Definition Was ist Out-of-Band Management (OoB)?

Out-of-Band Management ist ein Konzept zur Fernwartung von IT-Systemen. Es nutzt nicht die regulären Verbindungen eines Datennetzwerks, sondern dedizierte Kommunikationskanäle außerhalb dieser Verbindungen. Dadurch sind die Systeme erreichbar, auch wenn sie nicht ordnungsgemäß funktionieren oder das Datennetz ausgefallen ist.

Der Begriff "Out-of-Band" stammt ursprünglich aus dem Funkbereich. Er bedeutet "außerhalb des Frequenzbereichs" oder "außerhalb des Funkbands". Im Zusammenhang mit der Fernwartung von Netzwerkgeräten, Servern und anderen IT-Systemen steht der Begriff "Out-of-Band Management", abgekürzt OoB oder OoBM, für eine Management-Methode, die nicht die für die normale Kommunikation und Datenübertragung genutzten Netzwerkverbindungen, sondern separate Kommunikationskanäle verwendet.

Zwischen den Managementstationen und den zu überwachenden oder zu administrierenden Systemen werden dedizierte Verbindungen abseits des im normalen Betriebsmodus verwendeten Datenübertragungsnetzes aufgebaut. OoB bietet den Vorteil, dass die Fernwartungsverbindung auch zur Verfügung steht, wenn das primäre Netzwerk ausgefallen ist oder IT-Systeme und Netzwerkkomponenten oder -verbindungen gestört, heruntergefahren oder ausgeschaltet sind.

Die Fernwartung funktioniert grundsätzlich unabhängig vom Betriebszustand des zu wartenden Geräts und bietet vergleichbare Möglichkeiten wie ein physikalischer Zugriff direkt vor Ort. Je nach verwendeter OoB-Lösung können Systeme heruntergefahren oder neu gestartet, Firmware- oder BIOS-Konfigurationen und Updates durchgeführt, Betriebsparameter ausgelesen oder Betriebssysteme neu installiert werden. Der Administrator verfügt über eine permanente Managementverbindung zum entfernten System. Die Management-Funktionen sind hardwaregestützt und lassen sich in der Regel unterhalb des Betriebssystems ausführen.

Was sind die wichtigsten Unterschiede zwischen Out-of-Band Management und In-Band Management?

Für die Fernwartung von IT-Systemen existieren die beiden grundsätzlichen Ansätze Out-of-Band Management und In-Band Management. Die beiden Methoden unterscheiden sich in der Art des Zugriffs, den genutzten Netzwerkverbindungen und den unterstützten Möglichkeiten deutlich.

Das In-Band Management erfolgt über das normale Produktions- und Arbeitsnetzwerk und erfordert, dass die Systeme betriebsbereit sind, ihre Netzwerkfunktionen aktiv sind und das Produktionsnetzwerk funktioniert. Das In-Band Management ist daher abhängig vom Betriebszustand des zu managenden Systems und dessen Netzwerkverbindungen. Darüber hinaus ist eine Betriebssystemfunktion oder eine Software-Fernwartungskomponente auf dem zu wartenden System notwendig, über die das In-Band Management ausgeführt werden kann. Das Betriebssystem des Rechners muss gestartet, die Remote-Managementsoftware aktiv und das Netzwerk verfügbar sein. Nur dann lässt sich eine Fernwartungsverbindung über das primäre Kommunikationsnetzwerk herstellen.

In-Band-Management-Lösungen sind im Vergleich zu OoB-Lösungen günstiger und mit weniger Hardwareaufwand zu realisieren. Es sind keine separaten Netzwerkverbindungen herzustellen oder Hardwaremodule beziehungsweise Hardwarekomponenten in oder außerhalb des zu managenden und zu überwachenden Systems notwendig. Nachteil des In-Band Managements ist, dass es nicht unabhängig vom Zustand und der Netzwerkverbindung des zu managenden Systems ausführbar ist. Es bietet keinen direkten Zugriff beispielsweise auf das BIOS oder auf Hardwareparameter und ist nicht mit einem physischen Zugriff auf ein IT-System vergleichbar.

Mit dem hardwarebasierten Out-of-Band Management über separate Fernwartungsverbindungen hingegen kann auf IT-Systeme auch dann zugegriffen werden, wenn das Produktionsnetzwerk gestört ist, die Geräte ausgeschaltet oder gestört sind oder das Betriebssystem ausgefallen ist.

Die folgende Tabelle zeigt die wichtigsten Unterschiede zwischen Out-of-Band Management und In-Band Management:

Verschiedene Arten und Implementierungen des Out-of-Band Managements

Es existieren zahlreiche verschiedene Möglichkeiten, das Out-of-Band Management zu realisieren. Als separate Management-Netzwerkverbindungen sind beispielsweise nutzbar:

• serielle Verbindungen

• analoge oder digitale Einwahlverbindungen über das analoge oder digitale Telefonnetz (POTS oder ISDN)

• 2G-, 3G-, 4G- oder 5G-Mobilfunkverbindungen

• dedizierte LAN-, WLAN- oder WAN-Management-Netzwerke

Viele Rechner, Netzwerkkomponenten und IT-Systeme besitzen ein separates Interface in Form eines seriellen Konsolenports oder Netzwerkports (zum Beispiel USB-, RS232- oder Ethernet-Konsolenports), über den der Zugang zu den Geräten möglich ist, selbst wenn das Datennetzwerk gestört ist. Konsolenports sind aus der Ferne über Einwahl-Modems, über einen mit einem Management-Netzwerk verbundenen Terminal-Server oder ein separates Management-Netzwerk erreichbar.

Darüber hinaus sind OoB-Lösungen verfügbar, die den Zugang zu den zu managenden Geräten über eingebaute Remote-Management-Karten mit separater Stromversorgung und eigenem Netzwerkanschluss erlauben. Historisch gesehen kamen für das Out-of-Band Management häufig serielle Verbindungen und analoge oder digitale Einwahlverbindungen über analoge (POTS) oder digitale Telefonnetze (ISDN) zum Einsatz. Diese Verbindungsarten haben aber zugunsten von netzwerkbasierten LAN-, WLAN- oder WAN-Zugangsarten (auch über Mobilfunknetzwerke) an Bedeutung für die Fernwartung verloren.

Typischer Funktionsumfang des Out-of-Band Managements

Out-of-Band-Management-Lösungen unterscheiden sich in ihrem Funktionsumfang teils deutlich von In-Band-Management-Lösungen. Typische per Out-of-Band Management verfügbare Funktionen sind beispielsweise:

• Zugang zum Command Line Interface (CLI)

• Ein- und Ausschalten oder Herunterfahren und Neustarten des Geräts

• Überwachen und Auslesen von Hardwareparametern wie Prozessortemperatur, Versorgungsspannung oder Lüfterdrehzahl

• Remote-Desktop-Funktionen: Übertragen von Bildschirminhalten, Maus- und Tastaturbefehlen

• Konfigurieren oder Updaten der Firmware oder des BIOS bzw. UEFI

• Installation des Betriebssystems

• Wiederherstellen des Systems

• Konfiguration der Systemeinstellungen

• Zugriff auf Speicherlaufwerke

• Hardwareinventarisierung

• Auslesen von System-Logfiles

• Protokollierung ausgeführter Aktionen

• Anzeige oder grafische Darstellung von Statusmeldungen

Lights out Management (LoM) als typische Methode des Out-of-Band Managements

Eine typische Out-of-Band-Management-Methode ist das so genannte Lights out Management (LoM) professioneller Serversysteme. Der Name leitet sich davon ab, dass für das Management eines Systems kein Licht im Rechenzentrum angeschaltet sein muss. Übertragen bedeutet das, dass der Administrator nicht vor Ort sein muss und keinen physischen Zugang zum Gerät benötigt, um es zu administrieren.

LoM wird über spezielle Einschubkarten realisiert, die in die zu überwachenden Server eingebaut werden. Sie verfügen über eine eigene Stromversorgung sowie eine dedizierte Out-of-Band-Netzwerkverbindung und arbeiten unabhängig vom Betriebssystemzustand des Servers. Der Administrator kann sämtliche Wartungstätigkeiten aus der Ferne ausführen. Der Funktionsumfang ist ähnlich, als wäre er selbst vor Ort und hätte physischen Zugriff auf den Server. Zahlreiche Hersteller wie Dell, HPE, Intel, Lenovo und andere bieten für ihre Serversysteme proprietäre oder standardisierte LoM-Lösungen an.

Intelligent Platform Management Interface (IPMI) – offener, herstellerunabhängiger Standard für das OoB-Management

Für das Lights out Management existiert mit dem Intelligent Platform Management Interface (IPMI) ein offener und herstellerunabhängiger Standard. Er definiert Schnittstellen der Server-Hard- und -Firmware, über die sich die Server mit Hilfe eines Baseboard Management Controllers (BMC) aus der Ferne überwachen und administrieren lassen.

Entwickelt wurde IPMI von den Herstellern Intel, HP, NEC und Dell. Die erste Version IPMI v1.0 erschien 1998. Die neueste Version IPMI v2.0 Revision 1.1 Errata 7 stammt aus dem Jahr 2015.

Ebenfalls 2015 wurde mit Redfish Scalable Platforms Management API (kurz: Redfish) ein Nachfolgestandard für IPMI veröffentlicht. Der Standard ist skalierbarer und sicherer als IPMI und soll IPMI-over-LAN langfristig ersetzen. Veröffentlicht wurde Redfish von der Scalable Platforms Management Forum (SPMF) Arbeitsgruppe der Distributed Management Task Force. Redfish basiert auf HTTPS, REST, JSON und OData.

Sicherheitsaspekte des Out-of-Band Managements

Das Out-of-Band Management eignet sich hervorragend für die Fernüberwachung und Fernwartung und bietet für Administratoren eine große Arbeitserleichterung. Gleichzeitig stellt es aber ein zusätzliches Risiko für die Sicherheit der zu managenden Systeme dar. Hat jemand Zugriff auf das OoB-Management, kann er sämtliche auf Betriebssystemebene getroffenen Sicherheitsmaßnahmen eines IT-Systems umgehen. Da das OoB-Management betriebssystemunabhängig arbeitet, kann das zu managende System Zugriffe kaum erkennen oder verhindern. Angreifer mit Zugang zum Out-of-Band Management haben quasi physischen Zugang zum IT-System. Umso wichtiger ist es, das OoB-Management und die OoB-Management-Verbindungen gegenüber unbefugten Zugriffen abzusichern. Dementsprechend ist es unverzichtbar, Netzwerksicherheitsfunktionen und Identity- und Access-Management-Funktionen in das Out-of-Band Management zu implementieren.

Die Vorteile des Out-of-Band Managements

Als Vorteile des Out-of-Band Managements lassen sich nennen:

• durchgängiger administrativer Fernzugriff auf kritische Komponenten wie Server, Switches, Router, Firewalls und andere

• unabhängig vom Betriebszustand des zu überwachenden Geräts oder der primären Datennetzverbindung

• keine lokale Präsenz notwendig (weniger Aufwand und Kosten für Reisen und Vor-Ort-Einsätze)

• direkter Zugriff auf Hardwarefunktionen oder -parameter (Funktionalität vergleichbar mit physischem Zugriff)

• Neustarten und Herunterfahren von Systemen aus der Ferne möglich

• zentrale Administration verteilt installierter IT-Systeme und Netzkomponenten möglich

• viele Managementaufgaben automatisierbar

• einfache Inventarisierung der Hardware und IT-Systeme

• verbessert die Verfügbarkeit der IT-Infrastruktur

• verbessert die Zugriffsoptionen in Notfallsituationen

(ID:46832088)