Consolas serie y fuera de banda para conservar el acceso a un servidor cuando la red falla

Objetivo

Mantener una vía de acceso a la consola del servidor cuando la ruta de red habitual (SSH por la interfaz principal) es precisamente lo que falla: un firewall mal configurado, un controlador de red que no carga o un kernel que entra en pánico antes de levantar la red.

Requisitos previos

Para una línea serie física o virtualizada: un cable null-modem o un dispositivo serie proporcionado por el hipervisor, y un emulador de terminal en el otro extremo (la velocidad en baudios debe coincidir en ambos lados). Para una instancia en la nube: la función de consola serie o de sistema del proveedor, habilitada con antelación. Para un servidor físico con BMC: ipmitool y acceso al BMC por red o por un puerto dedicado, configurado de antemano.

Pasos

1. Añada una consola serie a la línea de comandos del kernel para que los mensajes de arranque y las shells de emergencia aparezcan en ella: console=tty0 console=ttyS0,115200 (dispositivo, velocidad en baudios; la documentación del kernel usa ttySx para "a serial port", es decir, un puerto serie). La salida se envía a todas las consolas indicadas, pero la última de la lista pasa a ser /dev/console, donde piden entrada las shells de rescate y emergencia; por eso la consola serie debe ir al final. Para hacerlo persistente, use grubby --update-kernel=ALL --args="console=tty0 console=ttyS0,115200" (familia RHEL) o bien añada los parámetros a GRUB_CMDLINE_LINUX y ejecute update-grub (Debian/Ubuntu); el cambio se aplica en el siguiente arranque.
2. Para que el propio menú de GRUB aparezca en la línea serie (necesario para elegir un kernel alternativo de forma remota), defina GRUB_TERMINAL="console serial" y GRUB_SERIAL_COMMAND="serial --speed=115200 --unit=0" en /etc/default/grub y regenere grub.cfg.
3. Prompt de inicio de sesión: systemd-getty-generator inicia automáticamente serial-getty@ttyS0.service para una consola serie del kernel; para otras líneas, habilítelo de forma explícita (systemctl enable --now serial-getty@ttyS1.service). El proceso que atiende la línea es agetty.
4. En AWS (tipos de instancia basados en Nitro), el acceso a la consola serie está desactivado por defecto: la cuenta debe habilitarlo y las políticas de IAM deben concederlo; después funciona con independencia de la red de la instancia. El inicio de sesión requiere un usuario del sistema operativo con contraseña, ya que las claves SSH no se aplican aquí.
5. En Azure, Serial Console, en el portal, ofrece un acceso equivalente a través del plano de control; requiere tener habilitados los diagnósticos de arranque y, igualmente, un usuario local con contraseña.
6. En servidores físicos con BMC, compruebe SOL con ipmitool sol info y conéctese con ipmitool -I lanplus -H <bmc-ip> -U <user> -E sol activate (-E lee la contraseña de IPMI_PASSWORD, de modo que no aparece en la lista de procesos); sol activate requiere la interfaz lanplus (IPMI v2.0). Para salir, use la secuencia de escape (por defecto ~.); ejecute sol deactivate si una sesión anterior dejó SOL marcado como activo.
7. Pruebe cada vía una vez en un sistema sano, incluidas las credenciales y la accesibilidad del BMC o de la consola en la nube con independencia de la red del propio host.

Resultado esperado

El menú del cargador de arranque, los mensajes del kernel y un prompt de inicio de sesión aparecen en la línea serie o en la consola del proveedor, de modo que un bloqueo durante el arranque o un bloqueo por firewall sigue dejando una consola utilizable.

Límites y base de verificación

Una consola serie solo muestra el texto que el kernel o el espacio de usuario escriben explícitamente en ese dispositivo; no sustituye a journalctl a posteriori si el búfer de la consola se desplazó más rápido de lo que una persona puede capturar. El acceso BMC/SOL es en sí mismo una credencial que hay que proteger: trate la red del BMC con la misma sensibilidad que el acceso root al propio host, ya que SOL, igual que una consola física, llega al menú de arranque y a las shells de rescate y, por tanto, equivale en la práctica a root.