HTTP/HTTPS FQDN tilslutningsfejl på iDRAC8 firmwareversion 2.81.81.81
概要: Dell EMC integreret Dell Remote Access Controller 8 (iDRAC8) firmwareversion 2.81.81.81 blokerer HTTP/HTTPS adgang via Fully Qualified Domain Name (FQDN), når FQDN ikke er defineret som RAC-navnet på iDRAC. ...
この記事は次に適用されます：
この記事は次には適用されません：
現象
Dell EMC integreret Dell Remote Access Controller 8 (iDRAC8) firmwareversion 2.81.81.81 introducerede HTTP/HTTPS forbindelses ændringer, der kan påvirke brugerforbindelser, når der angives en fuldt ud kvalificeret Domain Name (FQDN) adresse. På grund af disse ændringer kan iDRAC8-brugerne komme ud for tilslutningsfejl, omdirigering eller ' 400-forkerte anmodningsfejl. Disse tilslutnings dele vil finde sted, når den angivne FQDN ikke stemmer overens med iDRAC ' DNSRacName '-eller ' DNSDomainName-værdier.
Browser-fejl eksempel:
Curl fejl eksempel:
root@rhel7-vm:~$ curl -k https://iR630-A.dell.com/ <!DOCTYPE html><head><title>Bad Request</title><link rel="shortcut icon" href="data:image/x-icon;," type="image/x-icon"></head><body><h2>Access Error: 400 -- Bad Request</h2><pre></pre></body></html>原因
Webserveren i iDRAC8-firmwareversion 2.81.81.81.81 gennemtvinger en standard kontrol af HTTP/HTTPS Host-header. Du kan finde flere oplysninger i Dell Security Advisory:DSA-2021-041: Dell iDRAC 8 sikkerhedsopdatering til en sårbarhed i forbindelse med Host header injektion.
解決方法
Som standard vil iDRAC8 kontrollere HTTP/HTTPS-værts overskriften og sammenligne med den definerede ' DNSRacName ' og ' DNSDomainName '. Når værdierne ikke er ens, vil iDRAC afvise HTTP/HTTPS-forbindelsen. I iDRAC8 2.81.81.81 kan denne webværts header-gennemtvingning deaktiveres med følgende RACADM-kommando.
#Disable host header check
racadm set idrac.webserver.HostHeaderCheck 0
Bemærk: Sæt kun HostHeaderCheck-værdien til ' 0 ', når der findes en manuel værtspost i DNS miljø.
Når kontrol af HTTP/HTTPS-værts header er aktiveret (mere sikker), kan iDRAC åbnes ved hjælp af IPv4/IPv6-adressen, RAC-navnet og/eller den definerede iDRAC FQDN (DNSRacName. DNSDomainName). Hvis slutbrugeren får adgang til værtsnavne, som iDRAC muligvis ikke er opmærksomme på (f. eks. en manuel DNSs indgange, der er tilføjet i DNS-poster), iDRAC8 firmware 2.81.81.81 firmwareversion introducerede en ny attribut 'ManualDNSEntry '. Denne nye indstilling kan opdateres med op til 4 IP adresser/værtsnavne/FQDN for at give en liste over værtsheadere. Dette sikrer, at indkommende anmodninger ikke fjernes, når HTTP/HTTPS-værts header har en af posterne i indstillingen ' ManualDNSEntry '.
# Add manual entry to allow list
racadm set idrac.webserver.ManualDNSEntry 192.168.20.30
racadm set idrac.webserver.ManualDNSentry 192.168.20.30,idrac.mydomain.com
Denne yderligere konfiguration er nødvendig i tilfælde af, at når:
- Slutbrugeren bruger manuel DNS konfiguration til at få adgang til iDRAC (manuel DNS værtspost
- Alternativt subject Name/vilde Card-certifikat bruges til at få adgang til iDRAC
- Sådan får du adgang til iDRAC ved hjælp af værts IP adresse direkte (via ISM)