Serielle und Out-of-Band-Konsolen: Serverzugriff auch bei ausgefallenem Netzwerk

Ziel

Einen Zugang zur Konsole eines Servers erhalten, wenn gerade der normale Netzwerkpfad (SSH über die primäre Schnittstelle) gestört ist – etwa durch eine fehlerhafte Firewall-Konfiguration, einen fehlgeschlagenen Ladevorgang des Netzwerktreibers oder einen Kernel, der vor dem Start des Netzwerks mit einer Panic abbricht.

Voraussetzungen

Für eine physische oder virtualisierte serielle Leitung: ein Nullmodemkabel oder ein vom Hypervisor bereitgestelltes serielles Gerät sowie ein Terminalemulator auf der Gegenseite (die Baudrate muss auf beiden Seiten übereinstimmen). Für eine Cloud-Instanz: die Serial- bzw. System-Console-Funktion des Anbieters, die vorab aktiviert sein muss. Für einen physischen Server mit BMC: ipmitool sowie Zugriff auf das BMC über das Netzwerk oder einen dedizierten Port, im Voraus eingerichtet.

Schritte

1. Der Kernel-Kommandozeile eine serielle Konsole hinzufügen, damit Boot-Meldungen und Notfall-Shells dort erscheinen: console=tty0 console=ttyS0,115200 (Gerät, Baudrate; die Kernel-Dokumentation nennt ttySx für "a serial port", also einen seriellen Port). Die Ausgabe geht an alle aufgeführten Konsolen, aber die zuletzt genannte wird zu /dev/console, auf der Rescue- und Emergency-Shells ihre Eingabeaufforderung zeigen – daher die serielle Konsole zuletzt angeben. Dauerhaft festlegen mit grubby --update-kernel=ALL --args="console=tty0 console=ttyS0,115200" (RHEL-Familie) oder über GRUB_CMDLINE_LINUX plus update-grub (Debian/Ubuntu); die Änderung wirkt ab dem nächsten Boot.
2. Damit auch das GRUB-Menü selbst auf der Leitung erscheint (nötig, um aus der Ferne einen Fallback-Kernel zu wählen), in /etc/default/grub GRUB_TERMINAL="console serial" und GRUB_SERIAL_COMMAND="serial --speed=115200 --unit=0" setzen und grub.cfg neu erzeugen.
3. Login-Prompt: systemd-getty-generator startet für eine serielle Kernel-Konsole automatisch serial-getty@ttyS0.service; für andere Leitungen den Dienst ausdrücklich aktivieren (systemctl enable --now serial-getty@ttyS1.service). Der Prozess auf der Leitung ist agetty.
4. Auf AWS (Nitro-basierte Instanztypen) ist der Zugriff auf die serielle Konsole standardmässig deaktiviert: Das Konto muss ihn aktivieren, und IAM-Richtlinien müssen ihn erlauben; danach funktioniert er unabhängig vom Netzwerk der Instanz. Für die Anmeldung ist ein OS-Benutzer mit Passwort nötig, da SSH-Schlüssel dort nicht greifen.
5. Auf Azure bietet die Serial Console im Portal über die Control Plane einen gleichwertigen Zugang; sie setzt aktivierte Boot-Diagnose voraus und ebenfalls einen lokalen Benutzer mit Passwort.
6. Bei physischen Servern mit BMC SOL mit ipmitool sol info prüfen und dann die Verbindung herstellen mit ipmitool -I lanplus -H <bmc-ip> -U <user> -E sol activate (-E liest das Passwort aus IPMI_PASSWORD, sodass es nicht in der Prozessliste erscheint); sol activate erfordert das Interface lanplus (IPMI v2.0). Beendet wird die Sitzung mit der Escape-Sequenz (Standard ~.); sol deactivate ausführen, falls eine frühere Sitzung SOL als aktiv markiert hinterlassen hat.
7. Jeden Pfad einmal auf einem gesunden System testen, einschliesslich der Zugangsdaten und der Erreichbarkeit des BMC bzw. der Cloud-Konsole unabhängig vom Netzwerk des Hosts.

Erwartetes Ergebnis

Bootloader-Menü, Kernel-Meldungen und ein Login-Prompt erscheinen auf der seriellen Leitung oder der Anbieter-Konsole, sodass bei einem Boot-Hänger oder einer Firewall-Aussperrung weiterhin eine nutzbare Konsole zur Verfügung steht.

Grenzen und Prüfbasis

Eine serielle Konsole zeigt nur Text, den Kernel oder Userspace ausdrücklich auf dieses Gerät schreiben; sie ersetzt nicht journalctl im Nachhinein, falls der Konsolenpuffer schneller durchlief, als ein Mensch mitschreiben konnte. Der BMC/SOL-Zugang ist selbst eine schützenswerte Zugangsberechtigung – das BMC-Netzwerk ist ebenso sensibel zu behandeln wie der Root-Zugang zum Host selbst, denn SOL erreicht wie eine physische Konsole das Boot-Menü und die Rescue-Shells und ist deshalb in der Praxis root-äquivalent.