PowerEdge. Ошибки подключения к полному доменному имени HTTP и HTTPS в микропрограмме iDRAC9 версии 5.10.00.00
Сводка: Микропрограмма Dell iDRAC9 версии 5.10.00.00 блокирует доступ по HTTP и HTTPS через полное доменное имя (FQDN), если FQDN не определено как имя контроллера удаленного доступа iDRAC (RAC). ...
Симптомы
В микропрограмме iDRAC9 (Integrated Remote Access Controller 9) версии 5.10.00.00 внесены изменения в подключения HTTP и HTTPS. Эти изменения могут повлиять на подключения пользователей при указании адреса полного доменного имени (FQDN). Из-за этих изменений пользователи iDRAC9 могут столкнуться с ошибками подключения, перенаправлением или ошибкой «400 — Bad Request». Эти подключения обнаруживаются, когда указанное имя FQDN не соответствует значениям iDRAC «DNSRacName» или «DNSDomainName».
Пример ошибки браузера:
Рис. 1. Ошибка заголовка HTTPS Mozilla Пример ошибки Curl:
root@rhel7-vm:~$ curl -k https://iR640-A.dell.com/ <!DOCTYPE html> <head> <title>Bad Request</title> <link rel="shortcut icon" href="data:image/x-icon;," type="image/x-icon"> </head> <body> <h2>Access Error: 400 -- Bad Request</h2> <pre></pre> </body> </html>
Причина
Веб-сервер в микропрограмме iDRAC9 версии 5.10.00.00 по умолчанию выполняет проверку заголовков хостов по протоколам HTTP и HTTPS.
Разрешение
По умолчанию iDRAC9 проверяет заголовок хоста HTTP и HTTPS и сравнивает его с определенными параметрами «DNSRacName» и «DNSDomainName». Если значения не совпадают, iDRAC отклоняет подключение HTTP и HTTPS. В iDRAC9 5.10.00.00 принудительное применение заголовков хостов можно отключить с помощью следующей команды RACADM.
#Disable host header check racadm set idrac.webserver.HostHeaderCheck 0
Если включена проверка заголовков хостов HTTP и HTTPS (более безопасно), доступ к iDRAC можно получить с помощью адреса IPv4/IPv6, имени RAC и определенного полного доменного имени iDRAC (DNSRacName, DNSDomainName). Если конечный пользователь получает доступ к именам хостов, о которых может не знать iDRAC (например, записи DNS, добавленные вручную в записи DNS), в версии микропрограммы iDRAC9 5.10.00.00 добавлен новый атрибут ManualDNSEntry. Этот новый параметр можно обновить, используя до четырех IP-адресов и имен хостов/полных доменных имен, чтобы предоставить список разрешенных заголовков хостов. Это гарантирует, что входящие запросы не будут отклониться, когда заголовок хоста HTTP и HTTPS содержит одну из записей в параметре «ManualDNSEntry».
# Add manual entry to allow list racadm set idrac.webserver.ManualDNSEntry 192.168.20.30 racadm set idrac.webserver.ManualDNSentry 192.168.20.30,idrac.mydomain.com
Такая дополнительная конфигурация необходима в следующих случаях:
- Конечный пользователь использует ручную конфигурацию DNS для доступа к iDRAC (запись хоста DNS вручную)
- Для доступа к iDRAC используется альтернативное имя субъекта и сертификат Wild card
- Доступ к iDRAC напрямую с помощью IP-адреса хоста (с помощью ISM)