iDRAC9: Protegendo o console virtual com o Transport Layer Security versão 1.2

Com foco contínuo na segurança de rede no data center, o iDRAC9 agora pode restringir as sessões do console virtual para dar suporte apenas à criptografia TLS versão 1.2. Este artigo descreve como realizar determinadas etapas necessárias para ativar essa restrição no iDRAC9.

---

Sumário

1. Pré-requisitos
2. Restringir o servidor Web ao protocolo TLS 1.2
3. Definir as configurações do console virtual

---

1. Pré-requisitos 

• Firmware iDRAC9 4.40.00.00 ou mais recente
• Habilitando o redirecionamento da Web no console virtual
• Plug-in do console virtual = HTML5
• Restringindo o servidor Web do iDRAC ao protocolo TLS 1.2

 
O firmware 4.00.00.00 do iDRAC9 introduziu um novo recurso chamado Virtual Console Web Redirection. Por padrão, o Console Virtual do iDRAC usa a porta de presença remota 5900. Quando o redirecionamento da Web do console virtual está ativado, o visualizador do console virtual aproveita a porta definida do servidor da Web para o iDRAC9. Por padrão, o servidor da Web do iDRAC usa a porta 443 para tráfego https. O console virtual pode aproveitar as restrições definidas do protocolo TLS na porta do servidor da Web estabelecendo a sessão do console virtual por meio da porta do servidor da Web. O tipo de plug-in HTML5 é o único plug-in do Virtual Console compatível com o recurso de redirecionamento. Quando esse recurso foi originalmente introduzido, a porta de presença remota era deixada aberta, ignorando qualquer tráfego para a porta. O iDRAC9 4.40.00.00 introduziu um recurso adicional para fechar essa porta não utilizada quando o redirecionamento de wed está ativado.
 

---

2. Restringir o servidor Web ao protocolo TLS 1.2

O redirecionamento da Web do console virtual só é configurável por meio de racadm Interface de linha de comando. Todas as etapas descritas podem ser inseridas usando uma sessão de terminal SSH ou usando o racadm utilitário (DRACTOOLS) remotamente.

Use o botão set para definir o protocolo iDRAC Webserver TLS. Nesse caso, o valor de 2 é igual a Only TLS 1.2.

racadm set iDRAC.Webserver.TLSProtocol 2

racadm>>racadm set iDRAC.Webserver.TLSProtocol 2
[Key=iDRAC.Embedded.1#WebServer.1]
Object value modified successfully

Use o comando get para confirmar as configurações do servidor Web do iDRAC.

racadm get iDRAC.Webserver 

racadm>>racadm get iDRAC.Webserver
[Key=iDRAC.Embedded.1#WebServer.1]
CustomCipherString=
Enable=Enabled
HttpPort=80
HttpsPort=443
HttpsRedirection=Enabled
#MaxNumberOfSessions=8
SSLEncryptionBitLength=Auto-Negotiate
Timeout=1800
TitleBarOption=Auto
TitleBarOptionCustom=
TLSProtocol=TLS 1.2 Only

---

3. Definir as configurações do console virtual

Use o comando set para definir o plug-in do console virtual do iDRAC. Nesse caso, o valor de "2" é igual a HTML5:

racadm set iDRAC.VirtualConsole.PluginType 2

racadm>>racadm set iDRAC.VirtualConsole.PluginType 2
[Key=iDRAC.Embedded.1#VirtualConsole.1]
Object value modified successfully

Use o comando set para ativar o redirecionamento da Web do console virtual do iDRAC.

racadm set iDRAC.VirtualConsole.WebRedirect Enabled

racadm>>racadm set iDRAC.VirtualConsole.WebRedirect Enabled
[Key=iDRAC.Embedded.1#VirtualConsole.1]
Object value modified successfully

Use o comando set Comando para fechar a porta de presença remota não utilizada.

racadm set iDRAC.VirtualConsole.CloseUnusedPort Enabled

racadm>>racadm set iDRAC.VirtualConsole.CloseUnusedPort Enabled
[Key=iDRAC.Embedded.1#VirtualConsole.1]
Object value modified successfully

Use o comando get para confirmar as configurações do iDRAC Virtual Console.

racadm get iDRAC.VirtualConsole

racadm>>racadm get iDRAC.VirtualConsole
[Key=iDRAC.Embedded.1#VirtualConsole.1]
AccessPrivilege=Deny Access
#ActiveSessions=0
AttachState=Auto-attach
CloseUnusedPort=Enabled
Enable=Enabled
EncryptEnable=Enabled
LocalDisable=Disabled
LocalVideo=Enabled
MaxSessions=6
PluginType=2
Port=5900
Timeout=1800
TimeoutEnable=Disabled
WebRedirect=Enabled

Com as configurações destacadas, o Virtual Console do iDRAC agora estabelece sessões HTML5 por meio de uma porta do servidor da Web com a restrição do protocolo TLS 1.2. A barra de endereços do visualizador do console exibe a porta em uso.