古いiDRACのGUIに接続する

概要

ブラウザのセキュリティ設定をいじって古いiDRACにSSL接続をできるようにする

事象

Nutanix CEをインストールするためにラボの古いマシンのiDRACにログインをしようとしたら以下のエラーではじかれてしまった。

原因

どうやら、iDRACが古すぎてブラウザ側でサポートされているプロトコルとSSL/TLSのネゴシエーションが成立しなくなったようだ。

この時点では、SSL/TLSバージョンの問題なのか暗号化方式（CIPHER）の問題なのかはわからないのでそれぞれのサポート範囲を調べた。

調査結果

たいていの場合はTLSバージョン範囲の不一致であるため、まずはTLSバージョンから調べていく。

まずはブラウザ側のSSL/TLS対応バージョンを調べた。以下の記事によるとTLS1.0/1.1は、デフォルトで無効化となっている模様。

実際にMS EdgeのInternet Optionを開いて確認をした（事前にIEモードを有効化する必要がある）

IEモードが有効になっている場合は、右上の3点リーダーアイコンからメニューを展開して、More ToolsからInternet Optionを選択する。（今となっては懐かしいウインドウが開く）

どうやら事前情報通り、デフォルトではTLS1.2以降が有効となっているようだ。

一方でiDRAC側のTLSバージョン対応状況を確認する。Windows OS標準のCurlコマンドでTLSバージョンを指定して確認した。

どうやら、TLS1.0にしか対応をしていないらしい。

ブラウザ側のInternet OptionからTLS1.0を有効化し、iDRACのページをIEモードで起動したところ接続することができた。

まとめ

iDRACに限らず、古いシステムの場合はSSLプロトコルの関係で接続できなくなってしまうことがある。

理想的にはサーバ側できちんと最新のSSLバージョンに対応すべきだが、古いシステムの場合は変更を加えるリスクが大きかったり、そもそも対応が不可能だったりもするので、その場合はクライアント側のセキュリティ設定で対処可能な場合もある。

ただし、セキュリティレベルを低くする設定になる場合は注意が必要である。設定をすることによるリスクの管理がきちんとできない場合は実施すべきではない。

本記事の内容はリスクを増加させる変更出ることは間違いないため、推奨することはないがワークアラウンドの一例として残した。

いいじゃないか、三流で。