OOB – Out-of-Band-Management
Abkürzung: OOB
Out-of-Band-Management (OOB) bezeichnet den Zugang zu Geräten über einen Weg, der vom normalen Datennetz unabhängig ist. Der Gegensatz ist In-Band-Management: Ein Administrator verbindet sich per SSH oder Weboberfläche über dasselbe Netz, das er gerade verwaltet.
In-Band funktioniert, solange das Netz funktioniert. Genau dann, wenn ein Administrator am dringendsten Zugang braucht — nach einer fehlerhaften Konfiguration, einem Firmware-Update, das nicht mehr startet, oder einem Ausfall der Leitung —, ist der In-Band-Weg weg. Ohne OOB bleibt dann nur, jemanden ins Rechenzentrum zu schicken oder Remote Hands zu beauftragen.
Wege für den Zugang
| Weg | Was man erreicht | Typischer Einsatz |
|---|---|---|
| Serielle Konsole über Konsolenserver | Kommandozeile des Geräts, auch während des Starts | Router, Switches, Firewalls, Speichersysteme |
| Baseboard Management Controller (BMC) | Server unabhängig vom Betriebssystem: Ein/Aus, Bildschirm, virtuelle Laufwerke, Sensoren | Server |
| Schaltbare Steckdosenleiste (Managed PDU) | Strom einzelner Steckplätze aus- und einschalten | hängende Geräte ohne andere Fernsteuerung |
| KVM über IP | Tastatur, Bildschirm und Maus eines Rechners über das Netz | ältere Server, Arbeitsplätze im Rack |
Ein BMC ist ein eigener kleiner Rechner auf der Hauptplatine eines Servers, mit eigenem Netzanschluss. Er läuft, solange Strom anliegt, auch wenn der Server ausgeschaltet ist. Angesprochen wird er über IPMI oder den neueren Standard Redfish der DMTF.
Konsolenserver
Ein Konsolenserver, englisch Console Server oder Terminal Server, hat viele serielle Anschlüsse — typisch 8 bis 48 — und einen Netzanschluss. Jeder serielle Port ist mit der Konsolenschnittstelle eines Geräts im Rack verbunden. Der Administrator meldet sich am Konsolenserver an und wählt den Port; er sieht die Konsole, als säße er mit einem Laptop und Rolloverkabel davor.
Der Vorteil der seriellen Konsole: Sie zeigt auch, was beim Start passiert, bevor das Netz des Geräts überhaupt aktiv ist. Ein Router, der nach einem Update im Bootloader hängen bleibt, lässt sich nur so wiederbeleben.
Belegung der Ports
Die meisten Netzgeräte haben eine Konsole mit RJ45-Buchse, die Belegung ist aber nicht genormt. Zwei Belegungen sind verbreitet: die Cisco-Belegung, die auch das Rolloverkabel voraussetzt und die viele Netzwerkhersteller übernommen haben, und die Cyclades-Belegung der Konsolenserver von Cyclades, später Avocent. Passen Port und Gerät nicht zusammen, bleibt das Terminal schwarz. Viele Konsolenserver lassen die Belegung je Port umschalten, sonst helfen Adapter oder gedrehte Kabel.
Die übrigen Einstellungen müssen ebenfalls passen. Verbreitet ist 9600 Bit/s, 8 Datenbits, keine Parität, 1 Stoppbit (9600 8N1), manche Geräte nutzen 115200 Bit/s. Neuere Geräte haben zusätzlich oder statt RJ45 eine USB-Konsole.
Herstellerauswahl
| Hersteller | Herkunft | Konsolenserver |
|---|---|---|
| Cyclades | 1991 in Fremont, Kalifornien gegründet; 2006 von Avocent übernommen | AlterPath ACS, die Serie prägte die Bezeichnung ACS |
| Avocent | ursprünglich Hersteller von KVM-Switches; 2009 von Emerson übernommen, seit 2016 Teil von Vertiv | ACS als Avocent ACS weitergeführt, heute Vertiv Avocent ACS 8000 |
| Opengear | 2004 gegründet, seit 2019 bei Digi International | Konsolenserver mit Mobilfunk als Rückfallweg und zentraler Verwaltung |
| Perle Systems | 1976 gegründet, seit 2016 bei Phoenix Contact | IOLAN, auch mit Mobilfunk und in Industrieausführung |
ACS stammt also nicht von Avocent: Die Produktlinie kam mit Cyclades und lief unter dem Namen Avocent weiter.
Managementnetz
Die Managementanschlüsse — BMC, Konsolenserver, Steckdosenleisten, Managementports von Switches — hängen an einem eigenen Netz, getrennt vom Produktivnetz. Mindestens als eigenes VLAN, besser mit eigenen Switches, damit ein Fehler im Produktivnetz das Managementnetz nicht mitreißt.
Der Weg von außen in das Managementnetz braucht ebenfalls eine eigene Leitung. Gängige Lösungen:
- eigener Internetanschluss oder eigene Leitung eines anderen Anbieters, mit VPN
- Mobilfunk über ein Modem im Konsolenserver, als Rückfallweg, wenn die Festnetzleitung ausfällt
- im Rechenzentrum ein Managementanschluss des Betreibers, getrennt von der Kundenleitung
Mobilfunk im Rechenzentrum hat eine Tücke: Massive Gebäude und Räume mit viel Metall schirmen ab. Eine externe Antenne oder ein Test vor Ort gehört zur Planung.
Sicherheit
Ein Managementnetz ist das wertvollste Ziel im Rechenzentrum. Wer dort Zugang hat, kann Server ausschalten, neu installieren oder ihre Konsolen mitlesen — ohne dass das Betriebssystem etwas davon merkt. BMCs waren in der Vergangenheit mehrfach von schweren Sicherheitslücken betroffen und werden seltener aktualisiert als die Server selbst.
Regeln für den Betrieb:
- BMCs und Konsolenserver nie direkt aus dem Internet erreichbar machen
- Zugang nur über VPN und mit Multi-Faktor-Authentifizierung
- Standardpasswörter ändern, eigene Konten je Administrator
- Zugriffe protokollieren, Firmware der Managementkomponenten mitpflegen
- Managementzugang in das Konzept für Privileged Access Management aufnehmen
Die NIS2-Durchführungsverordnung (EU) 2024/2690 verlangt für Rechenzentrums- und Cloud-Anbieter Systeme, die ausschließlich der Administration dienen und von übrigen Anwendungen logisch getrennt sind. Ein sauber getrenntes Managementnetz erfüllt diesen Teil.
Im Rechenzentrum
In einem Colocation-Rack ist OOB keine Kür. Fällt die einzige Uplink-Verbindung aus oder sperrt eine falsche Firewall-Regel den eigenen Zugang aus, kostet jeder Einsatz vor Ort Zeit und Geld. Ein Konsolenserver mit Mobilfunkmodem und eine schaltbare Steckdosenleiste in jedem Rack sind deshalb üblich. Sie gehören mit in die Stromplanung und an die USV — sonst sind sie bei einem Stromproblem als Erste weg.
Abgrenzung
Out-of-Band heißt allgemein: neben dem eigentlichen Datenstrom. In der Telefonie bezeichnet es Signalisierung, die getrennt von der Sprache läuft, etwa Tastentöne bei VoIP, die als eigene Pakete statt als Ton im Sprachkanal übertragen werden. Mit der Verwaltung von Geräten hat das nichts zu tun.