Wie AMT (vPro) einrichten?

[jdcr]

Liebe Hardwareluxxer,

seit heute kann mein Homeserver vPro und kann damit ferngewartet werden. Bzw. er sollte es warden können, aber es läuft nicht. Ich habe mich im ME-BIOS eingeloggt, das Admin-Passwort geändert und Folgendes eingestellt:

* Manageability Feature Selection: Enabled
* In Network Setup -> TCP/IP Settings -> Wired LAN IPV4 Configuration eine statische IP (und Maske und Gateway) eingetragen
* Activate Network Access: Yes

Alle anderen Einstellungen habe ich so gelassen wie sie waren. Im BIOS habe ich nur Kleinigkeiten verändert (Parallelport und Audio ausgeschaltet, Bootreihenfolge verändert).

Jetzt kann ich den Rechner per Webinterface über seine AMT-IP (verschieden von der IP des auf der Maschine laufenden Ubuntu) sehen, ihn ein-/ausschalten etc. Aber mit dem Intel Manageability Commander Tool (v7.0.12102.2) geht gar nichts. Wenn ich "Connect" drücke dauert es 1-2 Sekunden und dann scheitert der Verbindungsaufbau. Der Log sagt dazu:

-> [18:23:45] Event: 192.168.2.2 changing state to Connecting
-> [18:23:45] Information: Attempting non-TLS connection to 192.168.2.2
-> [18:23:45] Event: NetworkCredential HTTP Digest: admin, <MeinPasswort>
-> [18:23:45] Event: Service Setup: http://192.168.2.2:16992/SecurityAdministrationService
-> [18:23:45] CallAttempt: GetCoreVersion

-> [18:23:46] CallCompleted: GetCoreVersion - SUCCESS
Return Param 1: SUCCESS
Return Param 2: "9.0.10"

-> [18:23:46] Event: NetworkCredential HTTP Digest: admin, <MeinPasswort>
-> [18:23:46] Event: Service Setup: http://192.168.2.2:16992/GeneralInfoService
-> [18:23:46] Event: NetworkCredential HTTP Digest: admin, <MeinPasswort>
-> [18:23:46] Event: Service Setup: http://192.168.2.2:16992/SecurityAdministrationService
-> [18:23:46] Event: NetworkCredential HTTP Digest: admin, <MeinPasswort>
-> [18:23:46] Event: Service Setup: http://192.168.2.2:16992/NetworkAdministrationService
-> [18:23:46] CallAttempt: EnumerateInterfaces

-> [18:23:46] CallWarning: EnumerateInterfaces
-> [18:23:46] CallFailed: EnumerateInterfaces
-> [18:23:46] Error: System.Net.WebException
System.Net.WebException: Fehler bei der Anforderung mit HTTP-Status 404: Not Found.
   bei System.Web.Services.Protocols.SoapHttpClientProtocol.ReadResponse(SoapClientMessage message, WebResponse response, Stream responseStream, Boolean asyncCall)
   bei System.Web.Services.Protocols.SoapHttpClientProtocol.Invoke(String methodName, Object[] parameters)
   bei NetworkAdministrationService.Invoke(String methodName, Object[] parameters)
-> [18:23:46] Event: 192.168.2.2 changing state to Disconnected

Hat jemand eine Idee was hier schief geht? Habe ich etwas falsch eingestellt oder eine Einstellung vergessen?

 

[jdcr]

Es scheint sich wirklich um ein exotisches Problem zu handeln, das ich da habe. Google wirft nicht einmal etwas ansatzweise ähnliches aus. Bei den meisten Leuten scheint AMT entweder ganz oder gar nicht zu funktionieren. Nur bei mir funktioniert zwar das Webinterface, aber weder das Intel-Tool noch KVM.

Inzwischen habe ich das BIOS auf die neueste Revision gebracht (von R1.5.0 auf R1.10.0), was aber nichts geändert hat (außer dass jetzt mein 1600er-RAM als solcher erkannt wird).

Über das Webinterface habe ich im AMT-Log noch folgenden - weitgehend nichtssagenden - Eintrag entdeckt:
Source: Intel® AMT diagnostics
Description: HWA Error: general error.

Ansonsten habe ich noch versucht, für AMT dieselbe IP-Adresse wie für das OS zu nehmen (was angeblich für neue AMT-Versionen erlaubt ist). Es ändert sich aber rein gar nichts. Das Webinterface läuft wie gehabt, aber im Manageability Commander Tool bekomme ich statt einer Verbindung die "CallFailed: EnumerateInterfaces"-Meldung.

Bin mit meinem Latein am Ende...

 

[pumuckel]

ich hatte auch zicken mit iAMT (auf nem GigabyteQ77, das Intel DQ67SW ging viel besser)

ich nutzte dann ein howto (mal sehen ob ichs noch finde)

war evtl der listenport geändert ? (ich nutze ultraVNC Viewer und muste dazu den Port ändern per Management, evtl versuchste mal UltraVNC Viewer)

http://www.uvnc.com/docs/uvnc-viewer.html

 

[jdcr]

Ah, cool dass hier jemand mitliest und antwortet, danke! Dachte schon ich wäre der einzige hier, der AMT verwendet (verwenden will).

ich nutzte dann ein howto (mal sehen ob ichs noch finde)

Das wäre super, wenn es dir nochmal in die Hände fällt.

war evtl der listenport geändert ? (ich nutze ultraVNC Viewer und muste dazu den Port ändern per Management, evtl versuchste mal UltraVNC Viewer)

Nein bzw. weiß ich nicht. Den Port kann ich doch nur über das Manageability Commander Tool ändern, oder? Und so weit komme ich gar nicht. Das einzige was funktioniert ist das Webinterface (über Port 16992) und dort kann man keine Ports umstellen soweit ich das sehe. Deshalb gehe ich mal davon aus, dass die Ports auf Standard sind.

 

[pumuckel]

installier mal ultraVNC Viewer und versuch zu connecten

kleiner Tipp noch, das passwort muss GENAU 8 Zeichen haben (nicht 7 nicht 9) und bestimmte vorgaben erfüllen z.b. "Abcd123!"

 

[hcwuschel]

Kennst du diese Anleitung schon:
How to Remotely Control Your PC (Even When it Crashes) ?

Grüße
Torsten

 

[jdcr]

installier mal ultraVNC Viewer und versuch zu connecten

Hab' ich schon gemacht, geht nicht.

kleiner Tipp noch, das passwort muss GENAU 8 Zeichen haben (nicht 7 nicht 9) und bestimmte vorgaben erfüllen z.b. "Abcd123!"

Oh, ernsthaft?!? Ich dachte man dürfte inzwischen auch >8 Zeichen nehmen. Finde aber gerade nicht mehr wo ich das gelesen habe. Dass mindestens ein Klein-, ein Großbuchstabe, eine Zahl und ein Sonderzeichen vorkommen müssen, wusste ich.

Dann werd ich mal genau 8 Zeichen testen...


Edit: Man findet sehr unterschiedliche Angaben, häufig heißt es aber 8-32 Zeichen, z.B. hier.

Edit 2: Bei genauerem Hinsehen steht dort, dass das MEBX-Passwort 8-32 haben muss und das KVM-Passwort genau 8. Jetzt bin ich ein bisschen durcheinander. Ich dachte ich könnte alles mit einem Account ("admin") machen. Muss ich etwa im Webinterface einen User anlagen und kann nur mit dem das Manageability Commander Tool (und KVM) verwenden? Oder hat der User admin zwei Passwörter, eines für MEBX und eines für KVM, und wenn ja, wo setze ich letzteres?

 

[pumuckel]

Kennst du diese Anleitung schon:
How to Remotely Control Your PC (Even When it Crashes) ?

Grüße
Torsten

genau das how-to wars, danke

- - - Updated - - -

Oh, ernsthaft?!? Ich dachte man dürfte inzwischen auch >8 Zeichen nehmen. Finde aber gerade nicht mehr wo ich das gelesen habe. Dass mindestens ein Klein-, ein Großbuchstabe, eine Zahl und ein Sonderzeichen vorkommen müssen, wusste ich

das Q77 brachte mich genau dabei zur verzweiflung, erst als ich genau 8 nutzte ging es

- - - Updated - - -

KVM PW und MEBX PW sind 2 unterschiedliche

kvm pw setzt er bei 1. login (Abfrage) - beim q77



Edit: nun weisste auch warum ich auf Supermicro IPMI/KVM umstelle .... iAMT ist ..... naja....

 

[jdcr]

Kennst du diese Anleitung schon:
How to Remotely Control Your PC (Even When it Crashes) ?

Ja, die kannte ich sogar. Ich komme genau bis zu dem Punkt, wo man "Connect" drückt.

das Q77 brachte mich genau dabei zur verzweiflung, erst als ich genau 8 nutzte ging es

- - - Updated - - -

KVM PW und MEBX PW sind 2 unterschiedliche

kvm pw setzt er bei 1. login (Abfrage) - beim q77

Leider hat es nicht geholfen. Ich habe im MBEX-BIOS das Passwort geändert. Dann festgestellt, dass das Passwort für das Manageability-Tool und das Webinterface (das ist vermutlich das "KVM-Passwort") noch immer das alte war. Also habe ich es im Webinterface auch geändert und konnte mich dann dort damit einloggen.

Im Manageability Commander Tool kriege ich aber noch immer die gleiche Fehlermeldung wie zuvor.

Tatsächlich spricht auch der Log dafür, dass das Passwort nicht schuld ist. Denn der erste Aufruf (GetCoreVersion) klappt ja. Erst der zweite (EnumerateInterfaces) geht schief, obwohl dieselben Credentials verwendet werden.

Edit: nun weisste auch warum ich auf Supermicro IPMI/KVM umstelle .... iAMT ist ..... naja....

Hm...ja, verstehe. Aber ich würde jetzt ungern tauschen, schließlich ist die Hardware brandneu. IPMI hatte ich mir auch überlegt, aber es gab durchaus auch Gründe für die Consumer-Hardware (Preis, Stromverbrauch und so).

 

[Loopman]

IP stimmt?
KVM explizit freigeschaltet?
PIN Abfrage (also die optionale Sicherheits-PIN) deaktiviert?
Irgendeine zusätzliche Grafikkarte noch mit drin (KVM funktioniert nur mit der Intel eigenen Graka)?

 

[jdcr]

IP stimmt?

Ich habe eine statische IP vergeben. Einmal dieselbe wie das OS und einmal eine andere, beides mit dem selben negativen Ergebnis. Der Zugriff über den Browser funktioniert, dementsprechend denke ich mal, dass es nicht an der IP liegt.

Der Zugriff erfolgt übrigens lokal aus dem LAN (Fritzbox als Switch). Da ist also auch nichts was Ports* blockieren könnte.

KVM explizit freigeschaltet?

Im MEBX-BIOS war das schon per Default auf "Enabled" gesetzt. Musste nur die globale Einstellung ("Activate Network Access") aktivieren.

PIN Abfrage (also die optionale Sicherheits-PIN) deaktiviert?

Mir ist nicht klar was das sein soll. Wo finde ich die?

Irgendeine zusätzliche Grafikkarte noch mit drin (KVM funktioniert nur mit der Intel eigenen Graka)?

Nein, keine Grafikkarte, nur die IGP. Habe ganz vergessen zu sagen: das System steht in der Signatur (jdcr-server).



*) Edit: A propos ports: Müssten denn außer 16992 noch andere offen sein? Wenn ja, welche?

 

[pumuckel]

restete mal dein MEBX ... richt nach gebrauchtem board mit vergebenem PW

= reset to factory default, das kvm pw vergibt man beim 1. login per kvm (also per managemt util oder VPN)

zur klarstellung MEBX pw ist NICHT das KVM PW !

... und nein .. ein bios reset reicht nicht

 

[Patric_]

ich hab seit gestern ein D3222-B und einen i5-4570, mit AMT habe ich mich noch nicht beschäftigt.
Kann aber gerne mal versuchen, dass nachzustellen.

E: hab mal schnell schnell AMT eingeschalten, ein Passwort vergeben und konnte mich sofort übers Webinterface einloggen.
Mit dem Manageability Commander Tool kann ich mich auch verbinden. VNC geht nicht, ich kann zwar das VNC-Passwort eingeben, aber dann will er im VNC-Fenster noch eins und dort nimmt er keine Eingaben entgegen, außer Eingabe oO

 

[jdcr]

Ok, dann gibt es offenbar 3 Passwörter:
1. Das MEBX-BIOS-Passwort (wird gesetzt, wenn man das erste Mal ins MEBX-BIOS geht)
2. Das MEBX-Passwort, welches zum Login per Webinterface (und Manageability Commander Tool) verwendet wird. Dieses Passwort wird wohl gleichzeitig mit dem ersten gesetzt. Später kann man es aber unabhängig von diesem ändern.
3. Das KVM-Passwort, das ich nicht gesetzt habe, weil ich nie so weit gekommen bin.
Richtig soweit?

Was mich wundert ist, dass es ja doch ein Stück weit funktioniert. Ich habe im Commander Tool probeweise mal ein falsches Passwort eingegeben. Dann sieht man im Log, dass schon der erste Aufruf (GetCoreVersion) scheitert, nicht erst der zweite (EnumerateInterfaces).

Ich habe übrigens mal die Ports abgescannt: Von den hier beschriebenen sind 16992 und 623 offen. 16994 nicht, aber der soll - wenn ich das richtig verstehe - wohl auch erst aufgehen, wenn man (vermutlich via 16992) den Listener startet. Hier ist also alles ok, denke ich.

... und nein .. ein bios reset reicht nicht

Ja, verstanden. Ich hoffe, dass ein MEBX-Reset reicht. Oder muss ich etwa BEIDE resetten?

ich hab seit gestern ein D3222-B und einen i5-4570, mit AMT habe ich mich noch nicht beschäftigt.
Kann aber gerne mal versuchen, dass nachzustellen.

Lass mich raten - du hast auch die C't gelesen? Wenn du Lust hast, das zu testen, gerne! Geteiltes Leid und so...

 

[Patric_]

c't les ich zwar, aber deswegen wollte ich das Board nicht Wollte erst ein Asrock kaufen, aber das Fuji ist ja nur ein paar EUR teurer

Hab oben was editiert

 

[therealJMC]

Also ich hatte und habe AMT im Einsatz (unter anderem auch auf der Arbeit für Aussenstellen) - mit Intel DQ77MK zum Großteil. MBEX konfiguriert, vncviewer Plus (gibts auch als Testversion) und connecten - Connection Mode umstellen auf Intel AMT KVM. User ist admin, Pass dein entsprechendes Passwort fürs MBEX. Das seperate 8-Stellige VNC Kennwort wird mit dieser Kombination nicht benötigt.

Hattest du denn jetzt VNCviewer Plus mal probiert oder nur Ultravnc?

 

[jdcr]

Patric_:
Ok, so viel zu geteiltem Leid...

Nur um ganz sicher zu sein - du hast Folgendes gemacht:

- Beim Start ins MEBX-BIOS (Ctrl+P)
- MEBx Login gedrückt, Default-Passwort "admin" eingegeben, neues Passwort gewählt (Genau 8 Zeichen? Oder mehr?)
- Sonst keine Einstellung angefasst.

Korrekt?

Zum Vergleich, meine BIOS-/ME-Versionen sind:
V4.6.5.4 R1.10.0
MEBX v9.0.0.0024
ME v9.0.10.1372

Also ich hatte und habe AMT im Einsatz (unter anderem auch auf der Arbeit für Aussenstellen) - mit Intel DQ77MK zum Großteil. MBEX konfiguriert, vncviewer Plus (gibts auch als Testversion) und connecten - Connection Mode umstellen auf Intel AMT KVM. User ist admin, Pass dein entsprechendes Passwort fürs MBEX. Das seperate 8-Stellige VNC Kennwort wird mit dieser Kombination nicht benötigt.

Hattest du denn jetzt VNCviewer Plus mal probiert oder nur Ultravnc?

UltraVNC und VNCViewer (ohne Plus). Dass es eine Testversion gibt, hatte ich nicht gesehen.
Mein Gedankengang war halt: Wenn schon das Intel-Tool nicht connecten kann, dann brauche ich mit Software von Drittanbietern erst gar nicht groß anfangen.

 

[therealJMC]

Dann probier es mit Plus und der entsprechenden Einstellung "Intel AMT KVM" mal aus. 14 Tage ist die Version als Testversion gültig...

Ich habs Privat bei 4 Rechnern im Einsatz und in der Firma mit 80+ Clients.

 

[Patric_]

jdcr:
Richtig. Direkt 8 Zeichen. 1 Großbuchstabe, 1 Ziffer, 1 Sonderzeichen. Ich hab Abcdef1!

Bios hab ich R.1.5.0
andere Versionen sind gleich.

soweit gehts:

mit realvnc viewer (kostenlos) kommt das:

nimmt aber nur Return und Ziffern an

Bei der Plus will er einen Benutzer, Admin und mein PW funktionieren nicht.

- - - Updated - - -

jdcr:
ich hab im AMT Config Menü dieses "Manageability Feature Selection" auf Enabled gestellt und alles unter SOL/IDER/KVM enabled

 

[jdcr]

Dann probier es mit Plus und der entsprechenden Einstellung "Intel AMT KVM" mal aus. 14 Tage ist die Version als Testversion gültig...

Tatsache...das funktioniert.

Jetzt stellt sich mir die Frage - wie bekomme ich das mit kostenlosen Tools hin? Wenn ich das richtig verstehe, müsste ich dazu den Port umstellen. Das geht aber nur über das Intel-Tool, das bei mir nicht funktioniert, richtig?

Bei der Plus will er einen Benutzer, Admin und mein PW funktionieren nicht.

Komisch, das funktioniert bei mir. Hast du Connection Mode auf Intel AMT KVM und Encryption auf "None" gestellt?

ich hab im AMT Config Menü dieses "Manageability Feature Selection" auf Enabled gestellt und alles unter SOL/IDER/KVM enabled

Stimmt, das habe ich vergessen zu schreiben. "Manageability Feature Selection" ist ja sowas wie der globale Ein-/Ausschalter.

Der einzige Unterschied bei mir ist dann noch, dass ich statt DHCP (das hat nicht funktioniert, laut Fritzbox hat er sich keine IP geholt) eine statische IP angegeben habe. Seltsam das alles...

 

[Patric_]

Ach ich Depp sollte mal den Bildschirm von der Kiste anmachen. Dort erscheint ein Hinweis für den Benutzer, er soll den Techniker eine Nummer geben. Die kann ich in das VNC-Fenster eingeben und dann kann ich steuern. Schon mal ein Anfang.

Achja, mit dem kostenlosen realvnc Viewer

E: User Consent im MEBX Menü auf "None" und es geht ohne den Zahlenschmarri

 

[therealJMC]

@Patric_: Das müsste aber das Opt-In sein das man ausschalten kann.

@jdcr: Mit kostenlosen Tools - keine Ahnung. Wir haben hier VNCviewer Plus Lizenzen und ich hab mir Privat auch damals eine gekauft weil ich es von der Arbeit kannte.

 

[Patric_]

ist mir nach Abschicken des Beitrags auch eingefallen, dass es dort die Funktion gibt

Jetzt gehts aber, kann mit dem RealVNC Viewer connecten, ohne dass die Intel Software hier läuft.
Einschalten übers Webinterface funktioniert auch.

Mal sehen wie die Handhabung sein wird, evtl. gönne ich mir noch eine vPro-CPU für mein DQ77MK.

 

[jdcr]

Der Thread überholt mich gerade - eigentlich wollte ich noch schreiben, was ich genau eingestellt habe. Here it goes...

1. Mit Ctrl+P ins MEBX. Manageability Feature Selection auf Disabled stellen, um einen MEBX-Reset auszulösen. (Das meintest du, pumuckel, oder?). Dann Exit und der PC macht einen Reset (so einen richtigen mit Strom aus und so).
   
2. Wieder Ctrl+P und einloggen. Das Passwort wird beim Reset übrigens NICHT zurückgesetzt.
   
3. Intel AMT Configuration
   
4. Manageability Feature Selection auf Enabled gesetzt. Jetzt tauchen neue Menüpunkte auf.
   
5. Bei SOL/IDER/KVM alles so lassen wie es ist.
   
6. Bei User Consent die Option User Opt-in auf None stellen.
   
7. Password Policy - Keine Ahnung was das genau bewirkt. Hab es auf Anytime stehen lassen.
   
8. Unter Network Setup gibt es zwei Untermenüs. Im ersten (Network Name Settings) habe ich nichts geändert.
   
9. Im zweiten Untermenü (TCP/IP Settings) unter Wired LAN IPV4 Configuration ist per Default DHCP eingestellt. Da das bei mir nicht läuft, habe ich eine statische IP-Adresse vergeben.
   
10. Bei AMT Power Control alles auf Default gelassen.
    
11. Und schließlich mit Activate Network Access alles eingeschaltet und das MEBX-BIOS verlassen, erneuter Reboot.
    

- - - Updated - - -

(Fortsetzung)

1. Manageability Commander Tool gestartet, Suche angeworfen, PC wird problemlos gefunden. Mit Add Known Computer der Liste hinzugefügt und Passwort eingegeben.
   
2. PC in Liste ausgewählt, Connect gedrückt. Für 1-2 Sekunden erscheint neben dem Icon ein kleiner roter Kreis und der Connect-Knopf ändert sich zu "Abort Connect", während der Verbindungsaufbau läuft. Dann bricht es ab.
   
3. Der Log zeigt die erwähnte Fehlermeldung.
   

 

[Patric_]

ich hab das Intel-Tool von Open Manageability Developer Tool Kit | Intel® Developer Zone
deins sieht etwas anders aus. Ka was anders ist, habe heute auch das erste mal AMT getestet, aber probiers doch einfach mal aus

- - - Updated - - -

Log sieht so aus:

 

[jdcr]

Du, das ist mir auch gerade aufgefallen. Ich dachte erst, dass es vielleicht daran liegt, dass du ein anderes Windows verwendest als ich. Daraufhin habe ich eine VM mit XP gestartet um es dort zu installieren. Da lief es aber nicht, also bin ich ins Netz um nach einer kompatiblen Version zu suchen und bin dabei auch auf der Open...Toolkit-Seite gelandet. Das Ding funktioniert tatsächlich und zwar auch unter meinem normalen Windows.

Jetzt frag mich nicht wo ich die andere Version des Toolkits her hatte. Die Datei hieß Manageability_Developer_Tool_Kit_7_0_12102_2.msi im Gegensatz zu der funktionierenden namens ManageabilityDeveloperToolKit.msi.

Nun werde ich die Sache mal ausführlich testen. Einstweilen vielen Dank an dich und alle anderen, die hier mitgeholfen haben!

 

[Patric_]

 

[jdcr]

UltraVNC funktioniert wunderbar. Das (richtige) Intel-Tool unterstützt es sogar von Haus aus. Man muss nur sagen, dass man UltraVNC benutzen will, und den Pfad angeben. Und natürlich Redirection Port auf "Enabled" stellen.

Bleibt noch eine Sache: Wie kriege ich mein Ubuntu (Server 12.04) dazu, auch ohne angesteckten Monitor ein Bild auszugeben? Ohne Monitor kriege ich via AMT zwar im BIOS und von GRUB ein Bild, aber keines mehr sobald das OS läuft. Irgendwie scheint Linux zu erkennen, dass kein Monitor dran hängt und schaltet die Ausgabe ab. Was natürlich normalerweise sinnvoll ist. Aber kann ich dieses Verhalten irgendwo abschalten? Oder Linux überreden, AMT als Monitor anzusehen?

Edit: gerade gefunden, sieht nicht gut aus

 

[therealJMC]

Ich muss mal auf der Arbeit später gucken, ich hab auf nen paar Kisten mit AMT ebenfalls 12.04 laufen. Du musst zusätzliche Parameter im grub eintragen. Wir haben zumindest bei den DQ77MK noch im BIOS eingestellt, dass die Onboard Grafik immer an sein soll weil es da anfangs auch Zank gab. Parameter reiche ich dir nach

Edit: häng mal "nomodeset" (ohne die " natürlich) an deine grub kernel zeile ran

 

[TCM]

Bin ich froh, dass ich mich für KVM-over-IP "nur" mit Java rumschlagen muss, was aber wenigstens transparent funktioniert und nicht noch Gefrickel im Bootloader benötigt.

Danke für den Thread. Ich hatte auch mal mit AMT geliebäugelt. Jetzt lass ichs bleiben.