IPMI, iDRAC, iLO: Server-Fernwartung per BMC erklärt

IPMI, iDRAC und iLO sind die Werkzeuge, mit denen Administratoren Server aus der Ferne steuern: einschalten, ins BIOS schauen, ein Betriebssystem installieren, Fehler auslesen – ohne Fahrt ins Rechenzentrum. Technisch steckt immer ein Baseboard Management Controller (BMC) dahinter. Dieser Ratgeber zeigt, was die Lösungen von Dell, HPE, Lenovo und Supermicro unterscheidet, welche Lizenzen eine Rolle spielen und wie Sie den Zugang absichern.

Was ist ein BMC und was ist IPMI?

Der BMC ist ein eigener Mikrocontroller auf dem Mainboard, mit eigener Firmware, eigenem Arbeitsspeicher und meist eigenem Netzwerkport. Er hängt an der Standby-Spannung der Netzteile und läuft, sobald das Netzkabel steckt – auch wenn der Server aus ist oder das Betriebssystem hängt. Er liest Temperatur-, Lüfter- und Spannungssensoren, regelt die Lüfter, protokolliert Hardware-Ereignisse und schaltet den Server ein und aus. Praktisch jeder Rack-Server von Dell, HPE, Lenovo oder Supermicro hat einen.

IPMI (Intelligent Platform Management Interface) ist der ältere Industriestandard, über den Werkzeuge wie ipmitool mit dem BMC sprechen – lokal oder übers Netzwerk auf UDP-Port 623. Version 2.0 stammt in ihren Grundzügen von 2004 und hat bekannte Schwächen bei der Anmeldung. Die Hersteller bauen darauf eigene Oberflächen: iDRAC bei Dell, iLO bei HPE, XClarity Controller bei Lenovo. Supermicro nennt seine Lösung schlicht IPMI.

Was ein BMC kann

• Virtuelle Konsole: Bild, Tastatur und Maus des Servers im Browser, vom Einschalten über das BIOS bis zum laufenden System. Aktuelle BMCs nutzen HTML5, ältere Java oder Browser-Plugins.
• Virtuelle Medien: ein ISO-Abbild vom eigenen Rechner oder einer Netzwerkfreigabe einbinden, etwa um Proxmox statt VMware zu installieren.
• Power Control: einschalten, sauber herunterfahren, hart ausschalten, Reset.
• Sensoren: Temperaturen, Lüfterdrehzahlen, Spannungen und Leistungsaufnahme in Watt.
• Logs: das Systemereignisprotokoll (SEL), bei Dell zusätzlich das Lifecycle Log, bei HPE das Integrated Management Log.
• Firmware-Updates: BIOS, Controller, Netzwerkkarten und den BMC selbst aktualisieren, ohne ein Betriebssystem zu booten.
• Alarme: E-Mail, SNMP-Trap oder Syslog bei Lüfterausfall, Speicherfehler oder defektem Netzteil.

iDRAC, iLO, XCC und IPMI im Vergleich

Dell iDRAC: Generationen und Lizenzen

Der Integrated Dell Remote Access Controller steckt in allen PowerEdge-Servern. Für gebrauchte Geräte relevant sind iDRAC 7 (12G, etwa R620 und R720), iDRAC 8 (13G, etwa R630 und R730) und iDRAC 9 (ab 14G, etwa im Dell PowerEdge R640, R740 und R750). iDRAC 9 bringt eine HTML5-Oberfläche, eine flüssigere Konsole und umfassende Redfish-Unterstützung.

Dell schaltet Funktionen über Lizenzstufen frei: Basic bei kleineren Modellen, Express, Enterprise und bei iDRAC 9 zusätzlich Datacenter. Grob gilt: Express deckt Überwachung, Logs und Power Control ab, iDRAC Enterprise ergänzt bei den meisten Rack-Servern virtuelle Konsole und virtuelle Medien, Datacenter zielt mit Funktionen wie Telemetrie-Streaming auf große Umgebungen. Die genaue Aufteilung hängt von Generation, Modellreihe und Firmware ab – prüfen Sie im Zweifel die aktuelle Übersicht von Dell. Die Lizenz ist an das Service-Tag des Servers gebunden.

HPE iLO: Standard oder Advanced

HPE ProLiant-Server nutzen Integrated Lights-Out, kurz iLO: iLO 4 in Gen8 und Gen9, iLO 5 in Gen10 und Gen10 Plus, iLO 6 in Gen11. iLO 5 brachte unter anderem eine neue HTML5-Oberfläche, ein Firmware-Repository und eine in Hardware verankerte Prüfung der Firmware beim Start. Ein typisches Gerät ist der HPE ProLiant DL360 Gen10.

Ab Werk ist iLO Standard enthalten: Sensoren, Logs, Power Control und die Konsole während Start und BIOS-Setup. Für die Konsole im laufenden Betriebssystem und – je nach Generation – weitere Funktionen wie erweiterte virtuelle Medien oder Verzeichnisanbindung braucht es iLO Advanced. Daneben gibt es Varianten für kleinere Serien und besondere Sicherheitsanforderungen. Die Lizenz wird als Schlüssel im iLO eingetragen; Übertragung und Neuinstallation regeln die Bedingungen von HPE.

Lenovo XClarity Controller und Supermicro IPMI

Lenovos ThinkSystem-Server wie SR630 und SR650 nutzen den XClarity Controller (XCC), Nachfolger des IMM2 aus der System-x-Reihe; die V3-Modelle bringen XCC2 mit. Auch hier gibt es Stufen – Standard, Advanced und Enterprise –, freigeschaltet per Features-on-Demand-Schlüssel. Welche Stufe ab Werk dabei war, hängt vom Modell und der ursprünglichen Bestellung ab.

Supermicro nennt seinen BMC schlicht IPMI. Grafische Konsole und virtuelle Medien sind dort meist ohne Zusatzlizenz nutzbar; einzelne Funktionen wie das BIOS-Update über die Weboberfläche verlangen je nach Board-Generation einen Schlüssel. Für das Homelab ist das ein Pluspunkt.

Redfish: die REST-API für alle Hersteller

Weil IPMI bei Sicherheit und Funktionsumfang an Grenzen stößt, hat die Branchenorganisation DMTF 2015 Redfish veröffentlicht: eine REST-Schnittstelle über HTTPS mit JSON-Daten und einheitlichem Schema. Der Pfad /redfish/v1/Systems liefert bei Dell, HPE, Lenovo und Supermicro dieselbe Grundstruktur mit Modell, Seriennummer, Power-Status, CPUs und Speicher.

So lassen sich Server per Skript oder Ansible herstellerübergreifend inventarisieren, schalten, aktualisieren und konfigurieren. iDRAC 9, iLO 5 und 6 sowie XCC sprechen Redfish umfassend, ältere Controller wie iDRAC 8 und iLO 4 ab bestimmten Firmware-Ständen in kleinerem Umfang. Auch per Redfish bleiben manche Funktionen an die Lizenzstufe gebunden.

Sicherheit: So schützen Sie den BMC

Ein BMC hat volle Kontrolle über den Server: Er kann ihn ausschalten, von einem fremden ISO booten oder Firmware einspielen. Gleichzeitig läuft auf ihm ein eigenes Betriebssystem, das seltener aktualisiert wird als der Rest. Bei allen großen Herstellern gab es in der Vergangenheit schwere Sicherheitslücken in der BMC-Firmware.

• Eigenes Management-Netz: Den dedizierten BMC-Port in ein separates VLAN oder physisches Netz legen. Die Mitnutzung eines normalen Netzwerkports (Shared LOM) nur bewusst einsetzen.
• Standardkennwörter ändern: Ältere Geräte kamen mit bekannten Zugangsdaten wie root/calvin bei Dell oder ADMIN/ADMIN bei Supermicro, neuere mit einem individuellen Kennwort auf einem Etikett.
• Firmware aktuell halten: BMC-Updates schließen regelmäßig Lücken. Planen Sie sie wie Betriebssystem-Updates ein.
• Unnötige Dienste abschalten: IPMI over LAN, alte SNMP-Versionen und unverschlüsselte Protokolle deaktivieren, wenn Sie sie nicht brauchen.

Gebrauchten Server kaufen: Fernwartung prüfen

Bei einem gebrauchten Server ist die Fernwartungslizenz Teil des Werts. Klären Sie vor dem Kauf drei Punkte; allgemeine Kaufkriterien stehen im Ratgeber Gebrauchte Server kaufen.

• Lizenz enthalten? Welche Stufe ist installiert, etwa iDRAC Enterprise oder iLO Advanced? Ein Screenshot der Lizenzseite schafft Klarheit.
• Lizenz übertragbar? Dell-Lizenzen hängen am Service-Tag und bleiben beim Server. Für HPE- und Lenovo-Schlüssel gelten die Bedingungen des Herstellers. Upgrades lassen sich oft nachträglich einspielen.
• BMC zurückgesetzt? Ein sauber aufbereiteter Server kommt ohne Konten, Netzwerkeinstellungen und Zertifikate des Vorbesitzers, siehe Refurbished: Bedeutung und Ablauf.

Nach der Lieferung richten Sie den Zugang so ein: