Protege el plano de gestión de servidores: BMC y Redfish

La consola remota también forma parte del perímetro#

El controlador de gestión de una máquina —BMC, iLO, iDRAC u otra implementación— permite consultar el estado del hardware y, según el modelo, acceder a consola, alimentación o medios virtuales aunque el sistema operativo no esté disponible. Esa capacidad ayuda en una incidencia, pero también crea una interfaz privilegiada que debe tratarse como parte crítica de la infraestructura.

Redfish es un estándar de gestión remota basado en interfaces web y modelos de datos. No significa que todos los fabricantes implementen las mismas funciones ni que una interfaz Redfish deba quedar accesible desde redes de usuario. La propia documentación de DMTF sobre Redfish describe el alcance del estándar; los controles concretos dependen del equipo y su firmware.

Inventario y límites de acceso#

Antes de endurecer, registra para cada servidor: propietario, ubicación, modelo, versión de firmware, dirección de gestión, interfaz habilitada, dependencias de monitorización y procedimiento de acceso de emergencia. Incluye dispositivos que llevan años en producción: suelen ser los que conservan cuentas compartidas o configuraciones olvidadas.

Usa esta lista como punto de partida:

• Red dedicada: limita el plano de gestión a una VLAN o segmento administrativo, sin exposición directa a Internet ni acceso desde redes de usuario.
• Salto controlado: permite la administración desde estaciones privilegiadas o bastiones autorizados; documenta origen, destino y motivo de cada regla de firewall.
• Cuentas individuales: asigna permisos mínimos por función. Evita credenciales compartidas y cambia las credenciales de fábrica antes de conectar el dispositivo a una red alcanzable.
• Autenticación compatible: activa MFA o integración con directorio cuando el fabricante lo soporte y se haya probado el procedimiento de recuperación. Conserva una cuenta de emergencia controlada y auditable.
• Canales seguros: revisa certificados, versiones TLS admitidas y servicios auxiliares. Deshabilita interfaces que la operación no use, como consola remota o medios virtuales, si el equipo permite hacerlo sin afectar soporte.
• Automatización protegida: guarda secretos en un gestor, limita el alcance de cada cuenta de servicio, rota credenciales y evita tokens en scripts, repositorios y registros.

Cambios, firmware y acceso de emergencia#

Trata el firmware del BMC como un cambio de infraestructura: identifica la versión objetivo y sus notas, valida compatibilidad con el servidor, prepara una ventana y define cómo recuperar acceso si la actualización falla. No actualices todos los nodos de un clúster a la vez; comienza por un equipo representativo y comprueba alertas, telemetría y acceso fuera de banda antes de continuar.

Prueba también el camino de emergencia sin convertirlo en una puerta trasera permanente. La persona de guardia debe saber dónde están las credenciales, quién autoriza su uso, cómo se registra y qué acciones se requieren al terminar, como rotarlas o revisar los eventos.

Ejemplo operativo#

Escenario ilustrativo, no caso de cliente: una empresa administra una granja de virtualización desde una red corporativa común. Se crea una zona de gestión sin ruta entrante desde puestos, se permite acceso solo desde el bastión del equipo de sistemas y se sustituye la cuenta genérica por usuarios nominales. En la revisión mensual se comprueban equipos sin propietario, firmware pendiente y accesos fuera de la ventana habitual.

El objetivo no es impedir la asistencia remota, sino hacer que cada acceso privilegiado sea deliberado, limitado y verificable. Puedes relacionar este control con el diseño de clústeres de alta disponibilidad, la topología del CPD y la auditoría de redes corporativas.