实施服务器物理与虚拟管理接口访问管控加固，核心是“分层隔离、最小授权、强认证、可审计”四原则，需统一管控串口、BMC/IPMI、iLO、vCenter、ESXi Shell等入口，从物理层到管理平面逐级收紧。
实施服务器物理接口与虚拟管理接口的访问管控加固，核心是“分层隔离、最小授权、强认证、可审计”四原则。不靠单一手段，而是把串口、BMC/IPMI、iLO、vCenter、ESXi Shell 等入口统一纳入策略体系，从物理层到管理平面逐级收紧。
物理接口（串口/Console）管控
串口是设备首次配置和应急恢复通道，但也是最易被物理接触利用的入口。
- 首次上电必须设置强密码（至少12位，含大小写+数字+符号），且该密码需加密保存、专人保管
- 禁用默认空用户名（如ID=1账户），并锁定无用账户： ipmitool user disable 1（BMC）或 usermod -L root（Linux串口登录后）
- 若部署在机房无人值守环境，建议加装串口服务器并启用AAA认证（RADIUS/TACACS+），禁止本地明文密码缓存
- BIOS中关闭USB启动、禁用CD/DVD引导，并设置BIOS密码；Linux系统可卸载USB存储驱动：mv /lib/modules/$(uname -r)/kernel/drivers/usb/storage/usb-storage.ko.xz /tmp/
BMC/IPMI与带外管理接口加固
BMC是独立于主系统的管理芯片，常被忽视却风险极高，必须按“专用网络+协议升级+访问收敛”三步落地。
- 将BMC口接入独立VLAN（如VLAN 99），交换机侧仅放行运维终端与监控平台IP，禁用DHCP，强制静态IP
- 操作系统内用iptables封禁非授权访问：iptables -A INPUT -p udp --dport 623 -s 10.10.99.0/24 -j ACCEPT，其余全DROP
- 禁用ICMP响应：ipmitool lan set 1 icmp_ping disabled；关闭Serial Over LAN、USB KVM等冗余通道
- 强制启用IPMI v2.0+及AES-128加密：ipmitool channel setaccess 1 1 ipmi=on privilege=4，禁用v1.5协议
虚拟化管理接口（vCenter/ESXi Shell/SSH）收敛
vCenter权限一旦失守，等于交出整套虚拟机控制权；ESXi Shell和SSH则是宿主机直通门，必须动态管控。
- vCenter启用基于角色的访问控制（RBAC），禁用administrator@vsphere.local全局账号，新建最小权限运维组（如vm-operator）
- ESXi主机默认禁用SSH与ESXi Shell，确需远程操作时：通过PowerCLI临时开启，执行完立即关闭：Get-VMHostService | Where {$_.Key -eq "TSM-SSH"} | Stop-VMHostService -Confirm:$false
- 限制vCenter Web客户端仅允许HTTPS访问，关闭旧版Flash客户端；所有API调用启用TLS 1.2+并绑定客户端证书校验
- 对ESXi主机防火墙细化规则：仅开放443（vSphere）、902（VMotion）、8080（vSAN）等必要端口，关闭427（SLP）、161（SNMP）等高危端口
日志审计与持续验证机制
管控措施是否生效，不能靠“配完就完”，必须建立闭环验证能力。
- BMC侧开启SEL日志远程转发至SIEM：ipmitool sel list | head -20 检查事件条目，ipmitool sel clear 定期清理防溢出
- Linux服务器配置rsyslog集中上报：echo "*.* @192.168.1.100:514" >> /etc/rsyslog.conf，重点采集auth.log、secure、bmc相关日志
- 每月核查固件版本：BMC、ESXi、vCenter均需比对厂商官网最新签名固件，避免已知漏洞长期驻留
- 每季度执行一次“断网渗透测试”：模拟攻击者从管理网段发起扫描、爆破、越权尝试，验证各接口实际防护水位
