Error unable to establish ipmi v2 rmcp session

./ipmitool -vvv -I lanplus -H xx.xx.xx.xx -U ipmiadmin -L operator chassis selftest

Password:

>> Sending IPMI command payload

>> netfn : 0x06

>> command : 0x38

>> data : 0x8e 0x03

BUILDING A v1.5 COMMAND

>> IPMI Request Session Header

>> Authtype : NONE

>> Sequence : 0x00000000

>> Session ID : 0x00000000

>> IPMI Request Message Header

>> Rs Addr : 20

>> NetFn : 06

>> Rs LUN : 0

>> Rq Addr : 81

>> Rq Seq : 00

>> Rq Lun : 0

>> Command : 38

<< IPMI Response Session Header

<< Authtype : NONE

<< Payload type : IPMI (0)

<< Session ID : 0x00000000

<< Sequence : 0x00000000

<< IPMI Msg/Payload Length : 16

<< IPMI Response Message Header

<< Rq Addr : 81

<< NetFn : 07

<< Rq LUN : 0

<< Rs Addr : 20

<< Rq Seq : 00

<< Rs Lun : 0

<< Command : 38

<< Compl Code : 0x00

>> SENDING AN OPEN SESSION REQUEST

<< Message tag : 0x00

<< RMCP+ status : no errors

<< Maximum privilege level : operator

<< Console Session ID : 0xa0a2a3a4

<< BMC Session ID : 0x00000006

<< Negotiated authenticatin algorithm : hmac_sha1

<< Negotiated integrity algorithm : hmac_sha1_96

<< Negotiated encryption algorithm : aes_cbc_128

>> Console generated random number (16 bytes)

4a 5b 3a 62 04 29 ab 20 6b ab d4 0d 3f d0 81 cd

>> SENDING A RAKP 1 MESSAGE

<< Message tag : 0x00

<< RMCP+ status : no errors

<< Console Session ID : 0xa0a2a3a4

<< BMC random number : 0xa7a2ecf3ac9bb13ba7e23bf7369bb13b

<< BMC GUID : 0x42bc5ee4a4df4fc8814ebf196cad60dd

<< Key exchange auth code [sha1] : 0xb34b1d34e5cd45eb6b99cb4a7b26171661e76b83

bmc_rand (16 bytes)

a7 a2 ec f3 ac 9b b1 3b a7 e2 3b f7 36 9b b1 3b

>> rakp2 mac input buffer (67 bytes)

a4 a3 a2 a0 06 00 00 00 4a 5b 3a 62 04 29 ab 20

6b ab d4 0d 3f d0 81 cd a7 a2 ec f3 ac 9b b1 3b

a7 e2 3b f7 36 9b b1 3b 42 bc 5e e4 a4 df 4f c8

81 4e bf 19 6c ad 60 dd 13 09 69 70 6d 69 61 64

6d 69 6e

>> rakp2 mac key (20 bytes)

6d 33 28 74 63 59 68 2d 47 4c 38 2a 21 3b 5f 00

00 00 00 00

>> rakp2 mac as computed by the remote console (20 bytes)

8a 31 72 ba 7d 84 f5 40 c3 41 f5 80 ab 00 6f 44

c7 fb e4 31

> RAKP 2 HMAC is invalid

Error: Unable to establish IPMI v2 / RMCP+ session

[{«Line of Business»:{«code»:»LOB45″,»label»:»Automation»},»Business Unit»:{«code»:»BU053″,»label»:»Cloud & Data Platform»},»Product»:{«code»:»SS9H2Y»,»label»:»IBM DataPower Gateway»},»ARM Category»:[{«code»:»a8m50000000CduQAAS»,»label»:»DataPower->MGMT (MM)->IPMI»}],»ARM Case Number»:»TS003953838″,»Platform»:[{«code»:»PF025″,»label»:»Platform Independent»}],»Version»:»All Version(s)»}]

Using master https://github.com/openbmc/openbmc/commit/3b76fc97c12c5ba670e0f2802b777589637daf05
on Romulus, I’m Unable to establish IPMI v2 / RMCP+ session

ipmitool -I lanplus -H 192.168.3.31 -P 0penBmc mc info
Error in open session response message : invalid authentication algorithm

Error: Unable to establish IPMI v2 / RMCP+ session
$ ipmitool -I lanplus -H 192.168.3.31 -U root -P 0penBmc mc info
Error in open session response message : invalid authentication algorithm

Error: Unable to establish IPMI v2 / RMCP+ session
$ ipmitool -I lanplus -H 192.168.3.31 -U root -P 0penBmc mc info -vvv

Sending IPMI command payload
netfn : 0x06
command : 0x38
data : 0x8e 0x04

BUILDING A v1.5 COMMAND

IPMI Request Session Header
Authtype : NONE
Sequence : 0x00000000
Session ID : 0x00000000
IPMI Request Message Header
Rs Addr : 20
NetFn : 06
Rs LUN : 0
Rq Addr : 81
Rq Seq : 00
Rq Lun : 0
Command : 38
<< IPMI Response Session Header
<< Authtype : NONE
<< Payload type : IPMI (0)
<< Session ID : 0x00000000
<< Sequence : 0x00000000
<< IPMI Msg/Payload Length : 16
<< IPMI Response Message Header
<< Rq Addr : 81
<< NetFn : 07
<< Rq LUN : 0
<< Rs Addr : 20
<< Rq Seq : 00
<< Rs Lun : 0
<< Command : 38
<< Compl Code : 0x00
SENDING AN OPEN SESSION REQUEST

<<OPEN SESSION RESPONSE
<< Message tag : 0x00
<< RMCP+ status : invalid authentication algorithm
<< Maximum privilege level : Unknown (0x00)
<< Console Session ID : 0xa0a2a3a4
Error in open session response message : invalid authentication algorithm

Error: Unable to establish IPMI v2 / RMCP+ session

on board use netstat tool list info as following:
root@romulus:/etc# netstat -nlu
Active Internet connections (only servers)
…….
udp 0 0 :::623 :::*
udp 0 0 :::427 :::*

/etc/group info:
root@romulus:/etc# cat /etc/group
root❌0:
daemon❌1:
bin❌2:
sys❌3:
adm❌4:
tty❌5:
disk❌6:
lp❌7:
mail❌8:
news❌9:
uucp❌10:
man❌12:
proxy❌13:
kmem❌15:
input❌19:
dialout❌20:
fax❌21:
voice❌22:
cdrom❌24:
floppy❌25:
tape❌26:
sudo❌27:
audio❌29:
dip❌30:
www-data❌33:
backup❌34:
operator❌37:
list❌38:
irc❌39:
src❌40:
gnats❌41:
shadow❌42:
utmp❌43:
video❌44:
sasl❌45:
plugdev❌46:
kvm❌47:
staff❌50:
games❌60:
shutdown❌70:
users❌100:
bmcweb❌991:
systemd-bus-proxy❌992:
systemd-timesync❌993:
systemd-resolve❌994:
systemd-network❌995:
systemd-coredump❌996:
systemd-journal❌997:
avahi❌998:
messagebus❌999:
priv-admin❌1000:root
priv-operator❌1001:
priv-user❌1002:
web❌1003:root
redfish❌1004:root
ipmi❌1005:root
nogroup❌65534:
wheel❌990:
render❌989:
nobody❌988:

root@romulus:/etc# uname -a
Linux romulus 5.4.39-30079d6 #1 Sun May 31 11:05:16 UTC 2020 armv6l GNU/Linux

root@romulus:/etc# cat os-release
ID=openbmc-romulus
NAME=»Phosphor OpenBMC (Phosphor OpenBMC Project Reference Distro)»
VERSION=»2.9.0-dev»
VERSION_ID=2.9.0-dev-88-g3b76fc9-dirty
PRETTY_NAME=»Phosphor OpenBMC (Phosphor OpenBMC Project Reference Distro) 2.9.0-dev»
BUILD_ID=»2.9.0-dev»
OPENBMC_TARGET_MACHINE=»romulus»

ipmi: Unable to establish IPMI v2 / RMCP+ session #3666

ipmitool -I lanplus -H 192.168.3.31 -P 0penBmc mc info
Error in open session response message : invalid authentication algorithm

Error: Unable to establish IPMI v2 / RMCP+ session
$ ipmitool -I lanplus -H 192.168.3.31 -U root -P 0penBmc mc info
Error in open session response message : invalid authentication algorithm

Error: Unable to establish IPMI v2 / RMCP+ session
$ ipmitool -I lanplus -H 192.168.3.31 -U root -P 0penBmc mc info -vvv

Sending IPMI command payload
netfn : 0x06
command : 0x38
data : 0x8e 0x04

BUILDING A v1.5 COMMAND

IPMI Request Session Header
Authtype : NONE
Sequence : 0x00000000
Session ID : 0x00000000
IPMI Request Message Header
Rs Addr : 20
NetFn : 06
Rs LUN : 0
Rq Addr : 81
Rq Seq : 00
Rq Lun : 0
Command : 38
❌ 0:
daemon ❌ 1:
bin ❌ 2:
sys ❌ 3:
adm ❌ 4:
tty ❌ 5:
disk ❌ 6:
lp ❌ 7:
mail ❌ 8:
news ❌ 9:
uucp ❌ 10:
man ❌ 12:
proxy ❌ 13:
kmem ❌ 15:
input ❌ 19:
dialout ❌ 20:
fax ❌ 21:
voice ❌ 22:
cdrom ❌ 24:
floppy ❌ 25:
tape ❌ 26:
sudo ❌ 27:
audio ❌ 29:
dip ❌ 30:
www-data ❌ 33:
backup ❌ 34:
operator ❌ 37:
list ❌ 38:
irc ❌ 39:
src ❌ 40:
gnats ❌ 41:
shadow ❌ 42:
utmp ❌ 43:
video ❌ 44:
sasl ❌ 45:
plugdev ❌ 46:
kvm ❌ 47:
staff ❌ 50:
games ❌ 60:
shutdown ❌ 70:
users ❌ 100:
bmcweb ❌ 991:
systemd-bus-proxy ❌ 992:
systemd-timesync ❌ 993:
systemd-resolve ❌ 994:
systemd-network ❌ 995:
systemd-coredump ❌ 996:
systemd-journal ❌ 997:
avahi ❌ 998:
messagebus ❌ 999:
priv-admin ❌ 1000:root
priv-operator ❌ 1001:
priv-user ❌ 1002:
web ❌ 1003:root
redfish ❌ 1004:root
ipmi ❌ 1005:root
nogroup ❌ 65534:
wheel ❌ 990:
render ❌ 989:
nobody ❌ 988:

root@romulus:/etc# uname -a
Linux romulus 5.4.39-30079d6 #1 Sun May 31 11:05:16 UTC 2020 armv6l GNU/Linux

root@romulus:/etc# cat os-release
ID=openbmc-romulus
NAME=»Phosphor OpenBMC (Phosphor OpenBMC Project Reference Distro)»
VERSION=»2.9.0-dev»
VERSION_ID=2.9.0-dev-88-g3b76fc9-dirty
PRETTY_NAME=»Phosphor OpenBMC (Phosphor OpenBMC Project Reference Distro) 2.9.0-dev»
BUILD_ID=»2.9.0-dev»
OPENBMC_TARGET_MACHINE=»romulus»

The text was updated successfully, but these errors were encountered:

Источник

ipmi: Unable to establish IPMI v2 / RMCP+ session #3579

Using master (e4f02c2) on Romulus, I’m unable to talk IPMI:

The text was updated successfully, but these errors were encountered:

A machine running a much older firmware is listening on 623:

I am able to ssh to the machine, so network is working.

I stopped the service and started netipmid on the command line. There is no further output:

from my machine I am unable to connect to the ipmi port with ipmitool or nc .

A connection is being established. I ran netipmid under strace and saw traffic. I was also able to capture the dbus traffic, which is attached to this comment.
dbus-traffic.txt

Most likely it’s due to the permission issue.
An old BMC has /etc/group in rwfs, and it’s preserved during code update.
After updating to a new BMC that enables user management, the preserved /etc/group cause the root user has unexpected, in this case, it’s missing the ipmi group.

The new code should really fix this issue, otherwise, the end user will have to do factory reset to get it working.

I confirmed that the root user was only a member of the root group. I removed the copy of /etc/groups from the rwfs ( rm /run/initramfs/rw/cow/etc/groups* ) and rebooted, and ipmitool worked.

Could the ipmi daemon have added a warning to log that access was denied due to permission failure? That would have made this easier to debug.

We should also look at fixing the issue of someone upgrading a BMC from non-group to group as Lei said.

This issue has been automatically marked as stale because no activity has occurred in the last 6 months. It will be closed if no activity occurs in the next 30 days. If this issue should not be closed please add a comment. Thank you for your understanding and contributions.

This issue has been closed because no activity has occurred in the last 7 months. Please reopen if this issue should not have been closed. Thank you for your contributions.

© 2023 GitHub, Inc.

You can’t perform that action at this time.

You signed in with another tab or window. Reload to refresh your session. You signed out in another tab or window. Reload to refresh your session.

Источник

Ошибка: невозможно установить сеанс IPMI v2 / RMCP +

Я установил ipmitool 1.8.18 на выделенный сервер CentOS7.2, я могу использовать его для проверки собственных данных ipmi:

но я хочу проверить статус другого адреса ipmi, я получаю эту ошибку:

на управляемом сервере я использую ipmitool, проверил lan :

РЕДАКТИРОВАТЬ-01

Я использую nmap , чтобы получить информацию ниже:

Похоже, это ошибка аутентификации. Обратите внимание, что RMCP + поддерживает, помимо различных расширений аутентификации, шифрование передачи данных.

Я также пробовал -I lan .

@ U880D См. Мой отредактированный пост, братан.

@ U880D Когда я использую -H 172.16.22.237 -U root -P mypassword , в качестве пароля используется исходный пароль без шифрования. неужели это причина?

Может быть, есть настройка шифрования RMCP +. Связь осуществляется по UDP 623 (если я прав). У меня пока недостаточно информации о вашем окружении. Однако в прошлом я много читал в списке рассылки ipmitool-devel, посвященном инструментам, и обнаружил, что это хороший источник справочной информации.

какая информация вам нужна?

Из клиента, где установлен ipmitool , вы можете начать устранение неполадок с nmap -p 623 -sU -P0 172.16.22.237 . nc можно использовать и для тестирования соединения. Убедившись, что соединение возможно, продолжайте работу с ipmitool -H 172.16.22.237 -P mypassword -I lanplus chassis status -v без имени пользователя / учетной записи, поскольку это учетная запись пользователя по умолчанию.

Смотрите мой отредактированный пост, братан.

-U admin, и вы должны знать правильный пароль администратора. Как только вы в этом уверены, вам нужно попробовать от -C0 до -C3 для разных наборов шифров, как сказано: «Cipher Suite Priv Max: aaaaXXaaaXXaaXX».

Я также сталкиваюсь с этой же проблемой .. Что-нибудь нужно обновить со стороны сервера или заблокировать любой сетевой порт? @aircraft — Вы решили эту проблему?

Чтобы решить проблему с ipmi, необходимо изменить IPMI over LAN setting с Disabled на **Enabled** в iDRAC / iLO.

После включения IPMI по локальной сети команда ниже отображает состояние питания.

Сбросьте пароль ipmi по умолчанию на тот же или другой с помощью команды racadm, которая решит проблему.

для установки racadm вам нужно несколько локальных пакетов,

Как указано выше, проблема, скорее всего, в том, что IPMI в локальной сети выключен даже при включенном DRAC.

Вы можете исправить это, перезагрузившись и войдя в настройки DRAC, или вы можете использовать следующую команду на серверной ОС в OpenManage Server Administration (OMSA)

(РЕШЕНО для машины Dell) У меня была точно такая же проблема на машине Dell Poweredge R430 после замены системной материнской платы: хотя мои учетные данные были восстановлены на новой плате IDRAC из резервной копии флеш-памяти корпуса, и, несмотря на то, что мои учетные данные все еще позволяли мне войти в веб-интерфейс IDRAC, я больше не мог взаимодействовать с платой IDRAC через интерфейс IPMIv2 / lanplus / SOL , сталкивается с той же проблемой: «Ошибка: невозможно установить сеанс IPMI v2 / RMCP +».

Для меня решение заключалось в том, как предложил Рупешрамс здесь https://stackoverflow.com/a/55615668/13646401, «сбросить пароль ipmi по умолчанию на старый такой же» («то же самое», потому что все системные инструменты были жестко закодированы со старыми учетными данными) с IDRAC Веб интерфейс следующим образом: В вашем браузере введите (статический) IP-адрес IDRAC: это должно открыть веб-сайт https. Затем :

Почему: я понял, что пароли были хешированы / зашифрованы на моей предыдущей материнской плате с помощью ключа, специфичного для этой старой материнской платы. Из-за замены материнской платы и восстановления базы данных пользователей, хэшированной с помощью неизвестного ключа, мои учетные данные стали недействительными, по крайней мере, для использования ipmitool и интерфейса IPMIv2. Что меня сбивало с толку, но это, наконец, помогло мне решить проблему, так это то, что старые учетные данные все еще действовали для входа в веб-интерфейс IDRAC.

СОВЕТ: полезны все советы по проверке доступности службы IPMIv2 / UDP 623 с помощью nmap или по «активации SOL (Serial Over Lan)»: «Активировать SOL» можно легко выполнить через веб-интерфейс IDRAC:

Каждый совет «разблокировать» учетные данные через ipmitool различными командами просто не может и не должен работать. Но если веб-интерфейс недоступен, вам необходимо получить доступ к IDRAC через все, что вы можете, кроме ipmitools, по крайней мере, в случае машины Dell (сначала попробуйте BIOS «/ IDRAC Settings / User configuration» или ssh, telnet или что-нибудь еще, например RACADM, или даже настоящий последовательный интерфейс с кабелем db9 и терминалом tty (например, ПК с гипертерминалом или любым другим программным эмулятором tty).

Источник

Ошибки и проблемы серверов большой тройки: часть вторая. HP

Мы продолжаем цикл публикаций о проблемах, с которыми сталкиваемся при подготовке refurbished-серверов. Ранее мы писали о серверах DELL, на этот раз речь пойдёт о продукции HP. Все эти проблемы решались нашими инженерами, и это лишь малая часть сюрпризов, которые могут преподнести серверы этого вендора. Однако, если вы самостоятельно занимаетесь обслуживанием серверов, то, возможно, наш опыт может вам пригодиться.

Оперативная память

При апгрейде серверов HP (да и не только) часто возникают трудности с подбором оперативной памяти. Как показывает практика, даже опытные сисадмины и инженеры не всегда сведущи в этом вопросе. Если по наитию устанавливать модули памяти, то, вероятнее всего, сервер просто не запустится. При неправильной конфигурации RAM возможен и более мягкий вариант: машина работает, но не с максимальной производительностью.

Для многопроцессорных серверов HP, как правило, необходимо использовать только регистровую память c функцией коррекции ошибок (ECC RDIMM), а для однопроцессорных — небуферизированную с ECC (UDIMM). Хотя официальные мануалы гласят, что UDIMM можно ставить и в многопроцессорные серверы, делать этого не стоит по нескольким причинам:

1. Ограничение по объему памяти. Как правило это 24-32 Гб на CPU.
2. Планки UDIMM, как правило, должны быть «родные» HP, иначе могут происходить самопроизвольные перезагрузки сервера. Это явление зафиксировано как минимум на трёх моделях: DL380p Gen8, DL360e Gen8, ML310e Gen8v2. В то же время, можно без проблем ставить RDIMM-память любого вендора.

Преимущество UDIMM памяти в том, что она работает несколько быстрее RDIMM, в которой присутствует буферная операционная задержка. Однако, при правильной конфигурации памяти в многоканальных системах RDIMM может превосходить небуферизированную память в производительности. Нельзя одновременно устанавливать RDIMM и UDIMM-модули.

Отличить UDIMM-память от RDIMM можно по наклейке. Например, если написано 12800R, то это регистровая память, если 12800E, то небуферизированная с ECC.

При установке RDIMM следует отдавать предпочтение одно- и двухранговой памяти (1rx4, 2rx4). В отличие от тех же IBM (Lenovo), серверы HP чувствительны к конфигурации памяти. При установке модулей рекомендуется равномерно распределять память как между процессорами сервера, так и между каналами. В противном случае сервер может просто не включиться, или его производительность окажется сниженной. Вольтаж планок в серверах HP не принципиален, но всё равно старайтесь устанавливать одинаковые по вольтажу планки.

Информация об оптимальном размещении RAM в DIMM-слотах всегда есть под крышкой сервера и в официальном мануале.

Обратите внимание, что серверы HP до Gen9 не поддерживают память DDR4. Поэтому сначала уточните, какая память совместима с вашей моделью. Для подбора правильной конфигурации можно воспользоваться фирменным онлайн-конфигуратором.

Когда речь заходит об апгрейде или ремонте серверов, то возникает вечный вопрос о производителе комплектующих. Кто-то использует исключительно оригинальные компоненты, не считаясь с расходами, а кто-то подбирает совместимые комплектующие от сторонних производителей. Мы считаем, что здесь нужно учитывать:

• Степень совместимости сторонних комплектующих.
• Разницу в стоимости по сравнению с оригинальными.
• Информацию о надёжности сторонних комплектующих.
• Уровень и допустимость рисков при использовании сторонних комплектующих.

В серверах HP можно без опасений использовать память разных производителей. Главное, чтобы модули имели одинаковые технические параметры. Например, если в сервере уже установлено несколько модулей 4Gb 1Rx4 PC3L-10600R, наращивать объём нужно с помощью памяти с такими-же параметрами. А производитель может быть любым.

Накопители

При выборе новых накопителей для сервера ошибиться труднее, чем при изменении конфигурации памяти. Но всё же здесь есть свои подводные камни и, отчасти, мифы.

Бытует мнение, что для серверов HP нужно покупать накопители исключительно того же производителя. Это обосновывают тем, что все накопители с логотипом HP имеют фирменную прошивку. В этом случае «родные» диски существенно дороже. И, честно, говоря, это сомнительное удовольствие переплачивать в 2-2.5 раза. Однако сама корпорация Hewlett-Packard не производит накопители, она заказывает их у других вендоров. И как показывает опыт, во многих моделях серверов HP вполне можно использовать продукцию HGST, Toshiba, Seagate, Western Digital.

При выборе накопителей уточните, какие накопители поддерживает Raid-контроллер вашего сервера. Некоторые контроллеры не поддерживают SAS-накопители, также могут не поддерживаться накопители объёмом более 2-3 Тб.

Если сервер не видит сторонний накопитель при его подключении, то чаще всего это связано с неисправностью самого накопителя или Raid-контроллера. Ещё одна немаловажная деталь: ни в коем случае не ставьте в enterprise-серверы диски для десктопных систем. Судя по нашему опыту, можно выделить несколько наиболее популярных моделей «неродных» дисков, которые без проблем будут работать на серверах от G7 до Gen9:

• Seagate Savvio (SAS)
• Seagate Constellation (SATA/SAS)
• Seagate Enterprise Capacity (SATA/SAS)
  • Seagate Enterprise Performance (SATA)
  • WD VelociRaptor (SATA)

Процессоры

При замене процессоров на более мощные необходимо выяснить в спецификации сервера, какие модели процессоров он поддерживает. Не забывайте учитывать при этом поддерживаемое TDP радиатора и самого CPU. В большинстве случаев это помогает избежать возможных проблем.

Однако при наращивании количества процессоров ни в коем случае нельзя пренебрегать установкой кулеров на каждый из них, полагаясь на кондиционирование серверного помещения. Каждый вентилятор охлаждает определённые зоны на материнской плате. Без штатного охлаждения многократно повышается риск временного перегрева процессоров и оперативной памяти, вплоть до выхода сервера из строя вследствие расплавления или выгорания электронных компонентов.

После установки в сервер двух процессоров на порядок мощнее одного стокового он может не включиться. Например, в нашем случае это было с сервером HP ML350p Gen8. Причина в том, что у некоторых моделей на материнской плате есть предохранитель, блокирующий подачу питания, если требуемое напряжение превышает некий базовый порог. Если эта блокировка срабатывает, то единственным вариантом остаётся только замена материнской платы. Если сервер не на гарантии, то это может влететь в копеечку, так как HP славится немаленькими ценами за свои железки.

Однако есть методика обхода этой защиты. Допустим, вместо одного или двух процессоров начального уровня E5-2609 (v1/v2/v3) нужно установить два производительных E5-2690 (v1/v2/v3). Чтобы избежать проблем при апгрейде лучше всего поступить так:

1. Обновить всё ПО до последних версий (iLO, BIOS, AHS и т.д.)
2. Дождаться полной инициализации сервера с обоими установленными E5-2609.
3. Установить два процессора «промежуточного» уровня, например, E5-2640. Дождаться окончания POST-проверки.
4. И только после этого установить желаемые E5-2690.

Не забывайте при этом, что всё firmware должны быть последних версий.

Intelligent Provisioning и обновление сервера

В серверах HP ProLiant Gen8 и Gen9 используется мощный инструмент Intelligent Provisioning, позволяющий сконфигурировать сервер, обновить прошивки некоторых компонентов и контролировать «железную» часть машины. Иногда при попытке обновления выдаётся ошибка о невозможности подключения к базе данных HP. Причина заключается в устаревшей версии самой Intelligent Provisioning. Обновить её можно следующим образом:

1. Для Gen8 скачайте образ Intelligent Provisioning recovery media версии 1.62b, а для Gen9 — самую свежую версию.
2. Смонтируйте образ с помощью iLO или запишите на CD/DVD. Не записывайте образ на флешку, при запуске с неё Intelligent Provisioning не обновится.
3. При загрузке сервера выберите опцию One Time Boot to CD-ROM.
4. Когда сервер загрузится с диска (или образа), то в случае с Gen9 выберите в меню пункт Interactive HP Intelligent Provisioning recovery media. На сервере Gen8 обновление начнётся автоматически.
5. На следующем экране нажмите кнопку Reinstall Intelligent Provisioning, дождитесь завершения и перезагрузитесь штатно (только для Gen9).

Многие владельцы серверов поколений Gen8 и 9 пытаются с помощью Intelligent Provisioning обновить BIOS. Но этот инструмент позволяет обновлять лишь прошивки iLO, сетевой карты (Ethernet) и в некоторых случаях — Raid-контроллера.

Есть два варианта полного обновления сервера.

1. Вручную скачать и установить все необходимые драйверы и прошивки для вашей модели сервера. Этот вариант удобен, если сервер один и на нём уже есть ОС.
2. Если серверов несколько и на них развёрнута Windows, то целесообразнее воспользоваться сервис-паком Service Pack for ProLiant (SPP).
   • Нужно скачать образ сервис-пака.
   • Установить программу HP USB Key Utility for Windows.
   • С помощью этой программы развёртываем образ сервис-пака на флешке объёмом не меньше 8 Гб.
   • Загружаем сервер с флешки. Рекомендуем выбрать Interactive Firmware Update, так можно контролировать процесс обновления.
   • После загрузки клиента выбираем Update Firmware. Когда оборудование будет проверено, система предложит список обновлений, которые будут установлены после нажатия на кнопку Deploy.
   • После завершения обновления необходимо перезагрузиться. Сервер несколько раз включится и выключится, устанавливая прошивки, после чего произойдёт штатная загрузка.

Не определяются сетевые адаптеры

Если обновить драйверы Emulex для сетевых адаптеров с версии 3.х.х сразу до версии 10.х.х, то при перезагрузке сетевые адаптеры могут перестать определяться. Для предотвращения этой проблемы рекомендуется сначала установить Emulex 4.х.х, а затем самую свежую версию. Избежать этой ошибки можно иначе: сначала обновиться с образа OneConnect, а затем с Service Pack for ProLiant. А если адаптеры уже перестали определяться, то просто обновитесь с образа OneConnect.

«Особенность» серверов HP DL360p Gen8

Изначально модель данной серии была рассчитана на процессоры E5-26xx первой ревизии, но в 2013 году Intel выпустила вторую итерацию — V2. Вендоры, в том числе HP, стали обновлять линейки. Dell и IBM не стали инженерно менять базу, лишь материнские платы стали носить другой парт номер. А в HP пошли другим путём. В итоге на рынке есть две модели HP DL360p, ничем не отличающиеся, за исключением крепежа радиаторов. В первой версии крепление рычажное, во второй — винтовое.

По сути, мелочь. Однако, может привезти к дополнительным расходам. Поэтому, если вы решите установить второй процессор, обязательно узнайте ревизию своего сервера (по серийнику, либо заглянув под крышку).
Парт номер старого рычажного радиатора — 654770-B21.
Парт номер нового винтового радиатора — 712731-B21.

Недостаточное количество блоков питания

Некоторые владельцы серверов HР с х4-бэкплейнами резервного питания (RPS), например, ML350 Gen9, недоумевают, почему для запуска машины требуется подключить не менее трёх блоков питания, чья суммарная мощность существенно превышает максимальное текущее потребление сервера.

Дело в том, что в ML350 Gen9 может быть установлено до 9 карт PCI-E и до 6 HDD-бэкплейнов (либо, к примеру, внутренний стример + 5 HDD-бэкплейнов). А всё это может потреблять очень много ватт. Бэкплейны RPS позволяют обеспечить избыточное питание сервера на случай резкого повышения нагрузки, а значит и потребления энергии. Подключение блоков питания к бэкплейну осуществляется по схеме N-1, где N — общее количество разъёмов. Если вам необходимо избыточное питание сервера, то блоки питания должны быть подключены ко всем разъёмам бэкплейна. Если избыточное питание не требуется, то для запуска сервера с х4-бэкплейном необходимо три блока питания, а с х2-бэкплейном — один блок.

Ошибка управления через IPMI

IPMI может использоваться для удалённого управления серверами. Возможны ситуации, когда не получается установить соединение со службой IPMI сервера:

ipmitool -I lanplus -H $ip -U $user -P $pass
Error: Unable to establish IPMI v2 / RMCP+ session

Причин может быть две:

1. Служба отключена ради повышения безопасности: у IPMI v.2 есть потенциальная RAKP-уязвимость (Remote Password Hash Vulnerability). Нужно вновь включить службу.
2. Используемый аккаунт не имеет прав администратора. В этом случае аккаунту нужно предоставить соответствующие права.

Хаотичная перезагрузка сервера

Эта проблема встречается редко, и выражается в хаотичной самостоятельной перезагрузке сервера. В логах ОС ошибок нет, логах iLO тоже обычно ничего критичного. В подобных ситуациях обычно не помогает обновление ПО, замена кабелей питания и ИБП. Проблема решается сменой настроек управления питанием в БИОСе сервера. Вкратце, отключаются все механизмы снижения тактовой частоты процессора:

• Power Management Options —> HP Power Profile —> Maximum Performance
• Power Management Options —> HP Power Regulator —> HP Static High Performance Mode
• Power Management Options —> Advanced Power Management Options —> Collaborative Power Control —> Disabled
• Power Management Options —> Advanced Power Management Options —> Minimum Processor Idle Power Core State —> No C-States
• Power Management Options —> Advanced Power Management Options —> Minimum Processor Idle Power Package State —> No Package State

Сбой после выключения сервера

Мы сталкивались с несколькими случаями, когда при включении сервера светодиоды горят, но видеосигнал отсутствует. Машина не пингуется, iLO не отвечает, хотя по светодиодам отмечается активность iLO и Ethernet. Клавиатура и мышь не работают. Чаще всего такое случалось после штатного отключения сервера, без каких-либо манипуляций, без сбоев питания. Подобный сбой отмечался на серверах поколений от Gen5 до Gen8.

Точного решения этой проблемы, как и её причины, обнаружить пока не удалось. В одном случае помог перевод всех переключателей “System Maintenance Switch” в положение ON, а через некоторое время обратно в OFF. Однажды сервер ожил после того, как поменяли местами модули памяти. К сожалению, в нескольких случаях так и не удалось восстановить серверы.

Сильный шум системы охлаждения

Эта проблема чаще всего проявлялась в серверах ML350e Gen8. Сразу после включения сервера вентиляторы выходят на высокие обороты. Скорость вращения не снижается при любой нагрузке. В результате создаётся постоянный и высокий уровень шума.

В ряде случаев проблема решалась удалением PCI-E карт расширения: сетевых и USB-хабов. Но эта проблема встречалась и в серверах без установленных плат расширения. Несколько раз помог демонтаж и повторная установка всех вентиляторов и их корзин, с переподключением проводов питания. Однажды вентиляторы вернулись к нормальным оборотам после обновления прошивок и сброса iLO. Также был случай, когда в БИОСе изменилась настройка управления охлаждением, и оказалось достаточно поменять значение с Increased на Optimal Cooling.

Сброс конфигурации в серверах Gen8

Напоследок хотим рассказать не об ошибке, а о фиче серверов HP поколения Gen8 и Gen9: на материнских платах отсутствуют привычные джамперы сброса конфигурации. Если вам нужно воспользоваться сбросом, то это можно сделать следующим образом:

1. Выключите сервер и выдерните шнур питания.
2. Найдите на материнской плате группу маленьких переключателей “System Maintenance Switch” (см. изображение на внутренней стороне крышки сервера).
3. С помощью тонкого инструмента — ручки, шила, иглы и т.п. — переведите переключатель №6 в положение ON.
4. Подключите к серверу шнур питания.
5. Если на экране появилось изображение и начался процесс сброса, дождитесь завершения процедуры NVRAM clear и перезапуска сервера. Если после подключения шнура питания на экране долго ничего не отображается, выключите сервер.
6. Выключите сервер, вытащите шнур питания.
7. Верните переключатель № 6 в положение OFF.

Установка второго рейд-контроллера в серверы Gen8 и Gen9

При установке второго рейд-контроллера (например, один рейд под системы, второй под данные) сервер может зависать на стадии загрузки ОС или не проходить POST. Чаще всего это происходит из-за неправильной boot-очереди.

Для решения проблемы нужно сделать следующую конфигурацию:

• Рейд1 (например, встроенный P420i).
• Рейд2 (софтовый или embedded-рейд, например B120i, P222i).
• Рейд3 (аппаратный P420).

Преимущества серверов HP

Несправедливо было бы рассказывать только о проблемах серверов HP, ведь недаром продукция этого производителя пользуется высокой популярностью. Серверы серии Proliant считаются одними из лучших в своём классе, и уж точно запомнятся своей надёжностью, нежели отвалившимся iLO и несколько завышенной ценой. Именно HP зачастую задаёт планку в функциональности и отказоустойчивости серверов, предлагая нестандартные, но эффективные инженерные решения.

Вот лишь несколько преимуществ серверов HP:

• Удобство использования благодаря фирменным фичам: iLO, Intelligent provisioning, Active Health System.
• Удачная линейка бюджетных и высокопроизводительных моделей.
• Ограниченная номенклатура «железа» (хотя для кого-то это недостаток) для каждой модели позволяет избежать нерациональных затрат при будущем апгрейде.
• Отличная техподдержка.
• Одна из лучших реализаций обновления встроенного ПО.
• В Gen8 и Gen9 — лучшая реализация диагностических обозначений на салазках под HDD.

Если вы сталкивались с какими-то ошибками в серверах HP, но в конечном счёте победили, то делитесь в комментариях. Спасибо.

Источник

Introduction

This document provides various symptoms and error messages that might appear when you configure Lights-Out-Management (LOM), and how to troubleshoot them step by step. LOM allows you to use an out-of-band Serial over LAN (SOL) management connection in order to remotely monitor or manage appliances without logging into the web interface of the appliance. You can perform limited tasks, such as view the chassis serial number or monitor such conditions as fan speed and temperature.

Prerequisites

Requirements

Cisco recommends that you have knowledge of FireSIGHT System and LOM.

Components Used

The information in this document is based on these hardware and software versions:

• FireSIGHT Management Center
• FirePOWER 7000 Series Appliances, 8000 Series Appliances
• Software Version 5.2 or later

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Unable to Connect to LOM

You might be unable to connect to a FireSIGHT Management Center or FirePOWER Appliance with LOM. The connection requests might fail with these error messages:

Error: Unable to establish IPMI v2 / RMCP+ session Error

Info: cannot activate SOL payload with encryption

The next section describes how to verify a LOM configuration and connections to the LOM interface.

Verify Configuration



Step 1: Verify and confirm that LOM is enabled and uses a different IP address than the management interface.

Step 2: Verify with the Network team that UDP port 623 is open bidirectionally, and that the routes are configured correctly. Since LOM works over a UDP port, you cannot Telnet to the LOM IP address over port 623.

 However, an an alternate solution is to test if the device speaks IPMI with the IPMIPING utility. IPMIPING sends two IPMI Get Channel Authentication Capabilities calls via a Get Channel Authentication Capabilities request datagram on UDP port 623 (two requests since it uses UDP and connections are not guaranteed.)

Note: For a more extensive test to confirm if the device listens on UDP port 623, use NMAP scan.

Step 3: Can you ping the IP address of LOM? 

If not, run this command as root user on the applicable appliance, and verify the settings are correct. For example,

ipmitool lan print

Set in Progress         : Set Complete
Auth Type Support       : NONE MD5 PASSWORD
Auth Type Enable        : Callback : NONE MD5 PASSWORD
                        : User     : NONE MD5 PASSWORD
                        : Operator : NONE MD5 PASSWORD
                        : Admin    : NONE MD5 PASSWORD
                        : OEM      :
IP Address Source       : Static Address
IP Address              : 192.0.2.2
Subnet Mask             : 255.255.255.0
MAC Address             : 00:1e:67:0a:24:32
SNMP Community String   : INTEL
IP Header               : TTL=0x00 Flags=0x00 Precedence=0x00 TOS=0x00
BMC ARP Control         : ARP Responses Enabled, Gratuitous ARP Disabled
Gratituous ARP Intrvl   : 0.0 seconds
Default Gateway IP      : 192.0.2.1
Default Gateway MAC     : 00:00:00:00:00:00
Backup Gateway IP       : 0.0.0.0
Backup Gateway MAC      : 00:00:00:00:00:00
802.1q VLAN ID          : Disabled
802.1q VLAN Priority    : 0
RMCP+ Cipher Suites     : 1,2,3,6,7,8,11,12,0
Cipher Suite Priv Max   : XaaaXXaaaXXaaXX
                        :     X=Cipher Suite Unused
                        :     c=CALLBACK
                        :     u=USER
                        :     o=OPERATOR
                        :     a=ADMIN
                        :     O=OEM

Verify the Connection



Step 1: Can you connect using this command?


ipmitool -I lanplus -H xxx.xxx.xxx.xxx  -U admin sdr

Error: Unable to establish IPMI v2 / RMCP+ session

Note: A connection to the correct IP address, but with the wrong credentials, fails with the previous error immediately. Attempts to connect to LOM at an invalid IP address time out after about 10 seconds and returns this error.


Step 2: Try to connect with this command:


ipmitool -I lanplus  -H xxx.xxx.xxx.xxx  -U admin sdr

Step 3: Do you get this error?

Info: cannot activate SOL payload with encryption


Now try to connect with this command (this specifies the cipher suite to use):


ipmitool -I lanplus -H xxx.xxx.xxx.xxx -C 3 -U admin sdr

Step 4: Still cannot connect? Try to connect with this command:


ipmitool -I lanplus -vvv -H xxx.xxx.xxx.xxx -C 3 -U admin sdr

In the verbose output do you see this error?


RAKP 2 HMAC is invalid

Step 5: Change the Admin password via the GUI, and try again.

Still cannot connect? Try to connect with this command:


ipmitool -I lanplus -vvv -H xxx.xxx.xxx.xxx -C 3 -U admin sdr

In the verbose output do you see this error?


RAKP 2 message indicates an error : unauthorized name

Step 6: Choose User > Local Configuration > User Management

• Create a new TestLomUser
• Check the User role configuration to Administrator
• Check Allow Lights-out Management Access

On the CLI of the applicable appliance, escalate your privileges to root and run these commands. 

Verify that TestLomUser is the user on the third line.


ipmitool user list 1

ID  Name         Callin  Link Auth    IPMI Msg   Channel Priv Limit
1                    false   false      true       ADMINISTRATOR
2   root             false   false      true       ADMINISTRATOR
3   TestLomUser      true    true       true       ADMINISTRATOR

Change the user on line three to admin.


ipmitool user set name 3 admin

Set an appropriate access level:


ipmitool channel setaccess 1 3 callin=on link=on ipmi=on privilege=4

ipmitool user set password 3


Verify that the settings are correct.


ipmitool user list 1

ID  Name         Callin  Link Auth    IPMI Msg   Channel Priv Limit
1                    false   false      true       ADMINISTRATOR
2   root             false   false      true       ADMINISTRATOR
3   admin            true    true       true       ADMINISTRATOR

Make sure that SOL is enabled for the correct channel(1) and user(3).

ipmitool sol payload enable 1 3


Step 7: Ensure that the IPMI process is not in a bad state.


pmtool status | grep -i sfipmid

sfipmid (normal) - Running 2928
Command: /usr/local/sf/bin/sfipmid -t 180 -p power
PID File: /var/sf/run/sfipmid.pid
Enable File: /etc/sf/sfipmid.run

Restart the service.


pmtool restartbyid sfipmid

Confirm that the PID has changed.


pmtool status | grep -i sfipmid

sfipmid (normal) - Running 20590
Command: /usr/local/sf/bin/sfipmid -t 180 -p power
PID File: /var/sf/run/sfipmid.pid
Enable File: /etc/sf/sfipmid.run

Step 8: Disable the LOM in the GUI, then reboot the appliance. In the appliance’s GUI, choose Local > Configuration > Console Configuration. Select VGA, click Save, and click OK in order to reboot.
  



Afterwards, enable the LOM in the GUI, then reboot the appliance. In the appliance’s GUI, choose Local > Configuration > Console Configuration.  Choose Physical Serial Port or LOM, click Save, and click OK to reboot.
 

Now, try to connect again.


ipmitool -I lanplus -vvv -H xxx.xxx.xxx.xxx -C 3 -U admin sdr

Step 9: Shut down the device and complete a power cycle, that is, physically remove the power cable for one minute, plug it back, and then power on.

 After the appliance powers up fully run this command:


ipmitool -I lanplus -vvv -H xxx.xxx.xxx.xxx -C 3 -U admin sdr

Step 10: Run this command from the appliance in question. This specifically does a cold reset of the bmc:

ipmitool bmc reset cold

Step 11: Run this command from a system on the same local network as the device (that is, does not pass through any intermediate router):

ipmitool -I lanplus -H xxx.xxx.xxx.xxx -U admin power status

arp -an > /var/tmp/arpcache

Send Cisco Technical Support the resulting /var/tmp/arpcache file in order to determine if the BMC responds to an ARP request.

Connection to LOM Interface is Disconnected During Reboot

When you reboot a FireSIGHT Management Center or a FirePOWER Appliance, the connection to the appliance might be lost. The output when rebooting the appliance via the CLI is shown here:

admin@FireSIGHT:~$ sudo shutdown -r now

Broadcast message from root (ttyS0) (Tue Nov 19 19:40:30  Stopping Sourcefire 3D
 Sensor 7120...nfemsg: Host ID 1 on card 0 endpoint 1 de-registering ...
nfemsg: Host ID 2 on card 0 endpoint 1 de-registering ...
nfemsg: Host ID 27 on card 0 endpoint 1 de-registering ......ok
Stopping Netronome Flow Manager: nfemsg: Fail callback unregistered
Unregistered NFM fail hook handler
nfemsg: Card 0 Endpoint #1 messaging disabled
nfemsg: Module EXIT
WARNING: Deprecanfp nfp.0: [ME] CSR access problem for ME 25
ted config file nfp nfp.0: [vPCI] Removed virtual device 01:00.4
/etc/modprobe.conf, all config files belong into /etc/modprobe.d/. success.
No NMSB present: logging unecessary...[-10G[  OK  ]..
Turning off swapfile /Volume/.swaptwo
[-10G[  OK  ] other currently mounted file systems...
Unmounting fuse control filesystem.
Un

The highlighted output Unmounting fuse control filesystem. Un  shows that the connection to the appliance is interrupted due to Spanning Tree Protocol (STP) being enabled on the switch where the FireSIGHT System is connected to. Once the managed devices reboots, this error is displayed:

Error sending SOL data; FAIL
                              SOL session closed by BMC 

Note: Before you can connect to an appliance with LOM/SOL, you must disable Spanning Tree Protocol (STP) on any third-party switching equipment connected to the device’s management interface.

A LOM connection of FireSIGHT System is shared with the management port. The link for the management port drops for a very brief time during reboot. Since the link is going down and coming back up, this could trigger a delay in the switch port (typically 30 seconds before it starts passing traffic) due to the listening or learning switch port state caused by having STP configured on the port.

Intelligent Platform Management Interface

Docs

• http://www.intel.com/design/servers/ipmi/
• http://en.wikipedia.org/wiki/Intelligent_Platform_Management_Interface
• http://openipmi.sf.net/
• Configuring IPMI under Linux using ipmitool
• http://lonesysadmin.net/2005/09/23/configuring-and-securing-ipmi-on-dell-poweredge-x8xx-hardware/
• https://www.secure-computing.net/wiki/index.php/BMC_Nagios#Power_Supply_Check
• http://sources.redhat.com/cluster/wiki/IPMI_FencingConfig
• http://www.nabble.com/IPMI-and-Dell-ERA-O-td19214114.html
• https://docs.oracle.com/cd/E19464-01/820-6850-11/IPMItool.html
• Zabbix#IPMI Monitoring IPMI with Zabbix

Considerations

• bmc/ipmi seems to prefer to be on primary network interface, using a DIFFERENT ip from the actual network

ipmitool commands

Configuring IPMI

Network configuration

Check ipmi network settings

ipmitool -I open lan print 1

Check lan/network configuration

ipmitool -I open lan print

Set network to dhcp

ipmitool lan set 1 ipsrc dhcp

Set network to static

ipmitool lan set 1 ipsrc static 

Change ip address

ipmitool lan print 1
ipmitool lan set 1 ipaddr x.x.x.x
ipmitool lan set 1 netmask 255.255.255.0
ipmitool lan set 1 defgw ipaddr x.x.x.x

Managing users

List users

ipmitool user list 1

Change password

2 is usually ADMIN

ipmitool user set password 2

Reading status

( also see http://sources.redhat.com/cluster/wiki/IPMI_FencingConfig)

Simple status check

ipmitool -I lanplus -H <IPADDR> -U root -P changeme chassis status

Get some hints about commands

ipmitool -I open help

List all sensors

ipmitool -I lanplus -H <IPADDR> -U root -P changeme sdr elist full

or

 ipmitool -I lanplus -H <IPADDR> -U root -P changeme sensor

Serial console over LAN

ipmitool -U root -I lanplus -H 10.0.0.91 sol activate

Boot a remote box

ipmitool -U root -I lanplus -H 10.0.0.91 chassis power on

Sensor information

ipmitool -I open sensor

PSU status

ipmitool -I open sdr type "Power Supply" Status

Shut down a remote box

ipmitool -U root -I lanplus -H 10.0.0.91 chassis power off
ipmittool -U root -H 10.0.0.91 -E shell

On freeBsd

kldload ipmi

FAQ

ipmitool user list

Get User Access command failed (channel 14, user 1): Invalid data field in request.

Unable to send IPMI presence ping packet

yeah, could be anything again

IPMI LAN send command failed

Unable to send IPMI presence ping packet

IPMI command failed: Request data field length limit exceeded

If you’re trying to set a password, try a more complex password.

ipmitool -v Get Auth Capabilities error

could be firmware/version issue

Error: Unable to establish IPMI v2 / RMCP+ session

Try -I lan instead of -I lanplus

Info: SOL payload already active on another session

Try sol deactivate

Set Session Privilege Level to ADMINISTRATOR failed: Unknown (0x80)

You’re probably trying to connect as user, so try

ipmitool -L USER ....