Замена KVM

Чтобы поближе познакомиться с возможностями современных KVM, их ролью и местом в управлении современной серверной и ИТ-инфраструктурой, мы предложили ведущим поставщикам этих продуктов дать рекомендации вымышленной компании, где назрела потребность в модернизации серверного парка.

Для решения задач управления, экономии пространства в серверных шкафах и избавления от излишних кабелей многие администраторы используют переключатели клавиатуры, видео и мыши (Keyboard, Video, Mouse, KVM). Эти устройства обеспечивают контроль за множеством серверов и другим оборудованием с одной консоли, причем серверы вовсе не должны быть однотипными: они могут работать под управлением самых разных систем — Windows, Unix, Linux.

Используемые в ее ЦОД переключатели KVM устарели — в частности, они могут поддерживать только ограниченное число серверов и не обеспечивают удаленный доступ. Наш гипотетический клиент хотел бы получить рекомендации и советы по выбору решения и выяснить некоторые подробности.

Итак, компания собирается модернизировать свой серверный парк в ЦОД, а заодно обновить и унифицировать управление серверами. На площадке размещается 20 стоек с оборудованием, половину из них занимают унаследованные разнотипные серверы различных форм-факторов и конфигураций. Заполнение стоек неравномерное — от нескольких серверов, в том числе с блейд-системами и UNIX-системами, до 20 и более. Оставшиеся стойки планируется заполнить однотипными серверами под виртуализацию (окончательного решения о выборе модели еще не принято).

Заказчик хотел бы иметь контроль за всеми серверами, в том числе виртуальными, через один интерфейс. Ввиду критичности управление должно быть реализовано по внешнему каналу (out-of-band). Операторы будут размещаться в соседнем зале, однако впоследствии управление этой и другими площадками планируется сделать единым и осуществлять из центрального офиса, так что следует предусмотреть поддержку удаленного доступа через VPN. Система доступа должна поддерживать надежную аутентификацию и разграничение прав доступа.

Компания хотела бы получить ответы на следующие вопросы:

Какое решение вы могли бы порекомендовать (включая оборудование и ПО)?
Поскольку требуется разделение доступа и уровней доступа, какие механизмы безопасности могут применяться при локальном и удаленном доступе?
Каким образом можно интегрировать в единую систему консольные KVM, расположенные в нескольких стойках (возможно ли это в принципе, от чего зависит возможность их дальнейшего использования)?
Каковы требования к каналу для удаленного управления при максимальном разрешении, какое разрешение обеспечивается при подключении по мобильной связи, к скольким серверам может одновременно осуществляться доступ без снижения качества работы удаленных операторов и в целом каковы отличия этого подхода от локального доступа?

На наш призыв представить свои предложения откликнулись компания Aten и ее российский партнер «Колан», а также Emerson Network Power, которой теперь принадлежит торговая марка Avocent, и российская компания «Ниеншанц-Автоматика», поставляющая оборудование Raritan.

МЕРЫ БЕЗОПАСНОСТИ

Следующий вопрос, который ожидаемо волнует заказчика, так как касается доступа, особенно удаленного, к критичному оборудованию, — это безопасность. К сожалению, все производители ограничились достаточно скупыми комментариями, хотя, как отмечают в «Ниеншанц-Автоматика», «надежность и безопасность — вот основные критерии, которыми необходимо руководствоваться при выборе решения для централизованного управления средствами удаленного доступа». Скорее всего, такая краткость объясняется тем, что поставщики переключателей KVM традиционно уделяют повышенное внимание теме защиты и разграничения доступа, поэтому наличие соответствующих развитых средств воспринимается как нечто само собой разумеющееся, не требующее дальнейших пояснений. Вот только вложить бы эти знания в голову заказчика…

Чтобы получать доступ к конкретным компьютерам и управлять ими могли только авторизованные пользователи, в переключателях Aten поддерживается двухуровневая парольная защита. В переключателях применяются сильные алгоритмы шифрования, DES, 3DES, AES; KVM, видео и информация с удаленного носителя шифруются отдельно. Каналы могут шифроваться разными алгоритмами, в том числе и с произвольным выбором на один сеанс. В свою очередь, система централизованного управления на базе СС2000 и переключателей IP KVM поддерживает многоуровневый доступ и позволяет назначать следующие стандартные роли: суперадминистратор, администратор, пользователь, аудитор. При необходимости можно вводить собственные роли, исходя из маски прав. Возможны внешняя аутентификация и авторизация RADIUS, TACACS, LDAP, LDAPS, Active Directory.

В переключателях Raritan осуществляется шифрование AES, авторизация может производиться при помощи как встроенных средств системы, так и внешних серверов аутентификации LDAP/Radius. Система централизованного управления CommandCenter Secure Gateway обеспечивает гибкую и удобную настройку политик безопасности для отдельных пользователей и целых групп, предоставляя «единую точку входа» с удобным и интуитивно понятным интерфейсом для доступа к соответствующим серверам.

В DS View 4 компании Avocent предусмотрены механизмы разделения прав доступа к объектам и роли каждого пользователя (какие сервисы ему будут доступны при работе с этим ПО), поддерживается интеграция с различными службами каталогов, такими как AD, LDAP, TACACS и RADIUS.

Если исходить из этих кратких описаний, все решения оснащены примерно одинаковыми функциями безопасности. В частности, в сетях Windows будет полезна возможность регистрации на переключателе IP KVM с использованием средств аутентификации Active Directory и предоставлением различных уровней доступа к подключенным устройствам на основании имеющихся профилей пользователей Active Directory.

ИНТЕГРАЦИЯ ИМЕЮЩЕГОСЯ ОБОРУДОВАНИЯ

Желая сэкономить, заказчик выразил намерение использовать уже имеющиеся переключатели. Как отмечают все производители, в принципе такое возможно, но теряются преимущества интегрированного решения, в частности единая авторизация. По сути это означает, что, если мы хотим сохранить указанные преимущества, при дальнейшем наращивании и развитии инфраструктуры придется приобретать устройства того же поставщика (за некоторыми исключениями).

Как указывают в Aten, при каскадном подключении один переключатель KVM может управлять несколькими устройствами. Обычно достаточно лишь KVM-консоли KL1516A, но в некоторых случаях администраторы предпочитают применять матричный KVM-переключатель KM0932/0532, так как эти устройства могут интегрироваться с переключателями серии KN (с управлением по сети) и использовать единый графический интерфейс GUI, что гораздо удобнее, поскольку отпадает необходимость дважды регистрироваться в системе (login) — тем самым достигается лучшая интеграция.

В «Колан» добавляют, что можно использовать унаследованные KVM, если объединить их под управлением централизованной системы ATEN CC2000. Консольные KVM третьих производителей в принципе могут быть интегрированы по схеме соединения порт — консоль, но без интеграции меню и единой авторизации, в связи с чем рекомендуется внедрять консолидированное решение от одного производителя.

По словам специалистов «Ниеншанц-Автоматика», интеграция уже имеющихся KVM-переключателей возможна на уровне интерфейса переключателя (например, при помощи KVM-удлинителя KXII-101-V2), тогда из централизованной системы можно получить доступ к KVM-переключателю, а через него — к целевым серверам. Для организации полностью «прозрачного» бесшовного доступа к целевым серверам (с централизованным управлением правами пользователя) подойдут переключатели KVM-over-IP серий KX, консольные серверы SX, гибридные устройства KSX, а также матричные KVM-переключатели серии Paragon.

Что касается продукции Avocent, DS View позволяет добавлять в систему устройства KVM с марками IBM, Fujitsu и Dell (они производятся Avocent). Полноценная интеграция с другими производителями не поддерживается.

ДОСТУП ШИРОКИЙ И УЗКИЙ

Современные переключатели KVM способны поддерживать разрешение Full HD. Желая обеспечить максимально комфортные условия для работы системных администраторов, заказчик решил поинтересоваться, какой канал потребуется для передачи изображения с максимальным разрешением. Однако вряд ли он был в своем намерении искренним (это же гипотетический заказчик, его можно подозревать в чем угодно), тем более услышав, какая пропускная способность для этого необходима — несколько десятков мегабит в секунду, он наверняка умерит свои желания. При локальном доступе, когда подключение осуществляется по отдельным кабелям, это не представляет проблемы, а при удаленном — вряд ли кто-то захочет выделить такой канал лишь для обеспечения удобства удаленного управления. Если же к вопросу удаленного доступа подойти с другой стороны, то при жестких ограничениях на пропускную способность, например при доступе по мобильной связи, оказывается достаточно 128 Кбит/с и даже меньше.

Для поддержки видео максимально возможного качества в режиме 1600×1200 в случае переключателей Aten для каждого подключения потребуется канал 50 Мбит/с. Минимально же необходимая для работы пропускная способность составляет 128 Кбит/с, причем устройство может гибко подстраиваться под нее, вплоть до перехода на полутоновое, черно-белое изображение. Однако для относительно комфортного использования отдельных функций Virtual Media требуется канал большей ширины.

Необходимая величина пропускной способности канала передачи данных для сеанса KVM — это всегда компромисс между качеством и скоростью. Как указывают в «Ниеншанц-Автоматика», благодаря использованию передовых аппаратно-программных решений для компрессии данных, KVM-over-IP-переключатели Dominion KXIII компании Raritan позволяют передавать видео FullHD 1080p со звуком по каналу до 30 Мбит/с. Но, как правило, на практике требуется передача гораздо более скромных объемов данных — например, при типовой работе с текстовыми документами в интерфейсе Windows загрузка канала составляет до 100 Кбит/с. Однако и этот уровень может быть снижен в несколько раз за счет более агрессивных настроек компрессии, уменьшения глубины цвета и разрешения. Таким образом, приемлемые условия для работы можно получить даже при аварийном доступе через 3G-модем.

Для удаленной работы через DS View компании Avocent не требуется значительной пропускной способности — в минимальном варианте достаточно даже модемного доступа. В DS View есть механизм подстройки под любую скорость канала путем сокращения размера окна или количества используемых цветов.

Рисунок 3. 24-портовый переключатель Aten KN4124V с функциональностью KVM over IP поддерживает одновременный доступ одного локального и четырех удаленных пользователей.

Что касается обеспечения возможности удаленной работы сразу для нескольких операторов, то, как отмечают в Aten, все зависит от количества соответствующих шин/каналов у конкретного KVM. Например, KVM KN 4124V c управлением по сети позволяет подключить четыре удаленных канала, при этом снижения качества не происходит (см. Рисунок 3). Удаленный доступ — это так называемое цифровое соединение, когда сигналы KVM и видео передаются в сжатом виде; при локальном же доступе обычно используется аналоговое соединение, а качество передачи аналогового видео ухудшается по мере увеличения расстояния.

В отличие от ряда других решений, в случае шлюза UMG компании Avocent его подключение к серверу является не аналоговым, а цифровым (TCP). Соответственно, оно лучше защищено от помех и затуханий сигнала с расстоянием — для KVM-портов гарантируется дальность 100 м от UMG до сервера. Для подключения KVM-портов используются специальные интеллектуальные кабельные интерфейсы, которые и выполняют всю оцифровку сигналов с интерфейсных портов сервера и обеспечивают их передачу по обычному кабелю Категории 5. Благодаря тому, что процессор, обрабатывающий все сигналы, перемещен из KVM в интерфейсный модуль, стало возможно одновременно открывать до 40 окон, позволяющих работать с удаленными серверами, тогда как раньше — не более 8.

Если при обращении к конкретному переключателю ограничения на количество одновременно работающих операторов обычно достаточно жесткие, то при использовании программного обеспечения, в частности CC2000 компании Aten, количество одновременно обслуживаемых серверов не ограничивается. Однако, если используется режим прокси, число одновременно обслуживаемых серверов зависит от мощности компьютера, на котором установлено ПО СС2000, и пропускной способности сетевых интерфейсов.

ХОЧУ ВСЕ ЗНАТЬ

Заказчика интересовал еще ряд вопросов — в частности, целесообразность применения KVM при наличии в серверах серверных процессоров HP iLO, IBM RSA, Dell DRAC и др. Тем более что они обеспечивают те же (и даже большие) возможности, что и переключатели, — например, доступ по отдельному каналу, управление на уровне BIOS, подключение виртуальных носителей (Virtual Media) и даже включение/отключение питания (в случае KVM для этого нужна интеграция с PDU). Тем не менее поставщики KVM не считают, что их оборудованию не осталось места в серверных и ЦОД. Более того, они по-прежнему настаивают на преимуществах их применения. Аргументы следующие.

Как указывают в «Ниеншанц-Автоматика», переключатели KVM-over-IP позволяют получить полный доступ к целевому серверу на уровне BIOS без необходимости приобретения дополнительных лицензий или установки специализированного ПО, что принципиально отличает их от программных решений и средств доступа на базе сервисных процессоров. Последним требуется выделить отдельный IP-адрес, что сокращает пул доступных адресов (для крупных ЦОД это является актуальной проблемой), не говоря о необходимости соответствующих физических подключений. В случае же использования KVM достаточно одного IP-адреса (или двух при необходимости резервирования). Кроме того, сервисному процессору для работы требуются открытые порты, что создает потенциальную уязвимость в системе.

В Aten считают, что сравнение вообще неуместно, поскольку назначение разное. Чтобы увидеть, что происходит в момент ошибки сервера, администратору придется проверить сервер через локальную консоль: «KVM используется для централизованного управления, для совместного использования клавиатуры/мыши/монитора, в конечном итоге — для экономии сил/денег/места, а также как альтернативное подключение к клиентским серверам». К тому же в таком «зоопарке», то есть при наличии серверов разных вендоров, согласованное использование IPMI вряд ли возможно — в этом случае, считают в «Колан», однозначно нужны переключатели KVM. Кроме того, при помощи переключателей KVM серии KN можно регистрировать все, что происходит с подключенными серверами, — для этого нужно отдельно установить ПО CCVSR.

Помимо обоснования целесообразности использования KVM наряду с серверными процессорами, заказчика интересовала возможность контроля и за другим установленным в стойках оборудованием. А именно — что дополнительно потребуется для интеграции с последовательными консолями для обеспечения управления коммутаторами, маршрутизаторами и другим оборудованием, не оснащенным портами KVM?

Управление последовательными консолями (коммутаторами, маршрутизаторами и другим оборудованием без портов KVM), как указывают в «Ниеншанц-Автоматика», осуществляется несколькими способами, и выбор оптимального зависит от конфигурации/распределения соответствующих устройств по стойкам. Но можно назвать три основных способа доступа:

KVM-over-IP-переключатель KX с модулями CIM для последовательных портов;
сервер консолей SX с поддержкой до 48 последовательных портов;
комбинированное устройство KSX с портами KVM и последовательными портами.

Aten предложила следующий вариант — приобрести консольные серверы для управления последовательными устройствами. Консольный сервер ATEN обеспечивает как дистанционный, так и внутрисетевой доступ одновременно к 48 серверам или последовательным устройствам (в наличии есть также модели с 1, 8, 16 и 32 портами). KVM-переключатели Aten серии KN оснащены портами RS232, к которым можно подключить соответствующее ИТ-оборудование, либо для подключения к KVM консольного порта ИТ-устройства можно воспользоваться модулем KA7140, который специально для этого предназначен.

Еще один важный момент, который заказчик упустил из виду, это перезагрузка «зависших» серверов, которую KVM сами по себе не обеспечивают (см. также врезку «Ящик с инструментами»). Для этого в современных моделях переключателей предусматривается интеграция с блоками розеток (Power Distribution Union, PDU). Как отметили в компании «Ниеншанц-Автоматика», система CCSG предлагает и ряд дополнительных возможностей, в частности по интеграции с системами распределения и управления электропитанием. Управляя интеллектуальным устройством распределения электропитания (iPDU) на уровне отдельной розетки, можно принудительно включать, выключать или перезагружать различное оборудование. Зачастую, при сбое ПО, перезагрузка по питанию является единственным реальным способом вернуть работоспособность тому или иному оборудованию.

Ящик с инструментами

Павел Колмычек — руководитель сети дата-центров «Крок». В процессе расширения инфраструктуры ИТ-департамент сталкивается с необходимостью централизованного контроля за множеством устройств. При ближайшем рассмотрении выясняется, что требуется организовать не только мониторинг имеющегося оборудования, но и управление им. Обе задачи редко возникают отдельно одна от другой, и решать их необходимо параллельно.

Как правило, на первоначальном этапе наиболее актуальной и проработанной является задача управления серверами. Для повседневной работы (установки сервера, настройки ПО и т. п.) требуется локальный доступ, то есть KVM-консоль, которую через коммутатор KVM подключают сразу к нескольким серверам. Для небольших инфраструктур такая схема будет приемлемой и полезной по следующим причинам:

KVM-консоль позволяет работать со всеми серверами;
наряду с функцией локального управления и переключения между серверами, большинство KVM имеют функцию удаленного доступа — устранять сбои можно из любой точки мира через Интернет;
для работы с подобным оборудованием (KVM-консоли и переключатели) не требуются особые знания по его установке, настройке и использованию.

Тем не менее данный подход не лишен существенных недостатков:

KVM-консоли и переключатели можно использовать только при включенном и исправном сервере;
через такое подключение нельзя перезагрузить зависший сервер;
при недоступности сервера невозможно диагностировать неисправность — поломка ли это самого сервера или, например, просто отсутствие питания.

Наконец, этот подход применим только для серверов, а на работу ИТ-систем напрямую влияет и другое оборудование — коммутаторы, системы хранения данных и т. д., которые остаются «за бортом» подобного «централизованного» управления.

Таким образом, при помощи переключателей KVM можно решать некоторый ограниченный круг ежедневных задач, а также диагностировать небольшой перечень неисправностей инфраструктуры. Но до полноценной системы контроля и управления это решение «не дотягивает».

В этой связи напрашивается аналогия. Представим, что мы пытаемся решить задачу удаленного контроля автомобиля (читай — ИТ-инфраструктуры). KVM — это робот, который может вести машину и следить за индикацией на панели приборов.

Но он не сможет подкачать спущенное колесо или, например, понять, что автомобиль не заводится из-за сгоревшего предохранителя.

Для полноценного решения всего спектра задач контроля и управления серверной инфраструктурой производители серверов разработали так называемые встроенные модули управления (Integrated Management Module, IMM), которые сегодня есть почти в любом сервере. IMM является отдельным мини-компьютером, не зависит от самого сервера и поэтому позволяет решать следующие задачи:

отслеживать состояние сервера, имеющиеся неисправности, историю действий и т. п.;
управлять сервером на уровне «железа» — включать/выключать и перезагружать даже «зависший» сервер;
получать доступ, как с KVM-консоли.

И при этом все подобные модули обеспечивают возможность работы через браузер, то есть подходят для 99% всех задач, возникающих при работе с сервером, — разве что коммутационные шнуры сами не подключают. Но IMM не предоставляет единого инструмента — это отдельные устройства для каждого сервера. И поскольку общих стандартов на IMM нет, то и централизованно к ним подключиться тоже не получится. Тем не менее это необходимое средство.

Первым шагом к централизации должна стать система мониторинга. Выбор программных продуктов огромный — от промышленных систем, например HP OpenView, до продуктов с открытым исходным кодом вроде Zabbix или Nagios. Эти утилиты подходят не только для серверного оборудования, но и для любого устройства, которое «умеет» информировать о своих неисправностях посредством прерываний SNMP, то есть для всей ИТ-инфраструктуры. При их использовании администратор, увидев, что сервер почему-то недоступен, уже сможет выяснить причину недоступности: отсутствие питания, неисправность блока питания сервера, поломка сетевой карты, коммутатора или системы хранения, на которой размещается ОС сервера, и т. п.

Вернемся к предложенной аналогии: наш робот научился выходить из автомобиля, проверять состояние колес, заглядывать под капот, чтобы проконтролировать уровень масла, состояние предохранителей и т. п. Но для каждого узла автомобиля (частей ИТ-инфраструктуры: серверов, коммутаторов, СХД и т. д.) все еще нужны отдельные ящики с инструментами.

На самом деле все эти ящики с инструментами могут быть сложены в общее хранилище — в своеобразный багажник, физической аналогией которого является выделенная сеть управления. К ней подключаются все IMM серверов и порты управления другого оборудования — SAN- и Ethernet-коммутаторов, СХД и прочего оборудования. Собрать все эти инструменты в один общий ящик вполне возможно, для этого существуют промышленные системы управления разработки BMC, HP, EMC и т. д. При инсталляции придется много поработать, зато потом жизнь станет гораздо легче.

Эффективность использования отдельных систем управления достигается лишь тогда, когда с помощью данных систем выполняются четко определенные, отлаженные комплексные процессы управления, желательно в автоматическом режиме. Для автоматизации комплексных процессов управления используются системы класса Orchestrator — они позволяют объединить задачи управления, выполняемые отдельными системами, в четкие технологические процессы со строго определенной последовательностью выполняемых действий.

Построение и использование таких процессов эффективно как при решении стандартных рутинных задач технической поддержки, когда требуется выявить неисправность и восстановить компоненты ИТ-инфраструктуры, так и при автоматизации критичных для бизнеса задач, где неприемлемы задержки и ошибки ручного управления. Такой подход позволяет использовать готовые, наиболее часто встречающиеся процессы управления — например, рекомендации ITIL или классические задачи администрирования. Кроме того, система автоматизации комплексных процессов управления позволяет разрабатывать собственные процессы и интегрировать в них широкий набор ИТ-систем.

Павел Колмычек — руководитель сети дата-центров «Крок».

Главный вывод, который можно сделать из нашей попытки смоделировать задачу замены устаревших KVM в достаточно крупной серверной, заключается в том, что при текущем разнообразии средств удаленного доступа, к которым относятся физические (KVM-переключатели) и программные (RDP, VNC, SSH, Telnet) инструменты, а также различные сервисные процессоры (IPMI, iLO, DRAC), нужна система централизованного контроля, которая поддерживала бы все перечисленные инструменты и позволяла управлять как физическими, так и виртуальными ресурсами.

Дмитрий Ганьжа — главный редактор «Журнала сетевых решений/LAN». С ним можно связаться по адресу: dima@lanmag.ru.