การรักษาความปลอดภัยพอร์ต BMC บน Nvidia DGX A100 เมื่อเชื่อมต่อกับ LAN ที่ใช้ร่วมกันเกี่ยวข้องกับหลายขั้นตอนเพื่อให้แน่ใจว่าระบบยังคงได้รับการปกป้องจากการเข้าถึงที่ไม่ได้รับอนุญาต นี่คือคำแนะนำโดยละเอียดเกี่ยวกับวิธีการบรรลุเป้าหมายนี้:
1. ใช้ VLAN แยกต่างหากสำหรับทราฟฟิก BMC **
หากคุณไม่สามารถใช้เครือข่ายการจัดการเฉพาะกำหนดค่า VLAN แยกต่างหากสำหรับทราฟฟิก BMC การจัดการ BMC ที่แยกได้จากการรับส่งข้อมูลเครือข่ายอื่น ๆ ลดความเสี่ยงของการเข้าถึงที่ไม่ได้รับอนุญาต ตรวจสอบให้แน่ใจว่า VLAN นี้ไม่ได้ใช้เพื่อวัตถุประสงค์อื่นโดยเฉพาะอย่างยิ่งไม่ใช่สำหรับอินเทอร์เฟซ LAN ของเครื่องจักรที่มีการจัดการ [2] [5]2. จำกัด ทราฟฟิก IPMI **
จำกัด ทราฟฟิก IPMI ไปยังเครือข่ายภายในที่เชื่อถือได้ สิ่งนี้สามารถทำได้โดยการกำหนดค่ากฎไฟร์วอลล์เพื่อ จำกัด การรับส่งข้อมูลขาเข้าและขาออกที่เกี่ยวข้องกับการจัดการ BMC ตรวจสอบให้แน่ใจว่ามีเพียงเซิร์ฟเวอร์การจัดการที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึง BMC [2] [6]3. เปิดใช้งานการเข้ารหัส **
หากเป็นไปได้ให้เปิดใช้งานการเข้ารหัสบนอินเตอร์เฟส IPMI ตรวจสอบคู่มือผู้ใช้ของคุณสำหรับคำแนะนำเฉพาะเกี่ยวกับวิธีการทำเช่นนี้เนื่องจากอาจแตกต่างกันไปขึ้นอยู่กับรุ่น BMC [2]4. เซิร์ฟเวอร์การจัดการที่ปลอดภัย **
จัดการ BMC ทั้งหมดจากเซิร์ฟเวอร์การจัดการที่ปลอดภัยที่ต้องเข้าสู่ระบบ ใช้กฎการเข้าถึงเพื่อให้แน่ใจว่ามีเพียงบุคลากรที่ได้รับอนุญาตเท่านั้นที่สามารถเข้าถึง BMC ได้ สิ่งนี้จะเพิ่มเลเยอร์ความปลอดภัยเพิ่มเติมโดยการควบคุมผู้ที่สามารถจัดการ BMC [2] [6]5. เปลี่ยนข้อมูลรับรองเริ่มต้น **
เปลี่ยนชื่อผู้ใช้และรหัสผ่าน BMC เริ่มต้นทันที ใช้รหัสผ่านที่แข็งแกร่งและไม่ซ้ำกันและพิจารณาการใช้นโยบายและบทบาทของผู้ใช้เพื่อ จำกัด การเข้าถึงเพิ่มเติม [6] [9]6. ปิดการใช้งานบริการที่ไม่ได้ใช้ **
หากไม่ได้ใช้บริการ IPMI ผ่านเว็บคอนโซลให้ปิดการใช้งานเพื่อป้องกันการเปิดรับแสงที่ไม่จำเป็น นอกจากนี้ให้พิจารณาการปิดกั้นพอร์ต TCP 623 (พอร์ต IPMI เริ่มต้น) หากไม่จำเป็น [2]7. อัปเดตเฟิร์มแวร์เป็นประจำ **
ให้การอัพเดทเฟิร์มแวร์ BMC เพื่อจัดการกับช่องโหว่ด้านความปลอดภัยที่รู้จัก ตรวจสอบการอัปเดตเป็นประจำและนำไปใช้ในระหว่างรอบการบำรุงรักษา [6] [11]8. ตรวจสอบกิจกรรมเครือข่าย **
ตรวจสอบกิจกรรมเครือข่ายเป็นประจำสำหรับรูปแบบการรับส่งข้อมูลที่ผิดปกติระหว่าง BMC และเครื่องอื่น ๆ สิ่งนี้สามารถช่วยตรวจจับการละเมิดความปลอดภัยที่อาจเกิดขึ้นก่อนกำหนด [6]โดยทำตามขั้นตอนเหล่านี้คุณสามารถปรับปรุงความปลอดภัยของพอร์ต BMC บน DGX A100 ได้อย่างมีนัยสำคัญแม้ว่าจะเชื่อมต่อกับ LAN ที่ใช้ร่วมกัน
การอ้างอิง:
[1] https://docs.nvidia.com/dgx/dgxa100-user-guide/security.html
[2] https://www.unicomengineering.com/blog/ipmi-best-practices/
[3] https://docs.nvidia.com/dgx/dgxa100-user-guide/network-config.html
[4] https://www.intel.com/content/www/us/en/support/articles/000098962/server-products.html
[5] http://cdn.cnetcontent.com/2f/68/2f6888a0-063f-4d76-94e4-8666b7619dfd.pdf
[6] https://www.supermicro.com/products/nfo/files/ipmi/best_practices_bmc_security.pdf
[7] https://www.skyblue.de/uploads/datasheets/nvidia_twp_dgx_a100_system_architecture.pdf
[8] https://docs.nvidia.com/dgx/dgxa100-user-guide/using-the-bmc.html
[9] https://docs.nvidia.com/dgx/dgx-station-a100-user-guide/security.html
[10] https://www.reddit.com/r/servers/comments/sol1up/using_bmc_functionality_with_regular_ethernet/
[11] https://nvidia.custhelp.com/app/answers/detail/a_id/5510/~/security-bulletin:-nvidia-dgx-a100---janary-2024
[12] https://www.intel.com/content/www/us/en/support/articles/000036861/server-products/server-boards.html
[13] https://www.robusthpc.com/wp-content/uploads/2021/11/nvidia-dgx-station-a100-system-architecture-white-paper_published.pdf