Zoek op internet naar bereikbare beheerinterfaces en je vindt er duizenden: iDRAC's, iLO's en andere BMC's, keurig achter een publiek IP-adres gehangen omdat iemand er een keer 's nachts bij moest kunnen. En anders dan de eigenaar denkt, staat zo'n interface er zelden verstopt bij: meestal gewoon op de standaardpoort, met een kort wachtwoord dat niet zelden nog van de fabriek is. Wie hem vindt, kan aan de slag. Wie je BMC heeft, heeft je server — en daarom leveren wij beheertoegang via een apart out-of-band-netwerk met WireGuard, zodat die interface aan geen enkel publiek netwerk hoeft te hangen.
Wie de BMC heeft, heeft de server
Een BMC (de beheerchip in je server, bij Dell iDRAC geheten, bij HPE iLO) is geen randapparaat maar een tweede computer mét de macht over de eerste:
- Console — scherm en toetsenbord alsof je naast het rack staat, tot in de BIOS.
- Virtuele media — een schijfimage aankoppelen en de server daarvan laten booten. Wie dat kan, installeert wat hij wil.
- Stroom — aan, uit, reset, buiten het besturingssysteem om.
Daar komt bij dat BMC-firmware een slechte reputatie heeft: kwetsbaarheden duiken met enige regelmaat op, updates verschijnen traag en worden in de praktijk nog trager geïnstalleerd. Een wachtwoord is geen antwoord op een lek dat zonder wachtwoord werkt. De enige houdbare regel is dat een beheerinterface onbereikbaar is voor iedereen die er niets te zoeken heeft.
Een netwerk dat hiervoor ontworpen is
Bij ons hangen beheerinterfaces daarom in een apart out-of-band-netwerk: een netwerk dat voor precies dit doel is ontworpen en dat volledig gescheiden is van onze productieomgeving. Het lift niet mee op de infrastructuur die je dataverkeer draagt; het staat ernaast.
Die scheiding werkt twee kanten op. Een probleem in het beheernetwerk kan productie niet raken. En belangrijker: als productie een storing heeft (een lijn die uitvalt, apparatuur die hapert, een DDoS-aanval die de voordeur dichtdrukt) is de beheertoegang er nog. Dat is de betekenis van out-of-band: de weg naar de console loopt niet door het systeem dat je juist probeert te redden.
Toegang via WireGuard
De toegang tot dat netwerk loopt via WireGuard. Je krijgt van ons een eigen configuratie met sleutelpaar, en daarmee bereik je uitsluitend je eigen beheerinterfaces; klanten zien elkaar niet. Er is bewust weinig aan te configureren, en dat is precies waarom we het gekozen hebben:
- Stil naar buiten — een WireGuard-endpoint antwoordt niet op pakketten zonder geldige sleutel. Voor een scanner is er letterlijk niets om aan te kloppen: geen loginpagina, geen banner, geen handshake.
- Sleutels in plaats van wachtwoorden — toegang is een sleutelpaar per gebruiker. Intrekken is één peer verwijderen, niet een wachtwoord rondmailen.
- Een client voor elk platform — WireGuard zit in elke moderne Linux-kernel en heeft clients voor elk gangbaar besturingssysteem. Geen appliance, geen agent.
Wie er een etiket op wil plakken: dit is zero-trust in de praktijk. Toegang volgt niet uit waar je netwerktechnisch toevallig staat, maar uit wie je aantoonbaar bent.
Wat het in de praktijk scheelt
Het verschil merk je op het slechtste moment. De server komt na een update niet meer op: VPN aan, console erbij, kijken wat er op het scherm staat, zonder in de auto te stappen en zonder remote hands in te plannen. Een kale herinstallatie doe je via virtuele media vanaf je bureau. En voor wie onder NIS2 moet aantonen hoe beheertoegang geregeld is, is het antwoord aangenaam kort: via een gescheiden netwerk, op naam, met sleutels.
Beheertoegang zoals hij hoort
Out-of-band-toegang kost bij onze colocatie € 5 per maand; geen premiumbundel, maar de standaardmanier waarop wij beheertoegang inrichten. Staat jouw beheerinterface nu nog achter een publiek IP-adres, of wil je weten hoe dit er voor jouw apparatuur uitziet: neem contact op of vraag een voorstel aan.