IPMI 与 623 端口
623 是服务器带外管理协议的端口：UDP 623 承载 RMCP 封装的 IPMI 报文，用于开关机、查看传感器与远程控制台；TCP 623 对应带外管理的 Web 服务。它由服务器上的管理控制器提供，独立于操作系统运行，因此即使系统宕机也能操作。IPMI 2.0 的认证协议存在已知弱点，口令校验值可被离线破解，公网上的管理控制器长期是被入侵的重点对象，更现代的替代方案是基于 HTTPS 的 Redfish。
基本信息
| 服务 | 管理控制器（厂商 BMC 实现） |
|---|---|
| 协议 | UDP 623 承载 IPMI，TCP 623 为带外 Web 服务 |
| 用途 | 开关机、传感器读取、远程控制台与固件更新 |
| 认证特点 | IPMI 2.0 的认证协议存在已知弱点 |
| 替代方案 | Redfish（基于 HTTPS，通常使用 443） |
| 安全等级 | 仅限带外管理网 |
典型使用场景
- 远程开关机与重启：操作系统无响应时仍可强制重启
- 远程控制台：装机、BIOS 调整与故障恢复时提供带外画面
- 硬件监控：读取温度、风扇与电源等传感器数值
- 固件更新：在操作系统之外升级固件与固件配置
- 批量运维：通过脚本对多台服务器执行统一的带外操作
带外管理盘点
带外管理盘点
sudo ipmitool lan print 1 # 查看管理口网络配置
sudo ipmitool user list 1 # 账号清单，定期复核
sudo ipmitool chassis status # 电源状态
sudo ipmitool sensor list | head -20 # 传感器读数
# 远程访问（需凭据）：
ipmitool -I lanplus -H 192.0.2.30 -U admin -P '<口令>' chassis status暴露面与收敛方向
| 端口 | 用途 | 建议 |
|---|---|---|
| 623/udp | IPMI 协议 | 仅带外管理网可达 |
| 623/tcp | 带外 Web 服务 | 无使用场景时关闭 |
| 443/tcp | 厂商 Web 与接口 | 启用 TLS、强口令与来源限制 |
| 5900 段 | 部分厂商的远程控制台 | 按需放行到运维网段 |
现代化替代方案验证
现代化替代方案验证
curl -k -u admin:'<口令>' https://bmc.example.com/redfish/v1/ | head -c 400 # 接口是否可用
ss -lntup | grep -E ':623|:443' # 本机侧核对监听
# 收敛思路：只放行跳板机到管理网段，业务网段到管理网完全不可达管理控制器不应暴露到互联网：其认证存在已知弱点，一旦被攻陷可绕过操作系统直接控制服务器，甚至植入固件级后门。
固件与口令同样纳入管理：管理控制器的固件要跟随补丁计划更新，账号使用独立强口令且不与系统账号复用，并定期导出账号清单复核。
网络分区是关键：多数环境的做法是让带外管理口只接在专用管理交换机上，与业务网物理或逻辑隔离，运维人员经跳板机访问，从源头消除暴露面。