IPMI und Redfish: Server unabhängig vom Betriebssystem verwalten

IPMI und Redfish sind zwei Standards für die Out-of-Band-Verwaltung von Servern. Beide erlauben Administratoren, einen Server unabhängig vom Betriebssystem zu steuern – einschalten, auslesen, neu starten, Konsole übernehmen. Der Unterschied liegt in Alter, Technik und Eignung für Automatisierung.

Was Out-of-Band bedeutet

Ein Server hat zwei unabhängige Wege, mit ihm zu sprechen. Der In-Band-Weg läuft über das Betriebssystem: SSH, Agenten, Monitoring. Der Out-of-Band-Weg nutzt einen eigenen kleinen Computer auf dem Mainboard – den BMC (Baseboard Management Controller). Er hat eine eigene Netzwerkschnittstelle, eigene Firmware und eigenen Stromversorgungspfad. Deshalb ist er auch dann erreichbar, wenn das Betriebssystem hängt, nicht bootet oder der Server ausgeschaltet ist – solange Strom auf dem Netzteil liegt.

Typische BMC-Firmware:

iDRAC bei Dell
iLO bei HPE
XCC bei Lenovo
IPMI als herstellerneutraler Standard
OpenBMC als quelloffene Firmware für eigene Projekte

IPMI: der Klassiker

IPMI (Intelligent Platform Management Interface) wurde 1998 von Intel, HP, Dell und NEC spezifiziert. Es definiert eine Reihe von Befehlen und Sensoren, über die sich Hardware auslesen und steuern lässt. Die Anbindung erfolgt wahlweise direkt über /dev/ipmi0 auf dem Host oder über das Netz per IPMI over LAN (UDP-Port 623), meist mit dem Werkzeug ipmitool.

# Lokal auf dem Host
sudo ipmitool sensor list | head -20
sudo ipmitool sdr type Temperature
sudo ipmitool chassis status
sudo ipmitool sel list | tail -20             # System Event Log
sudo ipmitool fru print                        # Inventar lesen

# Über das Netz
ipmitool -I lanplus -H 10.0.0.50 -U admin -P geheim chassis power status
ipmitool -I lanplus -H 10.0.0.50 -U admin -P geheim chassis power on
ipmitool -I lanplus -H 10.0.0.50 -U admin -P geheim chassis power cycle
ipmitool -I lanplus -H 10.0.0.50 -U admin -P geheim sol activate

lanplus ist die neuere, verschlüsselte Variante von IPMI over LAN; das alte lan-Interface überträgt Kennwörter im Klartext und gehört nicht in den Produktivbetrieb.

Redfish: die moderne Ablösung

Redfish ist eine Spezifikation des DMTF und beschreibt eine RESTful API über HTTPS mit JSON. Statt binärer Befehle gibt es Ressourcen, die sich mit normalen HTTP-Werkzeugen lesen und verändern lassen.

# Systemübersicht
curl -sk -u admin:geheim https://10.0.0.50/redfish/v1/ | jq .

# Alle Systeme
curl -sk -u admin:geheim https://10.0.0.50/redfish/v1/Systems | jq '.Members'
curl -sk -u admin:geheim https://10.0.0.50/redfish/v1/Systems/1 | jq \
  '{PowerState, Model, SerialNumber, Status}'

# Temperatur- und Leistungssensoren
curl -sk -u admin:geheim https://10.0.0.50/redfish/v1/Chassis/1/Thermal | jq \
  '.Temperatures[] | {Name, ReadingCelsius, Status}'

# Einschalten, Neustart, Ausschalten
curl -sk -u admin:geheim -X POST -H 'Content-Type: application/json' \
  https://10.0.0.50/redfish/v1/Systems/1/Actions/ComputerSystem.Reset \
  -d '{"ResetType":"On"}'
# ResetType: On, ForceOff, GracefulShutdown, ForceRestart, GracefulRestart, PowerCycle

# Firmware-Inventar
curl -sk -u admin:geheim https://10.0.0.50/redfish/v1/UpdateService/FirmwareInventory | jq '.Members'

Vergleich in der Praxis

Alter und Verbreitung: IPMI läuft auf nahezu jeder Server-Hardware seit zwei Jahrzehnten, auch auf älteren Geräten. Redfish ist ab circa 2015 auf den meisten aktuellen Servern vorhanden.
Datenstruktur: IPMI liefert Sensor-Nummern und Rohwerte, die man interpretieren muss. Redfish liefert benannte JSON-Felder mit Einheiten – deshalb ist die Auswertung erheblich einfacher.
Automatisierung: Ein Redfish-Aufruf ist ein normaler HTTP-Request mit Token oder Basic Auth. IPMI braucht ipmitool und hat eine Historie von Sitzungs- und Nebenläufigkeitsproblemen, wenn viele Skripte parallel zugreifen.
Sicherheit: IPMI über UDP mit schwacher Verschlüsselung und bekannten Schwachstellen in älteren Firmware-Ständen ist problematisch. Redfish nutzt HTTPS mit modernen Verfahren und rollenbasierter Rechtevergabe.
Firmware-Update: Redfish kann Firmware über die API einspielen und die Ergebnisse berichten – mit IPMI ist das herstellerabhängig und meist nicht ohne Zusatzsoftware möglich.

Sicherheit – der wichtigste Punkt

BMCs sind ein eigenes Betriebssystem mit Netzwerkzugriff und weit reichenden Rechten. Sie führen zu können bedeutet, den Server vollständig zu steuern: Konsolenzugriff auf die laufende Sitzung, Neustart, virtuelle Medien einbinden, Firmware tauschen. Daraus folgt:

BMC niemals ins Internet. Sie gehören in ein separates Verwaltungsnetz oder sind über VPN erreichbar.
Standardkennwörter ändern. Werkszugänge wie ADMIN/ADMIN sind die häufigste Ursache kompromittierter Server.
Firmware aktuell halten. BMC-Firmware hat in der Vergangenheit mehrfach kritische Schwachstellen gehabt, die ohne Anmeldung ausnutzbar waren.
Zugriff protokollieren und beschränken. Eigene Konten je Administrator, keine gemeinsamen Zugangsdaten, Protokolle in die zentrale Erfassung.

Empfehlung

Für Neubeschaffung und Automatisierung ist Redfish der Weg: standardisierte JSON-Ressourcen, HTTPS, brauchbare Firmware-Verwaltung. IPMI bleibt unverzichtbar für Altgeräte und als Rückfallebene, wenn Redfish nicht oder unvollständig umgesetzt ist. In einem gemischten Bestand hat sich eine dünne Abstraktionsschicht bewährt, die beide Schnittstellen auf dieselbe Inventar- und Steuerfunktion abbildet – dann muss die Automatisierung nicht wissen, welcher Server welchen Standard spricht.

Verwandte Grundlagen: Server-Komponenten, Monitoring, Redfish, BMC.

Hardware: Server