محتوای آموزشی وبلاگ نت‌آرام
هنگام بازکردن پنل iDRAC برای مدیریت سرور اختصاصی ایران، مرورگر هشدار امنیتی نشان می‌دهد. ممکن است گواهی منقضی شده باشد، نام آدرس با گواهی نخواند یا صادرکننده برای رایانه شما قابل اعتماد نباشد. هر سه حالت شبیه هم دیده می‌شوند، اما راه‌حل یکسان ندارند.
iDRAC یک رابط مدیریت مستقل از سیستم‌عامل سرور است و گواهی وب آن الزاماً همان گواهی سایت یا گواهی نصب‌شده در ویندوز و لینوکس نیست. این راهنما برای iDRAC9 و رابط‌های مشابه با تفاوت نسخه نوشته شده است. هشدار مرورگر را نادیده نگیرید و رمز مدیریت را تا اطمینان از هویت مقصد وارد نکنید.
۱. هویت آدرس و نوع هشدار را مشخص کنید
از شبکه مدیریت امن یا VPN مورد تأیید به پنل دسترسی بگیرید و نام دامنه یا IP آن را با اطلاعات ثبت‌شده سرور مطابقت دهید. صفحه جزئیات گواهی مرورگر معمولاً تاریخ اعتبار، صادرکننده و نام‌های مجاز را نشان می‌دهد. اگر تاریخ رایانه شما نادرست است، ابتدا ساعت و منطقه زمانی آن را اصلاح کنید. سپس مشخص کنید پیام درباره انقضا، نام ناهماهنگ یا زنجیره نامعتبر است.
اگر با IP وارد می‌شوید ولی گواهی فقط نام DNS دارد، حتی گواهی معتبر برای آن نام می‌تواند خطای تطبیق نام بدهد. از نام DNS ثبت‌شده‌ای استفاده کنید که در SAN گواهی وجود دارد و به نشانی صحیح کنترلر می‌رسد. گواهی self-signed پیش‌فرض ممکن است برای مرورگر قابل اعتماد نباشد؛ تازه‌بودن تاریخ آن به‌تنهایی اعتماد ایجاد نمی‌کند.
۲. روش صدور و نام مناسب را انتخاب کنید
برای نام عمومی معتبر، از مرجع صدور مورد تأیید سازمان و روشی که مالکیت نام را ثابت می‌کند استفاده کنید. برای نام داخلی یا IP خصوصی، معمولاً باید از CA داخلی سازمان و توزیع مطمئن ریشه اعتماد به رایانه‌های مدیریتی استفاده شود؛ همه صادرکننده‌های عمومی برای نام داخلی یا IP خصوصی گواهی صادر نمی‌کنند. قرار دادن iDRAC روی اینترنت عمومی فقط برای گرفتن گواهی، راه‌حل مناسبی برای پنل مدیریت نیست.
نام دقیق مورد استفاده مدیران باید در Subject Alternative Name یا SAN گواهی نهایی باشد. DNS، دسترسی شبکه و مسئول تمدید خودکار یا دوره‌ای را نیز مشخص کنید. راهنمای Dell درباره گواهی وب iDRAC اهمیت FQDN و SAN را شرح می‌دهد.
۳. قبل از تغییر، مسیر بازگشت و نسخه کنترلر را بدانید
مدل و firmware، آدرس فعلی و وضعیت دسترسی جایگزین را ثبت کنید. اگر از کنسول مجازی یا Virtual Media در حال استفاده هستید، نصب گواهی و reset کنترلر می‌تواند اتصال مدیریت را قطع کند؛ زمان مناسب را با مدیر سرور هماهنگ کنید. reset کنترلر مدیریت با ریبوت سیستم‌عامل میزبان یکی نیست، اما در مدت reset، ابزار مدیریت و کنسول برای چند دقیقه در دسترس نخواهد بود. رفتار دقیق و مسیر بازیابی را برای مدل خود از مستند سازنده بخوانید.
گواهی عمومی فعلی، جزئیات آن و روش صدور قبلی را در محل امن ثبت کنید. کلید خصوصی را در چت یا مخزن عمومی قرار ندهید. بازگردانی گواهی قدیمی ممکن است به وجود کلید متناظر و روش پشتیبانی‌شده وابسته باشد؛ دانلود فایل گواهی عمومی به‌تنهایی بکاپ کلید خصوصی نیست.
۴. CSR را روی خود iDRAC بسازید
در نسخه‌های پشتیبان iDRAC9، پس از ورود معتبر به پنل، بخش
iDRAC Settings، سپس Services، Web Server و SSL Certificate را باز کنید. در برخی نسخه‌های قدیمی مسیر زیر Connectivity و SSL است. گزینه Generate Certificate Signing Request را انتخاب کنید و اطلاعات و نام مورد نیاز را طبق سیاست CA وارد کنید. اگر نسخه شما امکان درج SAN دارد، نام‌های مجاز را به‌درستی وارد کنید؛ در غیر این صورت با CA و مستند firmware روش پشتیبانی‌شده را مشخص کنید.CSR را ذخیره و به CA مجاز بدهید. این فایل درخواست عمومی است و به‌تنهایی کلید خصوصی نیست؛ بااین‌حال ممکن است اطلاعات سازمانی داشته باشد. پس از ساخت CSR، تا تکمیل صدور دوباره CSR جدید نسازید مگر بدانید کنترلر با کلید قبلی چه می‌کند. گواهی برگشتی باید متعلق به همان CSR باشد. راهنمای Dell برای ساخت CSR در iDRAC9 مراحل همان نسل را نشان می‌دهد.
۵. پیش از نصب، گواهی برگشتی را بخوانید
روی رایانه مدیریتی دارای OpenSSL، مسیر فایل‌های دریافتی را جایگزین کنید:
کد / دستورopenssl x509 -in idrac-cert.pem -noout -subject -issuer -dates -ext subjectAltName
openssl req -in idrac-request.csr -noout -subject -verify
دستور اول نام، صادرکننده، تاریخ و SAN گواهی را نشان می‌دهد. دومی مشخصات و امضای درخواست را بررسی می‌کند؛ نسخه‌های OpenSSL ممکن است در نحوه نمایش متفاوت باشند. نام مورد استفاده، تاریخ و صادرکننده مورد انتظار باید درست باشند. برای مقایسه کلید عمومی گواهی و CSR می‌توانید دو خروجی هش زیر را با هم مقایسه کنید:
کد / دستورopenssl req -in idrac-request.csr -pubkey -noout | openssl pkey -pubin -outform DER | openssl dgst -sha256
openssl x509 -in idrac-cert.pem -pubkey -noout | openssl pkey -pubin -outform DER | openssl dgst -sha256
مقادیر باید یکسان باشند. یکسان‌بودن کلید به‌تنهایی اعتبار CA یا تطبیق نام را ثابت نمی‌کند. زنجیره صادرکننده را طبق دستور CA و قابلیت مدل کنترلر بررسی کنید. اگر فایل با CSR یا نام مورد نیاز نمی‌خواند، نصب نکنید و از صادرکننده نسخه درست بخواهید.
۶. نصب و تأیید اتصال امن
در صفحه SSL همان نسخه iDRAC،
Upload Server Certificate را انتخاب و فایل گواهی سازگار را بارگذاری کنید. طبق راهنمای نصب گواهی iDRAC9، این مدل گواهی X.509 با کدگذاری Base64 می‌پذیرد و برای اعمال آن reset iDRAC لازم است. بعد از تأیید زمان مناسب، کنترلر را طبق پنل reset کنید و منتظر بازگشت آن بمانید.دوباره با همان نام موجود در SAN از یک رایانه مورد اعتماد وارد شوید. بدون ردکردن هشدار مرورگر، تاریخ، نام و زنجیره گواهی جدید را ببینید و سپس ورود و کنسول را آزمایش کنید. اگر هنوز خطا دارید، ابتدا مطمئن شوید به کنترلر درست می‌رسید، reset کامل شده و زنجیره و ساعت کلاینت درست‌اند. مشکل در دسترس‌نبودن خود پورت مدیریت، موضوعی جداست؛ راهنمای انتخاب NIC مدیریت iDRAC به آن می‌پردازد.
اشتراک‌گذاری:
لینکدینتلگرامایکس
مقاله قبلی
مقاله بعدی
دیدگاه‌ها (۰)
دیدگاه‌های تاییدشده و پاسخ‌های تیم نت‌آرام