Veritas NetBackup™ Appliance 安全指南
建议的 IPMI 设置
此部分列出了建议的 IPMI 设置以确保安全的 IPMI 配置。
创建 IPMI 用户时，请遵循下列建议：
不使用空用户名或密码创建帐户。
将管理用户的数量限制在一个。
禁用任何匿名用户。
要缓解 CVE-2013-4786 漏洞：
使用强密码帮助阻止离线字典攻击和暴力强制攻击。建议的密码长度为 16-20 个字符。
尽快更改默认用户密码 (
sysadmin)。使用访问控制列表 (ACL) 或隔离的网络来限制对 IPMI 接口的访问。
在不使用 IPMI 协议端口 (623) 时将其关闭 ，以缓解与 IPMI 协议关联的安全风险 (CVE-2013-4786)。有关详细信息，请参见 https://nvd.nist.gov/vuln/detail/CVE-2013-4786。
对 IPMI 用户应用登录设置时，请使用下列建议：
表：登录安全设置
|
设置 |
建议值 |
|---|---|
|
失败的登录尝试 |
3 |
|
用户锁定时间（分钟） |
60 秒 |
|
强制 HTTPS |
是 启用“强制 HTTPS”以确保 IPMI 连接始终使用 HTTPS。 |
|
Web 会话超时 |
1800 |
对于使用 BIOS 版本 2.01.0010 或更高版本更新的 NetBackup Appliance 型号 5250、5340 和 5350，登录到 IPMI 控制台时会显示以下消息：
KCS Policy Control Mode is Allow All. This setting is intended for BMC provisioning and is considered insecure for deployment.
您可以放心地忽略此消息，因为 KCS 策略设置仅影响操作系统级别的 IPMI 命令的带内访问。这些命令只能由 root 级别用户访问。此默认策略设置与以前 Veritas 产品版本的设置相匹配。
Veritas 建议启用通过 OpenLDAP 进行 LDAP 身份验证。IPMI 子系统与 Active Directory 不兼容。
Veritas 建议导入新的或自定义的 SSL 证书。
表：远程会话安全设置
|
设置 |
建议值 |
|---|---|
|
KVM 加密 |
Stunnel 注意: BMC 固件 01.51.11142 中的 KVM 加密已删除对 AES 和 RC4 算法的支持。 |
|
介质加密 |
启用 |
您也可以使用 iKVM over HTML5 登录到 Appliance 命令行操作界面。
注意:
HTML5 选项仅适用于具有固件 (BIOS) 版本 00.01.0016 或更高版本的 Appliance。
为了帮助防止未经过身份验证进行 IPMI 用户操作或活动，应禁用特定密码。要进一步获取帮助，请与技术支持联系并通知技术支持代表参考编号为 000127964 的文章。
对 IPMI 使用专用的以太网连接，避免共享物理服务器连接。
使用静态 IP。
避免使用 DHCP。