h1. VPro/AMT

{{>toc}}

h2. Ressources

Security issue : https://mjg59.dreamwidth.org/48429.html

https://itpeernetwork.intel.com/understanding-amt-uefi-bios-and-secure-boot-relationships/

HOWTO setup vPro http://redmine.the.re/projects/there/wiki/HOWTO_Configure_vPro

Pour Asrock Q87M vPro http://www.asrock.com/mb/Intel/Q87M%20vPro/

Si password vPro oublié alors : F2 au boot puis Advance / AMT Configuration / un-configure ME : enabled puis reboot et repondre yes au un-configure le pass revient a admin

Overview de vpro/amttool: http://blog.dustinkirkland.com/2013/12/everything-you-need-to-know-about-intel.html

amttool grandement amélioré: http://en.sourceforge.jp/projects/sfnet_amttool-tng/releases/

http://www.panticz.de/Intel-AMT-vPro-under-Linux

http://software.intel.com/en-us/articles/intel-active-management-technology-start-here-guide-intel-amt-9

http://software.intel.com/en-us/articles/intel-amt-high-level-api-intel-manageability-library-to-manageability-webpage

http://software.intel.com/en-us/blogs/2012/12/01/intel-amt-wsman-interface-is-replacing-the-soapeoi-interface

http://en.sourceforge.jp/projects/sfnet_amttool-tng/releases/

http://en.wikipedia.org/wiki/Intel_AMT_versions

http://www-wiki.cl.cam.ac.uk/rowiki/SysInfo/IAMT

http://ark.intel.com/compare/75125,75124,75123,75122,75121,75050,75049,75047,75045,75044,75043

http://software.intel.com/en-us/forums/topic/473597

http://ark.intel.com/compare/75125,75124,75123,75122,75121,75050,75049,75048,75047,75045,75044,75043,75040,75038,75037,75036

http://downloadmirror.intel.com/19707/eng/Q67_vPro_Guide.pdf

http://blog.invisiblethings.org/2015/10/27/x86_harmful.html

h2. First step

Il faut d'abord configuration l'ipv4 et le Mot de passe dans le Bios du VPRO

*CTRL+P* au boot pour accéder à ce bios (si l'option n'est pas disponible, il est possible que dans le bios de la carte mère il faille activer l'initialisation du bios des cartes additionnels)

Celui-ci peux s’appeler:

- ME (Management Extention)

- MEBx 

- AMT

- VPRO

Le mot de passe par défaut est *admin* et il faut le changer immédiatement ( pas le choix ).

Passwords must contain 7-bit ASCII characters, in the range of 32-126, excluding ‘:’, ‘,’ and ‘”’ characters. String length is limited to 32 characters.

* At least 8 characters long.

* Contain at least one digit ('0', '1'…'9').

* Contain at least one 7-bit ASCII non alpha-numeric character, above 32, (e.g. '!', '$', '~'). Note that “_” is considered alphanumeric.

* Contain both lower-case Latin ('a', 'b'…'z') and upper case Latin ('A', 'B'…'Z') characters.

h2. Interface WEB:

L'interface WEB se trouve <IP>:16992, elle ne peux être accessible directement sur la machine si celle-ci utilise le port ethernet de management aussi pour l'OS

Elle possède des options supplémentaires par rapport au bios, comme:

- configuration ipv6

- création d'autre utilisateur privilégié/non-privilégié

- Information sur le matériel:

- ...

h2. Console Série.

* *Bios*

Elle doit avoir était d'abord activé dans le bios du VPro.

Cette option est appelé "SOL" (serial-over-lan) il faut la mettre à enable (si c'est déjà à enable, faire disable puis enable, certains bios n'ont pas ce champs correctement initialisé)

Ensuite il faut trouvé le nouveau tty disponible dans l'os, comme suit:

<pre>

# dmesg | grep ttyS 

[    0.501652] 00:09: ttyS0 at I/O 0x3f8 (irq = 4) is a 16550A

[    0.522448] 0000:00:16.3: ttyS4 at I/O 0xf0e0 (irq = 19) is a 16550A

</pre>

Dans mon exemple c'est le ttyS4

* Sous *debian* 

Dans /etc/inittab ajouter:

<pre>

T2:2345:respawn:/sbin/getty ttyS4 115200 vt100-nav

</pre>

Puis taper: 

<pre>

sudo init q

</pre>

* Sous *ubuntu*

Créer le fichier /etc/init/vpro.conf avec:

<pre>

start on runlevel [23] and not-container

stop on runlevel [!23]

respawn

exec /sbin/getty ttyS4 115200 vt100-nav

</pre>

Puis taper:

<pre>

sudo start vpro

</pre>

* Pour *tester*

A partir d'une autre machine:

<pre>

# amtterm <IP_DU_VPRO>

amtterm: NONE -> CONNECT (connection to host)

ipv4 XXX.XXX.XXX.XXX [XXX.XXX.XXX.XXX] 16994 open

amtterm: CONNECT -> INIT (redirection initialization)

amtterm: INIT -> AUTH (session authentication)

amtterm: AUTH -> INIT_SOL (serial-over-lan initialization)

amtterm: INIT_SOL -> RUN_SOL (serial-over-lan active)

serial-over-lan redirection ok

connected now, use ^] to escape

Ubuntu Raring Ringtail (development branch) XXXXX ttyS4

XXXXX login:

</pre> 

h2. IPV6

Par défaut une adresse IPV6 link local est alloué quand on active l'ipv6 sur le site WEB sans adresse IP statique.

L'IPV6 statique ne peut pas être une link local, la gateway non plus.

L'outils amttool (écrit en perl) ne supporte pas l'ipv6 nativement, voici un petit hack pour fixer ceci:

Installer ceci:

<pre>

sudo apt-get install libnet-inet6glue-perl libsoap-lite-perl

</pre>

Et modifier le script /usr/bin/amttool comme ceci:

<pre>

--- amttool	2011-05-26 11:19:45.000000000 +0200

+++ amttool.mod	2013-04-03 17:01:16.884300584 +0200

@@ -1,4 +1,5 @@

 #!/usr/bin/perl

+use Net::INET6Glue::INET_is_INET6;

 use strict;

 use warnings;

 use SOAP::Lite;

@@ -8,7 +9,7 @@

 my $amt_port = "16992";

 my $amt_proto = 'http';

-if ($amt_host =~ /([^:]+):(\d+)/) {

+if ($amt_host =~ /(.+):(\d+)$/) {

   $amt_host = $1;

   $amt_port = $2;

   if ($amt_port == 16993) {

</pre>

Petit test, et hop ca marche:

<pre>

# amttool '[FE80::DF0C:9927:BD6F:B00B%eth0]:16992' info

### AMT info on machine '[FE80::DF0C:9927:BD6F:B00B%eth0]' ###

AMT version:  8.1.20

Hostname:     XXXXXX.XXXXX.XXXXX

Powerstate:   S0

Remote Control Capabilities:

    IanaOemNumber                   157

    OemDefinedCapabilities          IDER SOL BiosReflash BiosSetup BiosPause 

    SpecialCommandsSupported        PXE-boot HD-boot cd-boot 

    SystemCapabilitiesSupported     powercycle powerdown powerup reset 

    SystemFirmwareCapabilities      7821

</pre>

h2. Enable VNC:

h3. Avec wsman

<pre>

wsman put http://intel.com/wbem/wscim/1/ips-schema/1/IPS_KVMRedirectionSettingData -h 91.224.149.2 -P 16992 -u admin -p 'PASSWORD' -k RFBPassword='PASSWORD'

wsman put http://intel.com/wbem/wscim/1/ips-schema/1/IPS_KVMRedirectionSettingData -h 91.224.149.2 -P 16992 -u admin -p 'PASSWORD' -k Is5900PortEnabled=true

wsman put http://intel.com/wbem/wscim/1/ips-schema/1/IPS_KVMRedirectionSettingData -h 91.224.149.2 -P 16992 -u admin -p 'PASSWORD' -k OptInPolicy=false

wsman invoke -a RequestStateChange http://schemas.dmtf.org/wbem/wscim/1/cim-schema/2/CIM_KVMRedirectionSAP -h 91.224.149.2 -P 16992 -u admin -p 'PASSWORD' -k RequestedState=2

</pre>

RFBPassword doit faire 8 characteres avec au moins 1 majuscule (ou 2 ?), 1 minuscule, un chiffre et une ponctuation

h3. Avec wsl patché

<pre>

export KEEPHISTORY=0

export WSUSER=admin

export WSENDPOINT="$1:16992"

export WSPASS="PASSWORD"

export PASSWORD_VNC=${PASSWORD_VNC:-$WSPASS}

export WSDEFAULTSCHEMA=intel.com

export WSNOSSL=1

export WSPASS="${WSPASS} --digest"

wsl put http://intel.com/wbem/wscim/1/ips-schema/1/IPS_KVMRedirectionSettingData Is5900PortEnabled=true OptInPolicy=false RFBPassword="PASSWORD" SessionTimeout=3

wsl put http://intel.com/wbem/wscim/1/amt-schema/1/AMT_RedirectionService ListenerEnabled=true

wsl invoke http://schemas.dmtf.org/wbem/wscim/1/cim-schema/2/CIM_KVMRedirectionSAP RequestStateChange RequestedState=2

wsl get http://intel.com/wbem/wscim/1/ips-schema/1/IPS_KVMRedirectionSettingData

</pre>

Patch wsl: https://chiliproject.tetaneutral.net/projects/git-tetaneutral-net/repository/openstack-tools/revisions/master/entry/wsl-intel-vpro.patch

Doc API AMT: https://software.intel.com/sites/manageability/AMT_Implementation_and_Reference_Guide/default.htm

Le java peut facilement être converti en commande pour wsl, faut juste deviner un le namespace dans l'url

h2. Hardware

PC FSF France

<pre>

Type	Désignation	Prix unitaire HT	Quantité	Disponibilité	Somme HT	Suppression

Boîtier PC		Advance X11 - Boîtier Moyen Tour Noir (sans alimentation)	33,325 € 	

 	Ajouter

Retirer

en stock, envoi immédiat	33,325 € 	Cliquez ici pour supprimer cet article de votre panier

Carte mère		ASRock Q87M vPro - Carte mère Micro ATX Socket 1150 Intel Q87 Express - SATA 6Gb/s - USB 3.0 - 1x PCI-Express 3.0 16x	90,80 € 	

 	Ajouter

Retirer

en stock, envoi immédiat	90,80 € 	Cliquez ici pour supprimer cet article de votre panier

Processeur		Intel Core i7-4770 (3.4 GHz) - Processeur Quad Core Socket 1150 Cache L3 8 Mo Intel HD Graphics 4600 0.022 micron (version boîte - garantie Intel 3 ans)	241,46 € 	

 	Ajouter

Retirer

en stock, envoi immédiat	241,46 € 	Cliquez ici pour supprimer cet article de votre panier

Disque dur interne		WD Red Desktop 4 To SATA 6Gb/s - Disque Dur 3,5" 4 To 64 Mo Serial ATA 6Gb/s - WD40EFRX (bulk)	150,42 € 	

 	Ajouter

Retirer

en stock, envoi immédiat	150,42 € 	Cliquez ici pour supprimer cet article de votre panier

Mémoire PC		Crucial Ballistix Sport VLP 32 Go (4 x 8 Go) DDR3 1600 MHz CL9 - Kit Quad Channel RAM DDR3 PC12800 - BLS4C8G3D1609ES2LX0BEU (garantie à vie par Crucial)	252,96 € 	

 	Ajouter

Retirer

en stock, envoi immédiat	252,96 € 	Cliquez ici pour supprimer cet article de votre panier

Disque dur SSD		Samsung SSD 840 EVO 250 Go - SSD 250 Go 2.5" 7 mm TLC Serial ATA 6Gb/s	133,29 € 	

 	Ajouter

Retirer

en stock, envoi immédiat	133,29 € 

ous-total HT :	902,255  

</pre>