📚 课程目录第3章 iLO基础与配置实战

3. iLO基础与配置实战

iLO（Integrated Lights-Out）是HPE ProLiant服务器上的带外管理子系统，独立于主机操作系统运行，只要服务器接入电源且管理网口连通，即使主机处于关机、蓝屏或系统未安装状态，管理员依然可以通过浏览器或命令行完成开关机、查看硬件健康、挂载虚拟介质、打开远程控制台等操作。理解iLO的关键在于把它看作一台"服务器中的小服务器"：它有自己的处理器、内存、网络接口和固件，与主机共享部分硬件信息但拥有独立的运行环境。本节围绕iLO的初始设置、网络配置、用户管理、许可证类型以及虚拟串口与远程控制台操作展开，帮助读者从拿到一台新机器开始，逐步把iLO配置到可远程运维的状态。

一、iLO的初始设置与网络配置

新服务器出厂时iLO通常处于DHCP模式，管理网口默认启用。首次配置有三种常见途径：通过服务器前面板的iLO服务端口（部分机型支持USB直连）、在开机自检时按F9进入iLO配置界面，或通过DHCP服务器查询iLO获取到的地址后用浏览器登录。生产环境中更推荐先规划好管理网段，再通过iLO Web界面或CLI固定IP，避免依赖DHCP带来的地址漂移。

iLO的网络配置包含几个关键参数：IP地址、子网掩码、网关、DNS服务器以及主机名。以一台示例服务器为例，规划管理网段为192.168.10.0/24，网关192.168.10.1，DNS为192.168.10.10，iLO地址设为192.168.10.21，主机名设为ilo-node01。在iLO Web界面中进入"Network"→"IPv4"页面，取消DHCP勾选，填入上述参数并保存，iLO会短暂断连后以新地址重新响应。若使用CLI，可通过SSH登录后执行：

# 登录iLO CLI（默认用户名Administrator，密码在服务器标签上）
ssh Administrator@192.168.10.21

# 查看当前网络配置
show /map1/network

# 设置静态IP
set /map1/network/iface0/ipv4_address 192.168.10.21
set /map1/network/iface0/ipv4_subnetmask 255.255.255.0
set /map1/network/iface0/ipv4_gateway 192.168.10.1
set /map1/network/iface0/ipv4_dhcp_enabled No

# 设置主机名与DNS
set /map1/network/hostname ilo-node01
set /map1/network/dns1 192.168.10.10

配置完成后用 ping 192.168.10.21 验证连通性，再通过浏览器访问 https://192.168.10.21 确认Web界面可正常打开。iLO使用自签名证书，浏览器会提示证书不受信任，生产环境建议导入企业CA签发的证书，避免每次访问都出现告警。

二、用户管理与权限模型

iLO的用户管理围绕"账户—权限—访问方式"三个维度展开。每个账户可以分配不同的权限级别，常见的有Administrator（完全控制）、Operator（可操作但不可改配置）、Read Only（只读）和Custom（自定义）。同时可以限制账户的访问接口，例如只允许Web访问、只允许Redfish API、或允许全部接口。

实际配置中，建议遵循最小权限原则：日常巡检使用只读账户，日常开关机和挂载介质使用Operator账户，只有固件升级、用户增删等敏感操作才使用Administrator。以下示例创建一个名为opsuser的Operator账户，仅允许Web和Redfish访问：

# 创建用户
create /map1/accounts1 username=opsuser password=Str0ngP@ss
set /map1/accounts1/opsuser password=Str0ngP@ss

# 设置权限为Operator
set /map1/accounts1/opsuser/oem/hp/login_name opsuser
set /map1/accounts1/opsuser/oem/hp/privilege_login Operator

# 限制访问方式（Web + Redfish）
set /map1/accounts1/opsuser/oem/hp/web_access Yes
set /map1/accounts1/opsuser/oem/hp/redfish_access Yes
set /map1/accounts1/opsuser/oem/hp/ssh_access No
set /map1/accounts1/opsuser/oem/hp/ipmi_access No

创建后可在Web界面的"User Administration"页面核对账户列表、权限和访问方式是否与预期一致。若企业使用目录服务，还可以配置LDAP/AD集成，让用户用域账号登录iLO，减少本地账户维护成本。

三、许可证类型与功能差异

iLO的功能并非全部免费，不同许可证决定了可用能力的边界。基础版（Standard）随服务器免费提供，包含基本的远程开关机、健康监控、虚拟串口、文本控制台等；高级版（Advanced）需要购买License，解锁远程图形控制台、虚拟介质（Virtual Media）、iLO Federation、固件自动更新等关键运维功能。此外还有针对特定场景的iLO Advanced Premium Security Edition，增加了安全相关的增强能力。

判断当前许可证状态的方法很简单：登录iLO Web界面，在"Administration"→"Licensing"页面可以看到License类型、密钥和有效期。若显示"Standard"，则远程控制台只能使用文本模式，虚拟介质不可用。对于需要频繁远程装机的场景，Advanced License几乎是必需的。许可证可以通过HPE官方渠道购买后在线激活，也可以批量导入到多台服务器。

四、虚拟串口与远程控制台操作

虚拟串口（Virtual Serial Port）是iLO提供的一项实用功能，它把服务器的串口重定向到网络，管理员可以通过Telnet或SSH连接到iLO的串口端口，直接与主机操作系统的串口控制台交互。这在Linux服务器上尤其有用：当网络配置错误导致SSH断连时，串口控制台往往是最后的救援通道。启用方式是在iLO Web界面的"Remote Console"→"Virtual Serial Port"中开启，并设置端口号（默认3002）。连接命令示例：

# 通过虚拟串口连接主机串口控制台
telnet 192.168.10.21 3002

# 或使用SSH隧道
ssh -L 3002:localhost:3002 Administrator@192.168.10.21
telnet localhost 3002

远程控制台（Remote Console）则提供了更完整的交互界面。Standard许可证下只能使用文本控制台，Advanced许可证下可以使用图形控制台（.NET或Java客户端）。图形控制台支持键盘鼠标直通、虚拟介质挂载、屏幕截图和视频录制。实际操作中，打开远程控制台后可以像坐在服务器面前一样操作BIOS、RAID配置界面和操作系统安装程序。挂载虚拟介质的典型流程是：在控制台菜单中选择"Virtual Drives"→"Image File"，选择本地ISO文件，然后重启服务器并从虚拟光驱引导，即可完成远程系统安装。

虚拟串口和远程控制台是互补关系：串口适合低带宽、纯文本的应急场景，远程控制台适合需要图形界面或挂载介质的完整运维场景。建议两者都提前配置并验证，避免故障时才发现不可用。

五、配置检查与常见问题

完成上述配置后，建议按以下清单逐项验证：iLO IP是否可ping通、Web界面是否可登录、用户权限是否符合预期、License类型是否正确显示、虚拟串口端口是否可连接、远程控制台是否能正常打开。常见问题包括：iLO地址与主机业务网段冲突导致路由异常、防火墙拦截了3002或17990等端口、浏览器不支持旧版Java控制台、以及License未激活导致高级功能灰显。遇到远程控制台无法打开时，先确认License类型，再检查浏览器插件和网络端口，最后查看iLO事件日志中的具体报错信息。