字符。
切勿将 BMC 暴露在公共互联网上。IPMI 2.0 允许任何能访问 BMC 的人请求密码哈希值并进行离线破解（CVE-2013-4786）；2025年6月，CISA 还将 AMI MegaRAC 固件中的一个身份验证绕过漏洞（CVE-2024-54085）列为已被积极利用的漏洞。正因如此，访问权限仅限于您的 IP。
只放行您自己掌控的地址。共享地址（例如商业 VPN 的出口）会让其背后的所有人都能访问您的 BMC。
使用完毕后，请退出登录并关闭控制台。
避免创建多余的 BMC 账户：每多一个账户，就多一个可能被猜中的密码。

故障排查

IPMI 页面无法加载

请检查您当前的公网 IP 是否为已申请放行的地址（见服务器页面上的服务器操作）。如果 BMC 停止响应，请从服务器的操作系统中重启它；这只会重启管理控制器，不会重启服务器：

apt install -y ipmitool
modprobe ipmi_devintf
ipmitool mc reset cold

忘记 IPMI 密码了？在服务器上以 root 身份列出 BMC 用户，然后为您的用户设置新密码（将 2 替换为其 ID）。ipmitool 会提示您输入新密码：

ipmitool user list 1
ipmitool user set password 2

HTML5 控制台问题

黑屏：服务器可能处于关机状态，或操作系统关闭了显示。请检查电源状态，然后按任意键。
没有任何窗口打开：在浏览器中允许 IPMI 地址的弹出窗口。
鼠标指针错位：在控制台设置中，在绝对模式和相对模式之间切换鼠标模式。
输入的字符不对：控制台和服务器使用的键盘布局可能不同。请将两者设为一致，或使用控制台的虚拟键盘输入密码。
虚拟介质断开：让控制台标签页保持在前台，防止电脑进入睡眠状态，并使用较小的 ISO。

旧款 BMC 上的 Java 控制台

旧版固件通过下载 .jnlp 文件来启动控制台，这需要 Java Web Start。Java 11 及更高版本已不再包含该组件，因此请安装开源替代品 OpenWebStart，并用它打开该文件。如果 Java 阻止控制台运行，请将 https://IPMI_ADDRESS 添加到 Java 的例外站点列表中。如果仍因 TLS 版本过旧而失败，请通过工单询问是否有可用的 HTML5 控制台。

在独立服务器上使用 IPMI 和 KVM 控制台