📚 课程目录第3章带外管理网络规划与部署

3. 带外管理网络规划与部署

带外管理网络（Out-of-Band Management Network）是服务器远程运维的“生命线”。它与承载业务流量的生产网络在物理或逻辑上分离，即使生产网络中断、操作系统宕机，只要服务器接入电源且 BMC（Baseboard Management Controller，如 Supermicro 的 IPMI/Redfish 接口）工作正常，管理员仍可通过带外网络完成开关机、KVM 重定向、固件升级、日志抓取等操作。本节围绕专用管理网络设计、VLAN 划分、IP 地址规划、DHCP 与静态配置、网关与路由、安全隔离策略六个方面展开，目标是让读者能够独立规划并落地一套可维护、可扩展、可审计的带外管理网络。

一、专用管理网络设计

专用管理网络的核心原则是“物理或逻辑独立”。在机架规模较小（如单柜 10～20 台服务器）时，推荐使用独立的物理交换机，将每台服务器的专用管理口（Supermicro 主板上的 IPMI LAN 口，通常标注为 IPMI_LAN 或 Dedicated LAN）接入该交换机，与业务网口完全分离。当机架规模较大或机房布线受限时，可采用“共享端口 + VLAN”模式，即业务网口与 BMC 共用物理链路，通过 802.1Q VLAN 将管理流量隔离到独立广播域。共享模式节省交换机端口和线缆，但要求交换机正确配置 VLAN 与优先级，且 BMC 侧需支持 VLAN 标签（Supermicro 较新平台在 Web 界面 Configuration → Network → VLAN 中可启用）。

无论采用哪种模式，都应遵循以下设计要点：管理交换机应具备独立管理 IP、支持 SNMP 与端口镜像；管理网络不与生产网络共用上行链路，或至少通过防火墙/ACL 严格限制；为管理网络预留独立的 DHCP 作用域或静态地址池；所有 BMC 固件版本应统一并定期更新，避免因固件差异导致 Redfish 接口行为不一致。

二、VLAN 划分

VLAN 划分的目标是缩小广播域、隔离故障、便于按角色授权。建议至少划分以下 VLAN（示例编号，实际以企业规划为准）：

VLAN 100 — BMC 管理 VLAN：承载所有服务器 BMC 的 IPMI/Redfish 流量，仅允许运维跳板机访问。
VLAN 101 — 交换机管理 VLAN：承载管理交换机自身的带内管理地址，与 BMC VLAN 分离，避免交换机管理面与服务器管理面互相影响。
VLAN 102 — 运维终端 VLAN：管理员工作站、跳板机所在网段，通过 ACL 访问 VLAN 100。
VLAN 103 — 带外备份/日志 VLAN（可选）：用于 BMC 日志集中收集、固件仓库分发，限制大流量传输对管理面的干扰。

在共享端口模式下，交换机接入端口需配置为 Trunk，允许业务 VLAN 与管理 VLAN 通过，并将管理 VLAN 设为该端口的 Native VLAN 或使用 PVID 标记；服务器 BMC 侧需在 Web 界面启用 VLAN 并填写正确的 VLAN ID。若 BMC 不支持 VLAN，则必须使用专用物理口方案。

三、IP 地址规划

IP 规划应遵循“连续、可聚合、可读”的原则。建议为每个机房或每个机架分配一个 /24 或 /25 子网，例如：

用途	网段示例	网关	可用地址范围
BMC 管理	10.10.100.0/24	10.10.100.1	10.10.100.10 – 10.10.100.200
交换机管理	10.10.101.0/24	10.10.101.1	10.10.101.10 – 10.10.101.50
运维终端	10.10.102.0/24	10.10.102.1	10.10.102.10 – 10.10.102.100

地址分配建议采用“机架号 + 槽位号”编码，例如 10.10.100.101 表示 1 号机架第 01 台服务器。这样在故障排查时可通过 IP 快速定位物理位置。同时应建立 IP 地址台账，记录 BMC MAC、IP、主机名、机架位置、固件版本、负责人，便于审计与变更管理。

四、DHCP 与静态配置

BMC 地址获取方式有两种：DHCP 与静态。生产环境推荐静态配置，避免 DHCP 故障导致管理面失联；但在批量部署初期，可临时启用 DHCP 快速获取地址，再通过 Redfish 或 Web 界面改为静态。

Supermicro BMC 默认通常为 DHCP。若需改为静态，可在 Web 界面 Configuration → Network 中取消勾选 DHCP，填写 IP、子网掩码、网关、DNS。也可通过 ipmitool 命令行完成：

ipmitool -I lanplus -H 10.10.100.101 -U ADMIN -P PASSWORD lan set 1 ipsrc static
ipmitool -I lanplus -H 10.10.100.101 -U ADMIN -P PASSWORD lan set 1 ipaddr 10.10.100.101
ipmitool -I lanplus -H 10.10.100.101 -U ADMIN -P PASSWORD lan set 1 netmask 255.255.255.0
ipmitool -I lanplus -H 10.10.100.101 -U ADMIN -P PASSWORD lan set 1 defgw ipaddr 10.10.100.1

若使用 DHCP，应在 DHCP 服务器中为 BMC 的 MAC 地址配置保留（Reservation），确保每次获取相同 IP。DHCP 作用域应仅限管理 VLAN，并设置较短的租约（如 1 小时）以便快速回收。无论采用哪种方式，都应记录每台 BMC 的 MAC 地址，并在交换机上启用 DHCP Snooping 防止私接 DHCP 服务器。

五、网关与路由

BMC 网关应指向管理 VLAN 的网关接口（如 10.10.100.1），该接口通常位于管理交换机或防火墙。若运维终端与 BMC 不在同一子网，需在网关设备上配置路由或三层接口，使 10.10.102.0/24 能访问 10.10.100.0/24。跨机房管理时，建议通过 VPN 或专线接入管理网络，避免将 BMC 直接暴露在公网。

路由设计应遵循“最小可达”原则：仅允许运维终端 VLAN 访问 BMC VLAN 的 623/UDP（IPMI）、443/TCP（Web/Redfish）、5900/TCP（KVM）等必要端口，其余流量一律拒绝。若需集中收集 BMC 日志，可允许 BMC VLAN 单向访问日志服务器 VLAN 的 514/UDP 或 6514/TCP。

六、安全隔离策略

带外管理网络一旦被攻破，攻击者可直接控制服务器电源与虚拟介质，风险极高。因此必须实施严格隔离：

物理隔离优先：管理交换机不接生产网络上行，或通过防火墙隔离。
ACL 最小化：仅允许跳板机 IP 访问 BMC 管理端口，禁止全网段扫描。
强密码与账户分离：禁用默认 ADMIN/ADMIN，为每台 BMC 设置独立强密码，并启用 Redfish 账户分级。
关闭不必要服务：如未使用 IPMI over LAN，可关闭 623/UDP；关闭 Telnet、HTTP，仅保留 HTTPS。
日志与审计：将 BMC 系统日志（SEL）与审计日志集中转发至 SIEM，定期检查异常登录。
固件更新：定期升级 BMC 固件，修复已知漏洞，升级前在测试环境验证。

建议在管理交换机上启用端口安全（Port Security），限制每个端口学习的 MAC 数量，防止私接设备；同时启用 BPDU Guard 防止环路。

完成上述规划后，建议按以下顺序落地：先确定物理或共享端口模式，再划分 VLAN 并配置交换机；随后规划 IP 网段并建立台账；接着逐台配置 BMC 静态地址或 DHCP 保留；最后在防火墙/网关上实施 ACL，并通过跳板机验证 443、623、5900 端口可达性，同时确认其他端口被拒绝。验证时可用 ipmitool -I lanplus -H <BMC_IP> -U <用户> -P <密码> chassis status 检查带外连通性，用 curl -k https://<BMC_IP>/redfish/v1/ 验证 Redfish 接口是否正常响应。只有管理面可达、业务面隔离、审计可追溯，带外管理网络才算真正可用。