cipher suite 是什么
IPMI 2.0 的 RMCP+ 连接由 cipher suite 决定：每个套件组合了认证算法、完整性算法与加密算法，编号从 0 到 19。厂商出于安全考虑会在新固件里禁用弱套件，如果客户端工具默认使用的套件正好被禁用，就会出现认证失败或与 RAKP 相关的报错。排查这种「密码明明没错却连不上」的问题，先看套件是否落在 BMC 允许的范围内。
基本信息
| 套件含义 | 认证、完整性与加密算法的组合，编号 0 到 19 |
|---|---|
| 常见报错 | RAKP 2 HMAC is invalid、Authentication failed |
| 排查顺序 | 套件、口令、账号权限、访问控制 |
| 防护原则 | 0 与 1 号套件无加密或弱认证，多数厂商默认禁用 |
| 权限要求 | 带外管理员账号 |
典型使用场景
- 升级带外固件后批量工具集体连不上
- 新旧工具混用时的兼容性排查
- 安全加固后确认实际可用的套件范围
- 编写自动化脚本时固定可用的套件
- 与厂商支持核对套件策略与支持矩阵
查看与指定套件
查看与指定套件
ipmitool -I lanplus -H 10.0.0.10 -U admin -f /root/.ipmi_pass lan print 1 | grep -iE 'cipher|priv' # 看当前使用的套件
ipmitool -I lanplus -C 17 -H 10.0.0.10 -U admin -f /root/.ipmi_pass mc info # 指定套件 17 测试连接
ipmitool -I lanplus -C 3 -H 10.0.0.10 -U admin -f /root/.ipmi_pass mc info # 换一个套件再试
ipmitool -I lanplus -H 10.0.0.10 -U admin -f /root/.ipmi_pass user list # 确认账号状态与权限现象与排错
| 现象 | 可能原因 | 动作 |
|---|---|---|
| RAKP 2 HMAC is invalid | 套件不在允许列表内 | 用 -C 指定其他套件重试 |
| Authentication failed | 口令或账号状态异常 | 核对口令与账号启用状态 |
| 只有部分工具失败 | 各工具默认套件不同 | 在工具侧固定套件 |
| 加固后全部失败 | 可用套件范围过窄 | 与厂商确认支持矩阵 |
批量工具通常支持指定 cipher；客户端工具与带外固件都比较新的时候，兼容性问题会明显减少。
为了兼容把套件降到 0 或 1，等于让管理通道失去加密保护，只能作为临时排查手段，不应长期使用。