iLO 什么意思？HPE 服务器远程管理详解
iLO 是 Integrated Lights-Out 的缩写，字面意思是“熄灯管理”：HPE ProLiant 服务器主板上自带的远程管理控制器（BMC）。机房里没人、主机关机或系统崩溃时，照样能远程开关机、看屏幕、挂镜像装系统；能用到什么程度，取决于 iLO 的代际和 Standard 还是 Advanced 许可。
iLO 什么意思？iLO 是 HPE（慧与）服务器上的远程管理控制器，全称 Integrated Lights-Out。Lights-Out 指机房关着灯、现场没有人的状态，名字说的就是它的用途：人不在现场，也能管理服务器。它是焊在 ProLiant 主板上的一颗独立芯片，也就是常说的 BMC，有自己的处理器、内存、固件和网口（背板上标着 iLO 的那个 RJ45 口），只要服务器插着电源线就在运行，不依赖主机的 CPU 和操作系统。出厂时用户名是 Administrator，密码是印在前面板拉卡上的随机字符串，网络默认走 DHCP。
iLO 能做什么：从开关机到远程装系统
| 你要做的事 | iLO 里对应的功能 |
|---|---|
| 远程开机、关机、重启 | 虚拟电源按钮：短按（Momentary Press）、长按强制关机（Press and Hold）、热重启（Reset）、断电再上电（Cold Boot） |
| 看屏幕、操作键盘鼠标 | 集成远程控制台（Integrated Remote Console），从开机自检、BIOS 到操作系统全程可见 |
| 远程挂 ISO 装系统 | 虚拟介质（Virtual Media），可以挂本地文件，也可以填机房内的镜像 URL |
| 判断硬件是否健康 | 健康摘要、温度与风扇传感器、IML 日志 |
| 下一次从网络或光驱启动 | 一次性启动设置（One-Time Boot），配合 PXE 或虚拟光驱 |
| 硬件故障通知 | SNMP Trap、邮件告警、远程 syslog |
| 脚本批量管理 | IPMI、Redfish（RESTful API）、SSH 命令行、HPE 的 iLOrest 工具 |
访问 iLO 有四条路：浏览器打开 https://<iLO 地址> 的网页；SSH 登录 iLO 的命令行；IPMI over LAN（iLO 5 起出厂默认关闭，要用 ipmitool 先在网页的安全访问设置里打开）；Redfish 接口。SSH 命令行适合在网页打不开时救急，下面是一次典型会话：
$ ssh [email protected]
</>hpiLO-> power 查看主机当前电源状态
</>hpiLO-> power on 开机
</>hpiLO-> power reset 硬重启
</>hpiLO-> vsp 进入虚拟串口，按 Esc 再按 ( 返回命令行vsp 能看到 Linux 的串口控制台，前提是 BIOS 里虚拟串口对应的 COM 口和系统内核的 console= 参数一致，具体对应哪个 ttyS 设备以机型文档为准。它不需要图形控制台，在许可受限时很有用。
iLO 4、iLO 5、iLO 6 有什么区别
iLO 的代际跟着 ProLiant 的代际走，看机型名后面的 Gen 编号就能对上：
| 代际 | 对应服务器 | 远程控制台 | 管理接口 | 需要注意的地方 |
|---|---|---|---|---|
| iLO 2 / iLO 3 | G5、G6 / G7 | Java 为主 | 网页、SSH、IPMI、RIBCL 脚本 | 只支持旧版 TLS，新浏览器常常打不开网页，只适合用命令行和 IPMI 维持 |
| iLO 4 | Gen8、Gen9 | .NET 和 Java 客户端，较新固件提供 HTML5 控制台（以固件发行说明为准） | 网页、SSH、IPMI、RIBCL，较新固件提供 RESTful API | IPMI over LAN 出厂开启；二手机器的固件往往很旧，接入前先升级到 HPE 发布的最新 iLO 4 版本 |
| iLO 5 | Gen10、Gen10 Plus | HTML5 为默认，另有 .NET、Java | 网页、SSH、IPMI、Redfish | 引入芯片级可信根（Silicon Root of Trust）校验固件；IPMI over LAN 出厂关闭；可切换高安全、FIPS 等安全状态 |
| iLO 6 | Gen11 | HTML5 | 网页、SSH、Redfish 为主 | 延续 iLO 5 的界面和安全架构；HPE 已把 RIBCL 等旧脚本接口转入维护阶段，部分平台不再支持 |
Gen12 配的是 iLO 7，细节以 HPE 当前文档为准。对 IDC 来说，代际差异主要落在三处：控制台要不要装客户端、老固件的 TLS 和浏览器兼容、自动化脚本该用 RIBCL 还是 Redfish。新写的脚本优先用 Redfish：iLO 4 较新的固件起都提供，只是越老的代际实现的资源越少，具体路径以实际返回为准。
手上只有一个 iLO 地址、不确定是哪一代时，用 Redfish 查一下（-u 只写用户名，curl 会提示输入密码，密码不留在命令历史里）：
curl -sk -u Administrator https://10.20.5.31/redfish/v1/Managers/1/ \
| grep -oE '"(Model|FirmwareVersion)": *"[^"]*"'返回的 Model 会是 iLO 4、iLO 5 这样的字样，FirmwareVersion 是 iLO 固件版本。老固件不支持 Redfish 时，用 ipmitool -I lanplus -H 10.20.5.31 -U Administrator -a mc info 看 Firmware Revision，-a 同样是交互式输入密码。
Standard 和 Advanced 许可差在哪
iLO 的硬件每台都有，功能靠许可解锁。所有 ProLiant 出厂自带 iLO Standard，Advanced 需要另购许可密钥；此外还有面向部分机型的 Essentials、在 Advanced 基础上加强安全功能的 Advanced Premium Security Edition 等档位，适用机型以 HPE 说明为准。IDC 日常要分清的是 Standard 和 Advanced：
| 功能 | iLO Standard（随机自带） | iLO Advanced |
|---|---|---|
| 网页、SSH、IPMI、Redfish 管理 | 有 | 有 |
| 远程开关机、一次性启动设置 | 有 | 有 |
| 健康状态、IML、iLO 事件日志 | 有 | 有 |
虚拟串口（vsp） |
有 | 有 |
| 图形远程控制台 | 只在开机自检到操作系统加载之前可用 | 全程可用 |
| 虚拟介质（挂本地 ISO 或镜像 URL） | 无 | 有 |
| 多人共享控制台、启动与故障画面录像 | 无 | 有 |
| 目录服务登录（LDAP、Kerberos 等） | 无 | 有 |
| 邮件告警、远程 syslog | 无 | 有 |
表中是 iLO 4、iLO 5 的常见划分，个别功能在不同代际、不同固件版本中的归属有过调整，采购前以 HPE 当前的许可说明为准。
判断标准很直接：这台机器要不要在系统运行时看屏幕、要不要远程挂 ISO。只有 Standard 的机器，系统一启动控制台就停在一个提示需要许可的画面上；客户报“系统起不来”时还能看到开机自检，报“系统卡死”时就什么也看不到。对外出租、要远程装系统的 ProLiant 基本都要配 Advanced；只做内部计算节点、靠 PXE 装机的，Standard 加虚拟串口也能凑合。
安装许可的步骤：
- 登录 iLO 网页，进入 Administration → Licensing，确认当前显示的是 iLO Standard 还是 iLO Advanced。二手机器和退租回收的机器尤其要先看这一项。
- 在 Activation Key 一栏输入 25 位许可密钥，点 Install。
- 许可安装后即生效，一般不需要重启 iLO 或主机；回到远程控制台确认系统运行时也能看到画面。
HPE 也提供限时的评估许可，适合临时救急，时长和申请方式以 HPE 说明为准。
远程控制台怎么用
以 iLO 5 为例：
- 登录网页，在 Overview 页的 Integrated Remote Console 一栏点 HTML5，或者在左侧 Remote Console & Media 里启动。HTML5 不需要装任何客户端；.NET 客户端只能在 Windows 上用，Java 客户端需要 Java Web Start，兼容问题多，能不用就不用。
- 控制台顶部有电源菜单：Momentary Press 相当于短按电源键，系统会正常关机；Press and Hold 相当于长按，强制断电；Reset 是热重启；Cold Boot 是先断电再上电，适合主机和外设都卡住的情况。
- 开机自检时注意屏幕下方的按键提示：F9 进 System Utilities（BIOS 和 iLO 配置），F10 进 Intelligent Provisioning（HPE 的系统部署工具），F11 是一次性启动菜单，F12 是网络启动。本地浏览器拦截了功能键时，用控制台键盘菜单里的虚拟按键或热键（Hot Keys）发送。
- 需要发送 Ctrl+Alt+Del 时用键盘菜单，不要直接按本机键盘，否则会被你自己的电脑接管。
三个常见问题：
- 网页能登录，控制台打不开：多半是防火墙只放行了 443。用 .NET 或 Java 客户端时，远程控制台默认走 TCP 17990，虚拟介质默认走 TCP 17988（端口可在 iLO 的访问设置里改），要一起放行；HTML5 控制台的端口要求以对应固件的文档为准。
- 鼠标指针和画面对不上：在远程控制台设置里调整 High Performance Mouse 选项，Linux 图形界面和老版本 Windows 对这项设置比较敏感。
- 系统启动后画面变成许可提示：这是 Standard 许可的限制，不是故障，见上一节。
虚拟介质：挂 ISO 装系统的两种方式
| 方式 | 镜像放在哪 | 速度取决于 | 适合 |
|---|---|---|---|
| 控制台挂本地 ISO | 操作人员自己的电脑 | 你的电脑到 iLO 的带宽，跨公网时一个几 GB 的安装镜像可能要读很久 | 临时挂一张工具盘、驱动盘 |
| 镜像 URL（Scripted Media） | 机房内网的 HTTP 服务器 | iLO 到 HTTP 服务器的内网带宽 | 远程装系统、批量操作 |
挂本地 ISO：在 HTML5 控制台工具栏点光盘图标，选 CD/DVD → Local *.iso file，选中镜像文件；然后用电源菜单重启，开机按 F11，在一次性启动菜单里选名称带 Virtual CD 的那一项。挂载期间浏览器标签页不能关，关了镜像就断开。
填镜像 URL：进入 Remote Console & Media → Virtual Media，在 CD/DVD 一栏的 Scripted Media URL 里填 HTTP 地址，例如 http://10.20.0.5/iso/rocky-9.4-x86_64-dvd.iso，勾选 Boot on Next Reset，点 Insert Media，再重启主机。镜像由 iLO 直接从内网拉取，不经过你的电脑，速度和稳定性都好得多。前提是 iLO 所在的管理网能访问这台 HTTP 服务器。
同样的操作可以用 Redfish 脚本完成，适合一次处理多台：
ILO=10.20.5.31
# 查看虚拟介质设备，iLO 5 上 2 号通常是 CD/DVD，以返回的 MediaTypes 为准
curl -sk -u Administrator https://$ILO/redfish/v1/Managers/1/VirtualMedia/2/
# 插入内网 HTTP 服务器上的 ISO
curl -sk -u Administrator -X POST -H 'Content-Type: application/json' \
https://$ILO/redfish/v1/Managers/1/VirtualMedia/2/Actions/VirtualMedia.InsertMedia/ \
-d '{"Image": "http://10.20.0.5/iso/rocky-9.4-x86_64-dvd.iso"}'
# 下一次启动从光驱启动，只生效一次
curl -sk -u Administrator -X PATCH -H 'Content-Type: application/json' \
https://$ILO/redfish/v1/Systems/1/ \
-d '{"Boot": {"BootSourceOverrideTarget": "Cd", "BootSourceOverrideEnabled": "Once"}}'
# 重启主机
curl -sk -u Administrator -X POST -H 'Content-Type: application/json' \
https://$ILO/redfish/v1/Systems/1/Actions/ComputerSystem.Reset/ \
-d '{"ResetType": "ForceRestart"}'每条命令都会提示输入密码，正式脚本里改用 Redfish 会话令牌。只有 Standard 许可的机器，插入镜像这一步通常会返回许可相关的错误，这时可以改走 PXE：把一次性启动目标设为 Pxe，由机房的 PXE 服务完成安装。
IML 日志：服务器报修先看这里
iLO 里有三份日志，用途不同，不要看错：
| 日志 | 记录什么 | 给谁看 | iLO 5 网页位置 |
|---|---|---|---|
| IML（Integrated Management Log） | 主机硬件事件：内存、CPU、电源、风扇、温度、硬盘、开机自检错误 | 运维排障、报修 | Information → Integrated Management Log |
| iLO 事件日志（iLO Event Log） | iLO 自身的事件：谁登录、改了哪些设置、执行了哪些电源操作 | 审计、追查误操作 | Information → iLO Event Log |
| Active Health System 日志 | 后台持续采集的配置与遥测数据，导出为二进制的 .ahs 文件 | HPE 售后分析 | Information → Active Health System Log |
读 IML 的顺序：
- 按严重程度排序，先看 Critical 和 Caution，Informational 一般是开关机、清日志这类正常事件。
- 看描述里的部件和位置。内存类事件会写处理器编号和内存槽位，电源、风扇会写编号，对照机箱盖内侧的部件位置图找到实物。
- 看次数和最后发生时间。同一条事件 Count 不断增加，说明问题还在持续，比只出现过一次的更急。
- 换件之后把条目标记为已修复（Mark as Repaired），否则健康摘要可能一直显示降级，下一次真有故障时容易被忽略。
常见条目怎么处理：
| 描述里的关键词 | 一般意味着 | 先做什么 |
|---|---|---|
| Memory、Corrected Memory Error | 某条内存的可纠正错误超过阈值 | 记下槽位，安排停机更换，不要等它发展成不可纠正错误导致宕机 |
| Power Supply | 电源故障或冗余丢失 | 先查这只电源的输入线和对应 PDU 是否有电，再判断是否换电源 |
| Fan | 风扇故障或转速异常 | 换风扇，同时看温度传感器读数是否已经偏高 |
| Temperature | 某个温度点超过阈值 | 查进风温度、机柜盲板和冷热通道，再看风扇 |
| Drive、Storage | 硬盘或阵列状态变化 | 到阵列管理工具确认是哪块盘、阵列是否降级 |
| POST Error 加编号 | 开机自检发现的错误 | 按编号查 HPE 的错误代码说明 |
报修时把 IML 导出来附在工单里，比截图更完整。iLO 5 起可以用 Redfish 一次导出（不支持 $expand 的老固件需要逐条读取 Members 里的链接）：
curl -sk -u Administrator "https://10.20.5.31/redfish/v1/Systems/1/LogServices/IML/Entries/?\$expand=." \
| python3 -m json.tool > iml-10.20.5.31.jsoniLO 事件日志在 /redfish/v1/Managers/1/LogServices/IEL/Entries/，写法相同。
在管理系统里怎么落地
一个机房里 Gen8 到 Gen10 混着用，iLO 4 和 iLO 5 的控制台客户端、菜单位置、许可状态各不相同，逐台记地址和密码是很多运维的日常。Toplink DCIM 把这些差异收进一个后台：IPMI 远程管理的控制台适配清单包含 iLO 2、iLO 4 和 iLO 5，录入地址和账号后，在浏览器里就能开关机、指定下次从 PXE 或在线 ISO 启动、打开 VNC 控制台，不必再装 Java 或 .NET 客户端，每次会话自动录像、支持倍速回放；其他代际的 iLO 接入前先对照适配清单确认。机器租出去以后，重启、重装和救援模式交给客户在自助端自己操作，重装、救援这类高危动作要过 OTP 动态口令这一关，不必把 iLO 的管理员账号交给客户。远程控制台和虚拟介质本身受 iLO 许可约束，出租前先在 Licensing 页面确认许可等级。
常见问题
iLO 和 iDRAC、IPMI 是什么关系？
iLO 和 Dell 的 iDRAC 一样，是厂商给自家 BMC 起的名字，各有自己的网页、命令行和许可方式；IPMI 和 Redfish 是访问 BMC 的标准接口，较新的 iLO 两种都支持，所以 ipmitool 和通用的 Redfish 脚本也能管理 iLO。
iLO 能直接放到公网上访问吗？
不建议。iLO 拥有服务器的完全控制权，Web 端口和 UDP 623 暴露在公网会被持续扫描和爆破。iLO 口应接入独立的管理网，只允许跳板机或管理系统访问，需要远程时先连 VPN 或跳板机。
升级 iLO 固件会影响服务器上的业务吗？
不会。升级只重启 iLO 本身，主机和操作系统照常运行，期间远程控制台和监控会断开几分钟。在 iLO 网页的固件更新页面上传 HPE 提供的固件文件即可；版本跨度很大的老固件，按 HPE 发行说明确认是否需要分步升级。