|
帶外管理簡易理解及方案設(shè)計
|
|
一、帶外網(wǎng)管基本概念，什么是帶外管理？
|
|
從技術(shù)的角度，網(wǎng)絡(luò)管理可分為帶外管理（out-of-band）和帶內(nèi)管理（in-band）兩種管理模式。所謂帶內(nèi)管理，是指網(wǎng)絡(luò)的管理控制信息與用戶網(wǎng)絡(luò)的承載業(yè)務(wù)信息通過同一個邏輯信道傳送；而在帶外管理模式中，網(wǎng)絡(luò)的管理控制信息與用戶網(wǎng)絡(luò)的承載業(yè)務(wù)信息在不同的邏輯信道傳送。
簡單的來說,象Openview、CiscoWorks、Tivoli 這類的網(wǎng)管軟件系統(tǒng)都是帶內(nèi)網(wǎng)管，管理系統(tǒng)必須通過網(wǎng)絡(luò)來管理設(shè)備。如果無法通過網(wǎng)絡(luò)訪問被管理對象，帶內(nèi)網(wǎng)管系統(tǒng)就失效了，帶外管理系統(tǒng)就排上用場了。就象你家里的固定電話壞了，只能通過手機來報修一樣，帶外網(wǎng)管是管理系統(tǒng)中的緊急通道。 帶外管理系統(tǒng)的構(gòu)成：串口控制臺、KVM控制臺、智能電源管理器、服務(wù)處理器控制臺、帶外管理集中管理平臺等組成。 串口控制臺：連接設(shè)備的console口或RS-232串口，通過網(wǎng)絡(luò)或modem撥號訪問串口控制臺，就可以直接進(jìn)入被管理設(shè)備的控制接口，即使該設(shè)備無法通過網(wǎng)絡(luò)訪問。 KVM控制臺：通過KVM OVER IP技術(shù)你能從網(wǎng)絡(luò)的任意地點，通過你的顯示器、鍵盤鼠標(biāo)來控制遠(yuǎn)端的服務(wù)器。 智能電源管理器：通過智能電源管理器，可以遠(yuǎn)程開關(guān)設(shè)備電源。 服務(wù)處理器管理器：提供對計算機主板內(nèi)嵌的服務(wù)處理器進(jìn)行統(tǒng)一、集中訪問的功能。上述管理器可獨立于主 CPU 運行，確保管理員可以訪問、監(jiān)控和管理服務(wù)器的硬件部件。服務(wù)處理器管理器還可允許管理員重啟服務(wù)器，而不論主處理器或操作系統(tǒng)是否運行。智能平臺管理界面 (IPMI)、HP Integrated Lights Out (iLO)、Dell DRAC 和 Sun Advanced Lights Out Management (ALOM) 均為成熟的服務(wù)處理器技術(shù)。
帶外管理集中管理平臺：是以上所有帶外管理設(shè)備統(tǒng)一管理平臺。 |
|
二、帶外管理主要作用
|
|
帶外網(wǎng)管能夠使用戶：減少運營成本、提高運營效率、減少宕機時間、提高服務(wù)質(zhì)量。
帶外網(wǎng)管有以下幾種主要功能：串口控制臺具有所有功能，KVM控制臺具備前兩種功能。 1、設(shè)備緊急訪問通道； 2、集中訪問控制、分級授權(quán)管理； 3、操作日志記錄； 4、故障告警。 設(shè)備緊急訪問通道：所有可以使用命令行進(jìn)行配置的設(shè)備（網(wǎng)絡(luò)設(shè)備、存儲設(shè)備、unix服務(wù)器、linux服務(wù)器、win2003服務(wù)器、甚至PBX）都有console口或RS-232串口，通過這些管理接口可以直接使用命令控制設(shè)備。串口控制臺連接到設(shè)備console或串口，在任何情況下只要能夠通過網(wǎng)絡(luò)或者撥號方式訪問到串口控制臺就對設(shè)備進(jìn)行操作。KVM控制臺連接到設(shè)備的鼠標(biāo)接口、鍵盤接口、視頻輸出接口。KVM OVER IP使用戶可以用自己的鼠標(biāo)、鍵盤遠(yuǎn)程控制設(shè)備，同時視頻輸出到用戶本地的顯示器上。使用串口控制臺＋KVM組合，可以解決所有設(shè)備的非硬件故障。 集中訪問控制：由于帶外網(wǎng)管提供了訪問設(shè)備的通道，因此可以把通過網(wǎng)絡(luò)訪問設(shè)備（Telnet等方式）方式進(jìn)行嚴(yán)格限制，可以降低網(wǎng)絡(luò)安全隱患。比如限定特定的IP地址才可以通過Telnet訪問設(shè)備。大部分的訪問均通過帶外管理系統(tǒng)進(jìn)行，可以把整個IT環(huán)境設(shè)備的訪問統(tǒng)一到帶外管理系統(tǒng)。與傳統(tǒng)的設(shè)備管理各自為政不同，通過帶外網(wǎng)管可以很容易做到不同用戶名登錄對應(yīng)不同設(shè)備管理權(quán)限，一個IT TEAM可以根據(jù)各個人員職責(zé)不同進(jìn)行授權(quán)。 操作日志記錄：通過串口控制臺訪問設(shè)備，所有的命令及結(jié)果都會被以文件方式記錄下來。這樣所有對于設(shè)備進(jìn)行的操作均有跡可尋，這種級別的IT審計對于日后糾正錯誤操作和發(fā)現(xiàn)非法操作有非常大的貢獻(xiàn)。尤其是在美國上市的公司要求IT審計的級別非常高，帶外網(wǎng)管可以很好的滿足這個要求。 故障告警：串口控制臺連接設(shè)備的console接口時，設(shè)備出現(xiàn)故障將會通過console接口發(fā)出相應(yīng)的信息。所有通過console接口發(fā)出的告警信息經(jīng)過過濾后可以發(fā)給用戶運維人員，作為帶內(nèi)網(wǎng)管告警的補充。 |
|
三、什么樣的IT環(huán)境需要帶外網(wǎng)管
|
|
運維人員和IT設(shè)備不在同一個物理地點。這種類型的網(wǎng)絡(luò)環(huán)境包括所有的電信運營商和銀行及有分支機構(gòu)的政府、企業(yè)網(wǎng)絡(luò)。一旦設(shè)備故障無法通過網(wǎng)絡(luò)解決（telnet 、pcanywhere、VNC、RDP等手段），運維人員只能到現(xiàn)場解決問題。這種類型的網(wǎng)絡(luò)通過帶外網(wǎng)管可以大幅提高網(wǎng)絡(luò)運維效率，同時有效降低運維成本。
運維人員與IT設(shè)備在同一地點，IT設(shè)備數(shù)目很多統(tǒng)一管理面臨很大難度。這種類型IT環(huán)境包括所有IDC、企業(yè)的數(shù)據(jù)中心（非托管）、互聯(lián)網(wǎng)公司、游戲運營商。運維TEAM需要面對幾百臺甚至上萬臺服務(wù)器，對設(shè)備的訪問控制授權(quán)、操作記錄均需要借助帶外網(wǎng)管來完成。 |
|
四、如何組建帶外管理系統(tǒng)
|
|
帶外管理系統(tǒng)組網(wǎng)模式主要有兩種，一種是為帶外網(wǎng)管設(shè)備單獨組網(wǎng)，另一種帶外網(wǎng)管設(shè)備和管理的設(shè)備放在同一個網(wǎng)絡(luò)中使用撥號等方式做為備份。第一種組網(wǎng)模式適合對于網(wǎng)絡(luò)健壯要求較高的電信運營商或金融系統(tǒng)的用戶。組網(wǎng)一般采用低帶寬的專線模式，如64K的DDN、幀中繼等，目前國內(nèi)的運營商也有用2M傳輸線路組網(wǎng)的。第二種組網(wǎng)模式，帶外網(wǎng)管設(shè)備接入到運營網(wǎng)絡(luò)中，如果網(wǎng)絡(luò)出現(xiàn)故障，通過撥號訪問帶外網(wǎng)管設(shè)備。
串口控制臺有若干個RS232接口（最多64個），通過普通CAT5網(wǎng)線＋轉(zhuǎn)換頭連接到不同設(shè)備的console接口或串口。 KVM控制臺上有若干個RJ45的接口，通過CAT5網(wǎng)線與服務(wù)器連接，網(wǎng)線服務(wù)器端接一個轉(zhuǎn)換頭。轉(zhuǎn)換頭帶有鼠標(biāo)接頭和鍵盤接頭、視頻接頭與服務(wù)器相連，用戶通過訪問KVM控制臺就可以控制相應(yīng)的設(shè)備。 智能電源管理器上有直流或交流電源接口與設(shè)備的電源插頭連接。智能電源管理器的console接口與串口控制臺連接。通過串口控制臺控制智能電源管理器的任何一個電源單元的開關(guān)。 |
|
五、路由器＋八爪魚能代替串口控制臺嗎？
|
|
熟悉Cisco人的都知道，一般的Cisco Lab里面都用2509或2511連接router的console口，通過反向telnet方式來進(jìn)行帶外管理。有一段時間，考CCIE的人多了，很多人自己建lab都買2509，二手市場2509和2511的價格一路飚升。以至于很多人一提帶外網(wǎng)管就是使用路由器＋八爪魚進(jìn)行設(shè)備管理。?
路由器＋八爪魚提供了遠(yuǎn)程訪問console接口的通道。但是它也僅能實現(xiàn)這一功能，其它的帶外網(wǎng)管的功能它都不能實現(xiàn)。如果僅僅為了實現(xiàn)這一功能，通過modem撥號也可以實現(xiàn)，成本更低。大部分的設(shè)備都有異步口，接上modem后，遠(yuǎn)程撥號就可以訪問該設(shè)備。 下面看一下串口控制臺比路由器＋八爪魚究竟有什么優(yōu)勢。在帶外網(wǎng)管的作用一文里介紹了除了設(shè)備緊急訪問通道外，還有以下三種功能：集中訪問控制、分級授權(quán)管理，操作日志記錄，故障告警。這三種功能路由器和串口卡都不能實現(xiàn)。在安全方面串口控制臺也做的更好。串口控制臺支持SSHv1、v2可以有效的防止數(shù)據(jù)泄露。通過串口控制臺可以傳送SUN break信號，這點路由器和串口卡也做不到。同時通過串口控制臺訪問設(shè)備，支持進(jìn)行多進(jìn)程操作，比如兩個用戶同時對于一個設(shè)備操作，或者一個操作一個觀看等。 不難看出傳統(tǒng)的路由器＋八爪魚是不能代替串口控制臺的。 |
|
六、串口控制臺與KVM控制臺的區(qū)別
|
|
串口控制臺ACS主要用于命令行（CLI）設(shè)備，它是連接設(shè)備的Console口或RS-232串口（常見的如路由器、交換機、網(wǎng)絡(luò)存儲設(shè)備、Linux Server、Unix Serve、Windows 2003 Server等），通過網(wǎng)絡(luò)或modem撥號訪問串口控制臺，就可以直接進(jìn)入被管理設(shè)備的控制接口，即使該設(shè)備無法通過網(wǎng)絡(luò)訪問。
KVM控制臺主要用于圖形工作（GUI）服務(wù)器，它通過連接被管設(shè)備的顯卡、鍵盤接口和鼠標(biāo)接口，將信號傳輸至本地，通過本地的顯示器、鍵盤和鼠標(biāo)來控制遠(yuǎn)端的服務(wù)器（一般用于Windows NT Server、Linux Server、Unix Server、Sun Server等）。KVM控制臺分為數(shù)字的KVM over IP服務(wù)器和模擬的本地使用KVM控制臺。
|
