Un accès d'urgence via le même réseau que celui qu'il est censé sauver n'en est pas un. Celui qui souhaite isoler son réseau de gestion met ainsi en place la redondance qui, en cas d'urgence, fait la différence entre une commande de réinitialisation à distance et un trajet nocturne en voiture jusqu'au centre de données.
L'accès hors bande doit être routé vers un VLAN dédié ou un réseau physiquement isolé, et ne doit en aucun cas être directement accessible depuis Internet. Le module NET.1.1 du BSI exige une segmentation, la mise en place de concepts de zone démilitarisée (DMZ) et l'utilisation de composants redondants, afin qu'une panne du réseau de production n'entraîne pas celle de l'accès d'urgence.
Isoler le réseau de gestion : ce qu'exige la « protection de base » du BSI
Le module NET.1.1 de la norme IT-Grundschutz, consacré à l'architecture et à la conception des réseaux, décrit comment les réseaux doivent être structurés pour qu'une défaillance isolée n'entraîne pas la défaillance de l'ensemble de l'infrastructure. Il exige une segmentation, un concept de zone démilitarisée (DMZ) bien pensé et des composants redondants aux points névralgiques (BSI, Compendium sur la sécurité informatique de base). La gestion hors bande doit donc être placée sur un VLAN dédié ou, lorsque l'effort nécessaire est raisonnable, sur un réseau physiquement séparé. Un BMC ne doit en aucun cas être connecté directement à Internet, même s'il est protégé par une seule règle de pare-feu.
Un BMC accessible depuis Internet fait partie des cibles les plus prisées des analyses automatisées, car de nombreux appareils déployés sur le terrain fonctionnent avec leurs paramètres d'usine ou un firmware obsolète. Quiconque prend le contrôle d’un BMC obtient ainsi potentiellement un accès complet à la console, au système de fichiers via Virtual Media et à l’alimentation électrique du serveur, indépendamment du système d’exploitation et de ses propres mesures de protection. La séparation du réseau de production constitue une première ligne de défense, bien avant qu’une règle de pare-feu ou un mot de passe n’entre en jeu.
L'IPMI sur LAN présente un risque supplémentaire lié aux anciennes versions. Dans les implémentations plus anciennes, ce protocole transmet les identifiants d'accès sans cryptage ou avec un cryptage faible ; c'est pourquoi il doit fonctionner exclusivement sur un segment isolé, et jamais sur un réseau également ouvert à d'autres usages. Redfish résout ce problème grâce au protocole TLS et à un système d’authentification moderne, que la DMTF définit dans sa spécification (DMTF, spécification Redfish). La règle de base reste inchangée. Le réseau de gestion est distinct, quel que soit le protocole utilisé.
Le module BSI consacré à l'architecture réseau exige une segmentation, la mise en place d'une zone démilitarisée (DMZ) et des composants redondants aux points névralgiques.
BSI, Compendium sur la sécurité informatique de base
Plan d'adressage, serveur de saut et authentification à deux facteurs au point d'accès
Dans la pratique, la séparation commence par la mise en place d’un plan d’adressage dédié au réseau de gestion, distinct des segments réservés au trafic de production, de stockage et de sauvegarde. Chaque BMC se voit attribuer une adresse fixe dans ce segment, répertoriée dans une liste centrale plutôt que dispersée dans différents fichiers de configuration. Les adresses fixes, plutôt que les adresses attribuées dynamiquement, facilitent en outre le dépannage ultérieur, car une alerte peut être immédiatement attribuée à un serveur spécifique, sans qu'il soit nécessaire de consulter au préalable l'historique DHCP.
L'accès depuis l'extérieur s'effectue via un seul serveur de relais sécurisé, également appelé « jump host ». Personne ne se connecte directement à un BMC depuis son poste de travail ; chaque connexion passe par ce point de contrôle unique. Sur le serveur relais lui-même, l’authentification à deux facteurs est obligatoire, car un mot de passe compromis à ce niveau donnerait accès à l’ensemble du parc de serveurs. Chaque session est consignée dans un journal : qui s'est connecté, quand, depuis où et à quel BMC. En cas d'incident, ces journaux constituent souvent la seule source fiable permettant de situer chronologiquement une panne.
Pour les administrateurs qui travaillent depuis leur domicile ou en déplacement, l'accès au serveur de saut s'effectue via un profil VPN dédié, distinct de l'accès VPN utilisé par le reste de l'entreprise. Cette séparation empêche qu'un VPN standard compromis n'ouvre automatiquement un accès au réseau de gestion.
Accès d'urgence en cas de panne du réseau principal
La redondance au niveau du réseau de gestion ne se limite pas à une deuxième carte réseau dans le serveur. Elle implique un deuxième chemin indépendant vers le serveur de saut, qui ne passe pas par la même ligne, le même routeur ou le même fournisseur d'accès que le réseau de production. En cas de panne de la liaison montante principale, due par exemple à la présence d'une pelleteuse devant le bâtiment ou à une panne chez le fournisseur d'accès, l'accès au réseau de gestion est maintenu via une liaison montante distincte ou un routeur mobile. Sans cette deuxième connexion, l’administrateur se retrouve face à un réseau inaccessible précisément au moment où il en a le plus besoin.
Cette deuxième connexion ne doit pas nécessairement offrir la même bande passante que celle utilisée en fonctionnement normal. Elle doit simplement être suffisante pour maintenir une session de console ouverte et envoyer des commandes Power, comme l'explique l'article Gestion à distance de l'alimentation : redémarrer les serveurs bloqués sans intervention sur site . Un routeur LTE ou 5G équipé de sa propre carte SIM suffit dans la plupart des cas. Il est toutefois important que ce routeur soit alimenté indépendamment du routeur principal, par exemple via son propre petit onduleur, sinon il tombera en panne en même temps que le reste de l'infrastructure.
VLAN ou séparation physique : une question de coût
Un VLAN assure une séparation logique, tandis qu'un réseau physiquement séparé assure une séparation supplémentaire au niveau des câbles et des ports. Les deux répondent à l'exigence fondamentale de segmentation. La différence réside dans le risque résiduel et dans la charge de travail associée.
| critère | VLAN | Séparés physiquement |
|---|---|---|
| risque résiduel | Plus élevé, en fonction de la configuration du commutateur | Faible, pas de matériel commun |
| Investissement | Faible ; les commutateurs existants sont généralement utilisables | Commutateurs, ports et câblage propres à l'entreprise |
| Charges courantes | Gestion de la configuration, contrôle des règles | Matériel supplémentaire en service |
| Utilisation typique | Un seul site, un nombre raisonnable de serveurs | Plusieurs clients, exigences élevées en matière de sécurité |
La frontière entre ces deux variantes dépend de la tolérance au risque et du nombre de systèmes concernés. Un parc de serveurs hébergeant plusieurs clients ou mandants justifie généralement l'effort supplémentaire que représente la séparation physique. Un site unique comptant peu de serveurs peut souvent se contenter d’un VLAN strictement isolé, à condition que la configuration des commutateurs soit contrôlée régulièrement et non pas une seule fois lors de la mise en place.
Mettre en place un accès redondant au réseau de gestion
Un plan d'adressage et un serveur de saut ne suffisent pas à répondre à la question de savoir ce qui se passe en cas de défaillance de la liaison montante principale. Tout plan qui prévoit d'emblée une panne du réseau doit inclure une deuxième voie indépendante vers le réseau de gestion.
Foire aux questions
VLAN ou séparation physique ?
Ces deux solutions répondent aux exigences de base en matière de segmentation définies par la norme BSI-Grundschutz. Un réseau physiquement séparé présente un risque résiduel moindre, mais nécessite des ports, un câblage et une maintenance spécifiques. Pour les environnements de petite taille, un VLAN rigoureusement isolé et doté d'un contrôle d'accès strict suffit souvent.
Comment accéder au réseau de gestion en cas de panne du réseau principal ?
Via une deuxième connexion indépendante, qui n'utilise pas la même liaison montante, le même routeur ni le même fournisseur d'accès que le réseau de production. Dans la pratique, cela peut être une connexion Internet distincte ou un routeur mobile doté de sa propre carte SIM et de sa propre alimentation électrique. Sans cette deuxième connexion, l'accès d'urgence est bloqué précisément au moment où on en a besoin.
Le serveur de saut fait-il partie du réseau de gestion ?
Le serveur de saut est situé à la jonction entre un réseau à accès contrôlé et le réseau de gestion, et non au milieu, dans le même segment que les BMC. Cet emplacement empêche un serveur de saut compromis d'accéder directement à tous les BMC du réseau sans qu'une règle d'accès supplémentaire ne s'applique.
torck exploite sa propre infrastructure à Maxhütte-Haidhof, Vienne et Rabat via un réseau de gestion distinct et connaît les pièges par expérience, par exemple lorsqu'une règle de pare-feu bloque le serveur de relais au lieu de le protéger. Les équipes de développement travaillent dans un même fuseau horaire, la direction du projet s’exprime en allemand et le partenaire contractuel est la société allemande torck GmbH. Cette expérience est directement mise à profit dans la gestion des accès et la journalisation de son propre logiciel, sans que les clients aient à repenser entièrement l’architecture de leur réseau. Si vous souhaitez faire vérifier votre propre architecture en vue d’une situation d’urgence, vous pouvez convenir d’un premier entretien via le Page produit de KVM Fleet.
German 
English 
French