הגדרת Lockdown Mode
בכניסה ל-ESXi

תמלול ההרצאה: הגדרת Lockdown Mode בכניסה ל-ESXi

הטקסט המלא של הדקות הראשונות בהרצאה «הגדרת Lockdown Mode בכניסה ל-ESXi» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.

1. 00:02

   שלום לכולם, בהרצאה זו אנחנו רוצים לדבר על נעילה של ESX נגד שיטות כניסה ישירות אליו, איך אני עושה לו לוקדאון, כדי שמנהלי הרשת יתחברו וינהלו את המערכת דרך vCenter בלבד.

2. 00:18

   אני לא רוצה שיעקפו את הניהול המרכזי שמתעד הכל ומחלק הרשאות בצורה מסודרת, וייכנסו ישירות או לממשק ה-Webby או ב-SSH פנימה. אני רוצה להגביל את מנהלי הרשת, או יותר נכון את הצוות של תמיכה טכנית.

3. 00:36

   מנהלי רשת מתחילים מניהול ישיר של ESX. הכל צריך להיות מסודר דרך V-Center מבחינתי. וזה מה שעושה Lockdown Mode. הוא מונע Prevents Remote Users From Logging Directly Into This Host.

4. 00:51

   מונע מיוזרים מרוחקים לגשת ישירות לתוך ESX. בוא נעשה Edit ונראה בדיוק מה האופציות. ויש לנו שלוש אפשרויות. האפשרות הראשונה זה Disabled. בגלל זה הכל עבד לנו עם לוגין עד עכשיו.

5. 01:06

   האופציה השנייה אומרת Lockdown בנורמל. זה אומר שה-host הזה, ה-SX הפיזי הזה, יהיה נגיש רק ב-Local Console, ב-Direct Console, ב-DCUI, או דרך V-Center.

6. 01:19

   קודם כל, דרך V-Center הוא תמיד נגיש. אנחנו בחיים לא סוגרים V-Center, כי זאת המטרה, שייכנסו דרך V-Center. הדבר היחיד שסוגרים זה את כל השיטות האחרות חוץ מ-DCUI.

7. 01:32

   אז בנורמל DCUI מובשר וכל שאר השיטות חוץ מ-VCenter חסומות. מה זה שאר השיטות? ESX-I של הלוקאלי, אלטף אחד, ה-SSH המרוחק, השל המרוחק וגישה דרך ה-Web.

8. 01:47

   בואו נעשה את האפשרות הזאת ונבדוק אותה. לפני שאני מפעיל אותה אני עושה Disabled רק לבדיקה שהלוגין עובד. היא באה ישירות ל-exinode1 כותב ad/david זאת הסיסמה של דייוויד ואנחנו רואים שדיוויד הצליח להיכנס לתוך e6 ישירות נעשה לוגאוט נבוא ללוקדאון נעשה אדיט ונעביר אותו לנורמל ברגע שהפעלנו את הלוקדאון במצב נורמל תראו מה יקרה עכשיו ad/david לא נכנס והגדרה חלה מיידית

9. 02:17

   לא צריך לעשות שום ריסטארט ושום דבר אז אני עכשיו סגרתי את כל הכניסות בנורמל הזה חוץ מ-F2, חוץ מ-Direct Console. זאת אומרת, במצב חירום שצריך להיכנס ל-ESX פיזית כי נדפקה לו כתובת IP והוא לא מצליח להגיע ל-VCenter, במצב חירום חירום אפשר לבוא ישירות ל-VCenter וללחוץ F2 ולעשות לוגין עם יוזר מיקומי של רוט.

10. 02:42

    אני שוב מדגיש ש-DCIU, Direct Console הצהוב הזה, לא תומך בעימות מתוך הכתיב דירקטורי, חייב יוזר מקומי בתוך מערכת ההפעלה שלו ורוט נכנס פנימה אתם רואים אז זה הנורמל נורמל משאיר את החלון הצהוב ליוזר מקומי אבל מנתק את כל שאר הדברים דרך אגב אם נבוא לטראבל שוט אופצ'נס ונפעיל כאן exil זה

11. 03:06

    אומר אני לוחץ על תף אחד אני כבר לא אוכל לעשות לוגין עם דיוויד אתם רואים לוגין אינקורקט וגם אם אני אפעיל ציפו אותי ואנסה להתחבר מרחוק דרך SSH לתוך ASX, AD, דייוויד, אני לא מצליח.

12. 03:22

    אתם חושבים שבעיה ב-user, דייוויד? בואו ננסה להתחבר עם רות. נעשה restart session פה, הוא מבקש שוב לוגין, נכתוב לו רות פסוורד ותראו שגם הרות לא מצליח להיכנס.

13. 03:34

    אז הנורמל הזה ניתק לנו הכל, אבל יש פה exceptions. exceptions זה אותם יוזרים שאני בכל זאת מאשר להם להיכנס פנימה כולם מנותקים חוץ ממישהו אחד.

14. 03:48

    נניח פה באקספצ'אנס נוסיף את רוט. אני עושה אוקיי, באקספצ'אנס יוזר יש לנו רוט, ועכשיו בפאטי ב-ssh מרחוק אני אוכל להתחבר ל-sx הזה עם רוט.

15. 04:00

    אני כותב רוט ופסוורד ואני בפנים. זאת אומרת שהנורמל הזה ניתק את כולם חוץ מיוזרים מיוחדים שהם באקספצ'אנס. וזאת הגנה מצוינת, אני יכול לתת לכולם לנהל את המערכת דרך vCenter, ולהשאיר יוזר אחד למקרה חירום, שיהיה רק אצל מנהל המחלקה בכספת, הסיסמה שלו.

16. 04:20

    בואו נעשה right-click duplicate session, נפתח לי עוד חלון ותראו שדייוויד לא יכול להיכנס פנימה. אז זה היה מצב נורמל ועכשיו באדיט נעבור למצב סטריקט, הדוק.

17. 04:33

    במצב מהודק, רק דרך vCenter אפשר להיכנס. הדירקט קונסול הזה הוא בכלל בסטופט, הסרוויס שלו לא עובד. זה אומר שהניהול שלו רק דרך ה-vCenter. בואו נבדוק את זה, נעשה אוקיי, נבוא ל-SX הפיזי, במסך הצהוב הזה נלחץ F2, ותראו מה אנחנו מקבלים, Direct Console Access has been disabled.

18. 04:55

    כל ה-Direct Console מבוטל. בואו נראה מה יקרה אם אני אלחץ Alt F1. נכתוב Root, Password, ואנחנו בפנים.

19. 05:03

    איך זה הגיוני? כי אנחנו ב-Exceptions. מי שב-Exception עדיין יכול להתחבר. זה היופי של ה-Exception הזה, שהוא אומר במקרה חירום ליוזר הזה עדיין יש גישה דרך ESXI של.

20. 05:17

    האם ליוזר הזה יש גם גישה דרך פוטי, או כמו שהאמריקאים אומרים פאטי, נעשה אופן וננסה להיכנס עם רוט. ואנחנו מצליחים. אז כל הנעילות האלו הן לא עובדות על אקספצ'נס יוזר.

21. 05:31

    זה היוזר שאנחנו משתמשים בו במקרה חירום. בואו נסכם. במצב סטריקט, במצב מהודק, אין לנו את הדיירקט קונסול הצהוב ואין לנו שום שיטה אחרת חוץ מווי סנטר.

22. 05:44

    הדבר היחיד שיעבוד במקרה חירום כשאין תקשורת מול וי סנטר זה היוזרים המוחרגים, אלו שנמצאים