带外管理（IPMI/iLO/iDRAC）是服务器死机、系统盘报废时唯一还能救命的通道，但多数机房只在装机时配一次就再没碰过。我们的观点很直接：把 BMC 当成一台 7×24 在线、插在机架里的迷你 Linux 服务器来管——它有自己的 IP、Web 服务、SSH 账号和固件漏洞。最小可用配置就围绕隔离、权限、告警、固件四件事展开。
网络隔离：默认网关留空，比堆防火墙规则更有效
第一原则：BMC 网口放进独立管理 VLAN，且不配置指向公网的默认网关。KVM、虚拟媒体、SOL 串口重定向在同网段内不需要网关即可工作。示例：管理 VLAN 用 10.10.0.0/24，BMC 占 10.10.0.11-250，交换机侧仅允许堡垒机网段访问 443/22/623 端口（RMCP+ 走 UDP 623）。需要跨网段时经堡垒机跳转，不要给 BMC 配默认路由。同时关闭用不到的服务：HTTP（保留 HTTPS）、SNMP，虚拟媒体按需开关。
采购侧确认两点：服务器有独立 BMC 管理口；避免 NC-SI 共享模式——业务口断电或链路异常时会连带失联。
账号与权限：两个账号就够
出厂默认账号（ADMIN/ADMIN 或机身贴纸密码）必须第一时间改掉。最小配置只需两个账号：
| 账号 | 权限级别 | 用途 |
|---|---|---|
bmc-admin | Administrator | 人工变更、固件更新 |
bmc-monitor | User | 监控平台拉取传感器与 SEL |
两个协议层的坑必须处理：一是 IPMI 2.0 的 cipher suite 0（无认证套件），很多固件默认开启，等于允许匿名会话，务必关闭（ipmitool lan set 1 cipher_privs 或 Web 界面）；二是 RMCP+ 认证会把哈希材料发给客户端、可被离线爆破，BMC 密码应不少于 16 位随机字符——反正不是你每天手输的密码。
告警转发：让 BMC 主动说话，而不是只被轮询
只靠监控平台轮询传感器，采集端自身故障时就成盲区。最小做法是启用 PEF（Platform Event Filter）+ LAN Alerting，让 BMC 把电源故障、温度超阈、风扇停转、SEL 接近写满等事件以 SNMP trap 主动推给告警接收端，示例命令 ipmitool lan set 1 alerts on 后配置 PEF 条目（iLO/iDRAC 在 Web 界面有等价的 SNMP 告警设置）。另外注意 SEL 容量有限（常见 512 条），写满即停记，需定期用 ipmitool sel 导出并清理。配完务必演练一次：拔电源线，确认 trap 真的到达。
固件更新：BMC 是长期没人打补丁的重灾区
历年 IPMI 漏洞几乎都靠固件修复，建议把 BMC 固件纳入与系统补丁同级的季度维护窗口：厂商官网下载、校验哈希/签名、更新前备份 BMC 配置（多数更新会重置网络与账号设置）。更新前确认主机已关机，部分型号更新过程会中断进行中的 KVM 会话。采购角度：优先选择承诺 BMC 固件安全支持周期（如 5 年以上）且提供固件签名校验的厂商；停产机型的 BMC 若固件已停更，应按暴露面而非资产管理。
落地检查清单
- BMC 在独立管理 VLAN，无公网默认网关，交换机仅放行堡垒机访问 443/22/623；
- 默认账号已改密或禁用，仅保留一个 Administrator 和一个只读 User，密码不少于 16 位随机字符；
- cipher suite 0 已关闭，HTTP/SNMP 等未用服务已停用；
- PEF + LAN Alerting 指向告警接收端，并完成过一次断电实测；
- SEL 有定期导出与清理机制，不会写满；
- BMC 固件版本与配置备份记录在 CMDB，纳入季度维护窗口。
本文由 南方数据技术博客编辑整理，涉及具体环境时请以官方文档与实际配置为准。