Supermicro IPMI: de KVM-console weer werkend, en een noodingang via SSH

De IPMI-kaart (ook BMC genoemd) is een kleine computer op het moederbord met een eigen netwerkpoort. Hij draait op de stand-bystroom van de voeding, dus hij blijft aan als de server herstart of uit staat. Je hebt er drie ingangen naartoe:

Richt ze allebei in: de KVM voor het beeld en het BIOS, de SSH-console als reserve die altijd werkt. Doe het nu, niet op het moment dat de server plat ligt.

De verbinding op poort 5900 is versleuteld met een certificaat dat Supermicro in 2016 in de firmware van een hele generatie borden heeft gezet. Het is tien jaar geldig en verliep op 17 mei 2026. De IPMI-kaart vraagt bovendien een certificaat van de viewer, van dezelfde uitgever. Is de datum voorbij 17 mei 2026, dan lukt de verbinding niet en zie je alleen "Connection failed". Bij ons gold dat voor IPMIView en voor de console uit de webomgeving.

Je meet het zo vanaf een Linux-machine die de IPMI-kaart kan bereiken:

echo | openssl s_client -connect 203.0.113.20:5900 2>/dev/null | openssl x509 -noout -subject -dates

Staat er CN = IPMI met notAfter=May 17 09:44:10 2026 GMT, dan heb je dit probleem. Het certificaat van de webomgeving (poort 443) is een ander certificaat; dat vervangen via de webomgeving helpt dus niet.

De blijvende oplossing is firmware met een nieuw certificaat. Voor ons bord (X11SSH-F) is 01.78 van november 2025 de nieuwste in het downloadcentrum, en die heeft het oude certificaat nog. Volgens het artikel van Anojh Thayaparan (bronnen onderaan) heeft Supermicro voor een deel van de X10- en X11-borden wel zo'n firmware, soms alleen via een supportverzoek, en heeft de viewer daarna ook nieuwe certificaten nodig (de bron noemt IPMIView 2.24.1). Dat hebben wij nog niet gedaan; meet na een update opnieuw met de opdracht hierboven.

Alles is gratis. De links wijzen naar de officiële bron; we hebben ze op 24 oktober 2026 nagelopen.

De downloadlink op de website van OpenWebStart gaf bij ons een foutpagina. Het installatiebestand voor Windows staat ook bij de releases op GitHub: OpenWebStart_windows-x64_1_14_0.exe. Op Linux gebruik je ipmitool uit de pakketbron (dnf install ipmitool of apt install ipmitool).

Eerst uitsluiten dat het aan het netwerk ligt. Vanaf je Windows-pc, in PowerShell:

Test-NetConnection 203.0.113.20 -Port 5900
Test-NetConnection 203.0.113.20 -Port 22

Staat er bij allebei TcpTestSucceeded : True, dan is het netwerk in orde en zit het probleem in het certificaat. Staat er False, kijk dan eerst naar je router en naar de toegangslijst van de IPMI-kaart (Configuration, IP Access Control).

1. Installeer Eclipse Temurin 8 JRE (x64, het .msi-bestand). Gebruik je op dezelfde pc programma's die een nieuwere Java nodig hebben, zet dan tijdens de installatie Modify PATH variable uit.
2. Installeer OpenWebStart. Open daarna OpenWebStart Settings, onderdeel JVM Manager.
3. Klik op Find local. Er hoort een regel 1.8.0 van Eclipse Adoptium te verschijnen. Zo niet, kies Add local en wijs de map C:\Program Files\Eclipse Adoptium\jre-8... aan.
4. Staat er ook een nieuwere Java (bij ons was dat 21), verwijder die via de drie bolletjes achter de regel. OpenWebStart kiest anders de nieuwste.
5. Vraagt OpenWebStart later of hij een nieuwe Java mag downloaden, klik dan No. Onder JVM Manager, Settings kun je het automatisch bijwerken uitzetten.

Zet de klok van de IPMI-kaart op een datum tussen 2016 en 17 mei 2026. Bij ons werkte het pas toen zowel de kaart als de pc een datum van vóór 17 mei hadden; of de klok van de pc alleen genoeg is, met de kaart op de echte datum, hebben we niet uitgeprobeerd. Neem ruim de tijd: de klok loopt gewoon door, dus met 10 mei 2026 sta je na een week weer buiten de geldigheid. Wij kozen 1 januari 2022. Op de server zelf en de virtuele machines heeft dit geen invloed; alleen de tijden in het logboek van de IPMI-kaart kloppen niet meer.

Via de server zelf (zo deden wij het, als root, zonder wachtwoord van de IPMI-kaart). ipmitool sel time set gaf bij ons "could not be parsed", daarom met de ruwe opdracht. Geeft ipmitool "Could not open device", laad dan eerst de modules met modprobe -a ipmi_devintf ipmi_si. Via de webomgeving kan het ook (zo hebben wij het niet gedaan): Configuration, Date and Time, NTP uit en de datum handmatig.

ts=$(date -u -d "2022-01-01 12:00:00" +%s); h=$(printf '%08x' "$ts")
ipmitool raw 0x0a 0x49 0x${h:6:2} 0x${h:4:2} 0x${h:2:2} 0x${h:0:2}
ipmitool sel time get

Zet NTP in de webomgeving uit, anders zet de kaart zijn klok vanzelf weer goed en werkt de KVM opeens niet meer. Na een stroomstoring of een reset van de IPMI-kaart kan de klok terugspringen naar de echte datum; zet hem dan opnieuw terug.

Ook aan de kant van de pc moet de datum vóór 17 mei 2026 liggen: alleen de klok van de IPMI-kaart terugzetten was bij ons niet genoeg. Met beide klokken terug opende het scherm meteen. Je hebt twee manieren:

• De klok van Windows even terug (getest). Instellingen, Tijd en taal, Datum en tijd: zet Tijd automatisch instellen uit, kies bij Datum en tijd handmatig instellen een datum vóór 17 mei 2026 en open de console. Zet daarna de automatische tijd weer aan met Nu synchroniseren.
• RunAsDate (niet getest). Dit programmaatje van NirSoft start één programma met een andere datum, terwijl Windows de echte tijd houdt. Of het werkt met OpenWebStart, dat de viewer als apart Java-proces start, weten we niet.

Daarna de console openen. In IPMIView: tabblad KVM Console, Launch KVM Console. Of in de webomgeving: Remote Control, Console Redirection, Launch Console; je krijgt een launch.jnlp dat je met OpenWebStart opent. Werkt een eerder opgeslagen bestand niet meer, haal dan een nieuw op. Lukt het via IPMIView niet, probeer dan de webomgeving. Het artikel van Anojh Thayaparan (bronnen onderaan) noemt dat IPMIView 2.24.1 bijgewerkte certificaten meebrengt (in de map BMCSecurity van IPMIView), bedoeld voor de nieuwe firmware; hoe dat uitpakt op oude firmware, weten we niet zeker.

Je krijgt een of twee veiligheidsvragen over een certificaat dat niet vertrouwd is ("Publisher: IPMI"). Dat is het eigen certificaat van de kaart; vink Always trust aan en klik Yes of Run. Dan opent de Java iKVM Viewer met het scherm van de server.

IPMIView meldt dat de HTML5-console op X11 en ouder een licentie vraagt (SFT-DCMS-Single), te koop bij een Supermicro-leverancier. Of die het certificaatprobleem omzeilt, hebben we niet getest.

Serial over LAN stuurt een seriële poort van de server door naar de IPMI-kaart. Via SSH op de kaart zie je die als tekstscherm. Er komt geen Java of certificaat aan te pas.

ssh jouwnaam@203.0.113.20

Vervang jouwnaam door de gebruiker van de IPMI-kaart. Wacht op de prompt -> en typ dan:

cd /system1/sol1
start

Afsluiten doe je met Enter, Esc en dan T, achter elkaar. Zie je na start niets, druk dan op Enter. Blijft het zwart, dan stuurt de server nog niets naar die poort; dat regel je op de server zelf.

Welke poort geeft de IPMI-kaart door?

Op een Supermicro X11 is dat meestal de tweede seriële poort, ttyS1 (adres 0x2F8), met 115200 baud. Controleer het op de server terwijl je SOL-sessie open staat: de poort met CTS is de goede.

cat /proc/tty/driver/serial
ipmitool sol info 1

Een inlogscherm op die poort (Proxmox, Debian)

mkdir -p /etc/systemd/system/serial-getty@ttyS1.service.d
cat > /etc/systemd/system/serial-getty@ttyS1.service.d/115200.conf <<'EOF'
[Service]
ExecStart=
ExecStart=-/sbin/agetty -o '-p -- \\u' 115200 %I vt220
EOF
systemctl daemon-reload
systemctl enable --now serial-getty@ttyS1.service
stty -F /dev/ttyS1 -a | head -1

De laatste regel hoort speed 115200 baud te zeggen. Zonder dat extra bestand bleef het inlogscherm bij ons op 9600 baud staan, de snelheid waarmee de poort opstartte, en zag je in de SOL-sessie helemaal niets. Werkt het, dan zie je na een Enter login:. De dienst staat ingeschakeld, dus hij hoort na een herstart vanzelf terug te komen.

Met alleen een inlogscherm zie je niets als de server niet opstart. Zet daarom ook het opstartmenu (GRUB) en de meldingen van de kernel op de seriële poort. Dan kies je via SSH een oudere kernel of de herstelstand, en zie je waar het opstarten stopt.

cp -a /etc/default/grub /boot/grub/grub.cfg /root/
mkdir -p /etc/default/grub.d
cat > /etc/default/grub.d/serieel-ipmi.cfg <<'EOF'
GRUB_TIMEOUT=10
GRUB_TERMINAL="console serial"
GRUB_SERIAL_COMMAND="serial --unit=1 --speed=115200 --word=8 --parity=no --stop=1"
GRUB_CMDLINE_LINUX="$GRUB_CMDLINE_LINUX console=tty0 console=ttyS1,115200n8"
EOF
update-grub
grep -nE "^(serial|terminal_)" /boot/grub/grub.cfg

--unit=1 hoort bij ttyS1; gebruikt jouw kaart ttyS0, maak er dan --unit=0 en ttyS0 van. Het menu blijft 10 seconden staan, zodat je de tijd hebt om in de SOL-sessie een toets te drukken. Omdat ttyS1 als laatste staat, komen de noodshell en wachtwoordvragen tijdens het opstarten op de seriële console; het gewone scherm toont de kernelmeldingen. Wil je ze liever op het gewone scherm, zet dan console=tty0 als laatste. Terugdraaien: het bestand weghalen en update-grub opnieuw draaien.

Dit werkt pas vanaf de eerstvolgende herstart. Wij hebben het ingesteld en het nieuwe opstartbestand nagelopen; het menu zelf via SOL zien we bij de volgende geplande herstart. Ons systeem start met GRUB vanaf /boot (gewone BIOS). Controleer het jouwe met proxmox-boot-tool status. Gebruikt dat GRUB op aparte opstartpartities, draai dan na de wijziging proxmox-boot-tool refresh. Gebruikt het systemd-boot (UEFI met ZFS), dan is er geen GRUB-menu: de kernelopties horen dan in /etc/kernel/cmdline, gevolgd door proxmox-boot-tool refresh.

Met Virtual Media koppel je een ISO-bestand van je eigen pc aan de server, alsof er een cd in zit. Zo installeer je op afstand opnieuw als de systeemschijf het begeeft. Op ons X11-bord vraagt dat een licentie: IPMIView meldt zonder licentie "To enable Virtual CD-ROM, license SFT-OOB-LIC (or SFT-DCMS-Single) is required", en in de viewer ontbreekt het menu-onderdeel Virtual Storage.

De licentie kopen en activeren

1. Koop SFT-OOB-LIC (Out of Band) in de winkel van Supermicro. Wij kochten hem in de Europese winkel, voor ruim twintig euro; de Amerikaanse winkel accepteerde bij het afrekenen alleen adressen in de VS en Canada. Kies je moederbord in de lijst. De licentie hoort bij één IPMI-kaart, en volgens de winkel is er geen geld terug.
2. Lees het MAC-adres van de IPMI-kaart uit voordat je de sleutel maakt. Vanaf de server zelf gaat dat zonder wachtwoord:

   ipmitool lan print 1 | grep -E "MAC Address|IP Address  "

3. In de winkel: My Software, Generate Key. Kies het certificaatnummer (bij ons bleef die lijst leeg zolang de bestelling op "Not Available Yet" stond), Input, BMC/IPMI MAC Address, en vul het adres in als XX:XX:XX:XX:XX:XX. Je krijgt een sleutel van zes blokjes, net zoveel als de invulvakjes onder Activate License.
4. In de webomgeving van de IPMI-kaart: Miscellaneous, Activate License. Plak de sleutel; daarna staat er Node Product Key status: Activated. Een herstart is niet nodig.

Voor de HTML5-console in de browser vraagt IPMIView (tabblad KVM Console) de licentie SFT-DCMS-Single; die is in de winkel een stuk duurder. Die hebben wij niet gekocht en niet getest.

De ISO koppelen

1. Open de console (stap 4) en kies in de viewer Virtual Media, Virtual Storage.
2. Tabblad Device1: Logical Drive Type op ISO File, Open Image, kies het bestand en klik Plug in. In de webomgeving (Virtual Media, CD-ROM Image) staat dan "There is an iso file mounted".
3. Controleer op de server, als die nog draait, dat de cd er is. Bij ons verscheen /dev/sr0 als ATEN Virtual CDROM met het label van de ISO:

   lsblk -o NAME,SIZE,TYPE,TRAN,MODEL,LABEL | grep -i rom
   blkid /dev/sr0

4. Opstarten vanaf de cd (niet getest; zo hoort het te gaan): herstart via Power Control in de viewer en druk op F11 voor het opstartmenu, of zet in IPMIView bij IPMI Device, Boot Control de volgende opstart op de cd. Klaar? Plug Out.

Reken op tijd. Het bestand komt van je eigen pc over je internetverbinding; wij maten ongeveer 0,7 MB per seconde. Een Proxmox-ISO van 1,5 GB kost dan zo'n 35 tot 40 minuten aan inlezen. Een Windows-share dicht bij de server (IPMIView, tabblad Virtual Media, of de webomgeving bij CD-ROM Image) is waarschijnlijk sneller (niet getest), maar die share moet dan wel bereikbaar zijn als de server plat ligt.

Controleer een gedownloade ISO voordat je hem gebruikt. PowerShell rekent de SHA256-code uit; die vergelijk je zelf met de code in SHA256SUMS van Proxmox. Neem dezelfde hoofdversie als die nu draait.

Get-FileHash .\proxmox-ve_*.iso -Algorithm SHA256

Installeer je Proxmox opnieuw op de systeemschijf, dan zijn de instellingen van de virtuele machines en het netwerk weg; de schijven van de machines op een andere schijf blijven staan. Let op: een standaardinstallatie zet de opslag local-lvm wel op de systeemschijf. Met een kopie van de instellingen zet je de machines terug in plaats van ze opnieuw aan te maken. Maak hem nu, en bewaar hem buiten de server.

(
command -v sqlite3 || apt install -y sqlite3
umask 077
D=/root/instellingen-$(date +%Y%m%d)
mkdir -p "$D"
tar -C / -cf "$D/bestanden.tar" etc/pve etc/network etc/hosts etc/hostname etc/fstab \
  etc/default/grub etc/default/grub.d etc/systemd/system etc/ssh root/.ssh etc/lvm/backup etc/apt etc/default/pveproxy
sqlite3 /var/lib/pve-cluster/config.db ".backup '$D/pve-config.db'"
qm list > "$D/vms.txt"; lsblk -f > "$D/schijven.txt"; ip -d addr > "$D/netwerk.txt"
tar -C /root -czf "$D.tar.gz" "$(basename "$D")" && rm -r "$D"
sha256sum "$D.tar.gz"
)

De instellingen van de machines staan in het archief onder etc/pve/nodes/<naam>/qemu-server/, want /etc/pve/qemu-server is een verwijzing daarnaartoe. Er zitten geheime sleutels in (SSH en Proxmox): haal het archief op naar je eigen pc of NAS, niet naar een gedeelde map. Het geheel staat tussen haakjes, zodat umask niet blijft hangen in je sessie. Lukt apt install niet, kijk dan of de pakketbron zonder abonnement aan staat. Meldt tar dat iets niet bestaat (bijvoorbeeld grub.d of /etc/default/pveproxy), dan komt het archief er toch. Terugzetten hebben we nog niet getest; doe het in elk geval op dezelfde hoofdversie van Proxmox en met dezelfde hostnaam, anders passen de database en de map onder nodes/ niet. Dit vervangt geen back-up van de virtuele machines zelf; die maak je met vzdump.

De noodingang heeft weinig zin als de webomgeving van Proxmox voor iedereen openstaat. Bij ons zagen we in 24 uur honderden mislukte inlogpogingen op root via poort 8006. Dit hebben we daarna gedaan, zonder de server opnieuw op te starten en zonder dat de virtuele machines er iets van merkten. Wat we niet zelf hebben uitgeprobeerd, staat erbij.

De webomgeving alleen voor je eigen adressen

Proxmox heeft een eigen toegangslijst voor de webomgeving (poort 8006) en de SPICE-proxy (poort 3128), los van de firewall. Zet je eigen vaste adres erin, het net van de server en je andere servers, en het interne net. Zo kom je er ook bij vanaf je andere servers als je thuisadres verandert.

cat /etc/default/pveproxy 2>/dev/null
cat > /etc/default/pveproxy <<'EOF'
ALLOW_FROM="198.51.100.25,203.0.113.0/27,10.0.0.0/24,127.0.0.1"
DENY_FROM="all"
POLICY="allow"
EOF
systemctl restart pveproxy spiceproxy

De eerste regel laat zien wat er al in stond; de tweede overschrijft het bestand, neem eerdere instellingen dus mee. Een open SPICE-console valt bij de herstart weg. Vervang de voorbeeldadressen door de jouwe; losse adressen en reeksen (met /) mogen door elkaar, gescheiden door komma's. Controleer daarna van twee kanten: vanaf een toegestane server hoort curl 200 te geven, en een meting van buitenaf (bijvoorbeeld check-host.net) hoort meteen afgebroken te worden (bij ons "Connection reset by peer" of "Broken pipe"). Een poortscan ziet 8006 nog wel als open: de weigering zit in Proxmox zelf.

curl -sk -o /dev/null -w "%{http_code}\n" https://203.0.113.10:8006/

Ander thuisadres en je komt er niet meer in? (niet getest) Ga via een van je toegestane servers, met een SSH-tunnel vanaf je pc, en open dan https://localhost:8006 in je browser:

ssh -L 8006:203.0.113.10:8006 jouwnaam@server.jouwdomein.nl

Ook SSH naar de host kun je beperken, met AllowUsers root@<adres> in een bestand onder /etc/ssh/sshd_config.d/ (niet in dit artikel getest). Houd een tweede sessie open tot je hebt gecontroleerd dat je er opnieuw in komt, en zet in een cluster ook de adressen van de andere nodes erbij. Tweestapsverificatie voor root (in de webomgeving onder Datacenter, Permissions, Two Factor) is een extra slot; dat hebben wij voorlopig niet aangezet.

Diensten die je niet gebruikt, dicht

rpcbind (poort 111) is alleen nodig voor NFS-opslag. Gebruik je dat niet, zet hem dan uit; anders staat hij voor iedereen open. Kijk daarna welke poorten nog luisteren.

systemctl disable --now rpcbind.socket rpcbind.service
ss -tulnp

Ruimte op de systeemschijf

Bij ons stond de systeemschijf op 87%. De pakketcache (13 GB) en het logboek (4 GB) waren de grootste posten; na het opruimen was het 59%. Ruim ook pakketten op die je niet gebruikt, zoals zfs-auto-snapshot op een host zonder ZFS, en resten van oude pakketten.

apt-get clean
mkdir -p /etc/systemd/journald.conf.d
printf '[Journal]\nSystemMaxUse=1G\n' > /etc/systemd/journald.conf.d/begrens.conf
systemctl restart systemd-journald && journalctl --vacuum-size=1G
dpkg -l | awk '/^rc/{print $2}' | xargs -r dpkg --purge
df -h /

• Herstart van de server: de IPMI-kaart blijft aan, dus je kunt het opstarten volgen als je de SOL-sessie of KVM vóór de herstart opent. Of de klok van de kaart bij een herstart gelijk wordt gezet, hebben we nog niet gezien; controleer hem na een herstart met ipmitool sel time get.
• Stroomstoring of reset van de IPMI-kaart: de kaart start zelf opnieuw. Controleer daarna de klok (stap 3), want die kan terugspringen naar de echte datum.
• Gaat de server na een stroomstoring vanzelf weer aan? Kijk naar Power Restore Policy. Voor een server die altijd aan moet staan, hoort daar always-on.

ipmitool chassis status | grep -i "power restore"
ipmitool chassis policy always-on

Wie bij de IPMI-kaart kan, kan de server uitzetten, een eigen cd koppelen en opnieuw installeren. En het inlogprotocol van IPMI 2.0 (poort 623) geeft van buitenaf een hash van het wachtwoord prijs, die offline te kraken is. Daarom:

• Zet de IPMI-kaart op een eigen netwerk of achter een VPN. Kan dat niet, beperk de toegang in Configuration, IP Access Control tot je eigen vaste adres en de server zelf.
• Gebruik je IPv6 niet voor de IPMI-kaart, zet het dan uit (BMC Setting, Network). Anders staat hij ook via een tweede adres open.
• Geef de beheerder een lang, eigen wachtwoord en gebruik niet de standaardnaam ADMIN. Wachtwoorden horen niet in een mail of een chat.
• Een inlogscherm op de seriële poort vraagt gewoon het wachtwoord van root; dat is net zo veilig als het scherm in het datacenter.

• Locked Out by a 2016 Certificate: Supermicro IPMI KVM After the May 2026 Expiry (Anojh Thayaparan): de vervaldatum, wederzijdse TLS en de klokoplossing
• supermicro / ikvm / expired certificate (OSSO): een eerder verlopen certificaat en de klok aan de kant van de viewer
• Supermicro download center (IPMIView en firmware)

Door Theo Lodewijk · 24 oktober 2026