¿Cómo se accede a la configuración SNMP de un Lenovo ThinkCentre m78 SFF?

Aviso, tostón.

Desde hace tiempo hay un equipo así en la red de segunda mano que tiene asignada por defecto una IP que crea conflictos con otros equipos que añaden ARPs dinámicas a sus respectivas tablas porque se auto-anuncia, al arrancar, con una IP y una MAC, sin comprobar la pre-existencia de la misma IP.

Se soluciona fácil añadiendo rutas estáticas a esos equipos, pero aun así hay equipos a los que no les puedo meter mano.

El caso es que los graciosos de Lenovo, en sus manuales (para niños de preescolar), no hacen ninguna mención a algún Intel Management Engine, o Intel Active Management Technology, o cualquier otra tecnología de administración de sistemas en remoto.

¿Alguno tiene idea de cómo se configura el agente SNMP en este equipo? Es que, cada vez que arranca, toca las narices a la red o a cualquier máquina virtual que no tenga preconfigurada con rutas ARP estáticas.

Sé que es un agente SNMP porque, como habréis adivinado ;), analicé el tráfico con Wireshark y puse una máquina virtual en la IP a la que intenta conectar para saber qué quería decirle.

Sólo se conecta al arrancar. Antes de cargar el sistema operativo. O sea, sí o sí, tiene que ser un chip de administración remota.

Como también podréis imaginar, desde la BIOS, nanai. No hay nada para configurar, por eso pregunto, a ver dónde demonios se configura el dichoso agente. Y en el POST tampoco sale nada para darte una idea...

O si sabéis qué software de administración remota puedo utilizar para capturar su petición y configurarlo, si es que se puede o se deja. Y si me da tiempo, porque ya digo que en que arranca el sistema operativo, ya no dice ni mu. Y como esa misma IP está asignada a otro equipo... no podría tampoco conectarme al mismo una vez que su intento de impersonarse falla con el ARP gratuito.

Y no, la solución no es cambiar mi configuración de red por un puñetero equipo :P.

Gracias, porque me estaré haciendo viejo, pero en Lenovo y en la red no encuentro respuestas.
Tirar por snmp lo veo complicado....que veas un trap snmp saliente no significa que tenga habilitado el poder configurarlo por snmpset, aparte de que adivina la community de RW, si como dices es un agente implementado antes de la carga de OS.....que también podría ser algo que wireshark interprete como SNMP por usar puerto 161/162 UDP, pero que sea cualquier otra porquería que Lenovo haya implementado para enviar datos donde sea (es una marca famosa por vulnerar leyes de protección de datos)

Es muy muy raro el tema que comentas. Si tienes administración del equipo, le puedes cambiar la IP asignada ¿No? ¿Donde está el problema? En que levanta esa IP y el arp gratuito antes de levantar el OS? Porque para eso mira en la configuración de la tarjeta de red en administrador de dispositivos, a ver si es que tiene la IP puesta a nivel hardware, o si tiene esa IP configurada en BIOS por algún lado

No sé, creo que o bien no he entendido con bastante detalle el caso (es tarde XD ) o veo soluciones más plausibles a probar que tratar de administrarlo por snmp.
Dracot escribió:que también podría ser algo que wireshark interprete como SNMP por usar puerto 161/162 UDP, pero que sea cualquier otra porquería que Lenovo haya implementado para enviar datos donde sea (es una marca famosa por vulnerar leyes de protección de datos)


Esto es lo que ve Wireshark:
Imagen


Dracot escribió:Es muy muy raro el tema que comentas. Si tienes administración del equipo, le puedes cambiar la IP asignada ¿No?


Es que no es cambiar la IP dentro del sistema, pues el equipo ya tiene otra diferente configurada dentro del sistema. El problema es la que tiene "hardcodeada" en el boot, donde sea que esté.

Dracot escribió:¿Donde está el problema? En que levanta esa IP y el arp gratuito antes de levantar el OS?


Claaaro. Que los dispositivos que no puedo poner una ARP estática me los "desgracia" XD y luego buscan algo que "no existe".

Dracot escribió:Porque para eso mira en la configuración de la tarjeta de red en administrador de dispositivos, a ver si es que tiene la IP puesta a nivel hardware, o si tiene esa IP configurada en BIOS por algún lado


En BIOS ya te digo que no hay nada de nada. Es escueta con ganas, por ahí es por donde empecé a ver si veía algo de gestión remota.

No había pensando en que a nivel de driver se pueda mirar en Windows, y configurar, una IP. La MAC sí, pero, ¿una IP?, ni pararme a pensarlo (no lo había visto antes). Miraré a ver. Si Lenovo es tan raro...

Dracot escribió:No sé, creo que o bien no he entendido con bastante detalle el caso (es tarde XD ) o veo soluciones más plausibles a probar que tratar de administrarlo por snmp.


A ti se te lee más puesto en redes, así que todo puede ser ;)

Pero dado que no veía otra vía de configuración, sin tus pistas, algo habría que hacer, visto que Lenovo no da guías de configurar ningún chip de administración remota ni nada.

Gracias.

EDIT: de todas formas, como es un equipo de otra persona, y no creo que se muestre toda la info de hardware sin el driver adecuado en un MiniXP, tardaré en mirarlo. Tal vez sí en un Live Linux, pero por no complicarme... ya lo haré cuando esté está persona.
Pues sí que es un trap snmp.....

Veo que usa la community de lectura por defecto, "public". Por lo que a lo mejor, y en el supuesto de que permita gestión por snmpset, tiene también la default para read/write, que sería "private". Puedes probar a hacerle un snmpwalk por community "private" a ver si te reporta datos, y si lo hace, probar a gestionar por snmpset.

He dado un vistazo por ahí y lo único que veo que cuadraría con los síntomas se da en los Thinkservers de Lenovo, que llevan configuración de IP en BIOS en la parte de Servet Management - BMC Network. Un PC normal no debería tener ninguna IP a nivel BIOS. ¿Que Lenovo es concretamente?
Dracot escribió:¿Que Lenovo es concretamente?


Pues el que pone en el asunto/título del hilo. Y buscando por número de serie en Lenovo, es lo que ellos mismos reportan, un ThinkCentre m78.

Tendré que mirar un manual de SNMP, porque de comandos, ni papas, por eso decía si había algún software o algo que pudiera poner en la máquina virtual que puse para ver qué decía e intentar configurar desde ahí. Suponiendo que siga respondiendo a esa IP en su MAC tras el boot de Windows.

Esto de la gestión remota me coge muy pez ;)
Para snmp, puedes instalar net-snmp por ejemplo en Windows.

Yo siempre lo he utilizado por línea de comandos, o en entornos tipo Nagios, que al final no deja de ser una lectura por comandos que después muestras "en bonito" en una interfaz web.

Para hacer snmpwalk, sería algo como

Snmpwalk -v<versión snmp> -c <community> <IP agente snmp>

Snmpwalk -v2c -c private 1.1.1.1

Los snmpget y snmpset son parecidos, pero en el get tienes que especificar el objeto a leer, y en el set el objeto a escribir, el valor, y a veces más cosas.

No es algo a saberse de memoria porque los árboles snmp pueden tener cientos o a veces miles de elementos, son cosas que se hacen consultando navegadores de variable (snmp MIB browsers) para localizar lo que se necesite.

De todas formas, snmp aparte, mírate si en la BIOS de ese equipo hay alguna opción de Server Management como en los Thinkserver, porque si así fuera, debe dejar configurr una IP desde ahí a nivel BIOS (salvo que esté capada)

Edito: ¿la IP que te solapa es la 192.168.70.125?
Dracot escribió:De todas formas, snmp aparte, mírate si en la BIOS de ese equipo hay alguna opción de Server Management como en los Thinkserver, porque si así fuera, debe dejar configurr una IP desde ahí a nivel BIOS (salvo que esté capada)


Que no hay nada, en serio. Tampoco sé que hay en los ThinkServer ;)

Lo más que hay (aún he mirado por responderte esta noche el mensaje y no quedarme yo con la mosca :P (la BIOS la miré hace ya la tira de meses la última vez)) es una opción que pone "DASH configuration" (de esas que parece que se necesita una ingeniería para saber qué es) que, buscando por ahí, debe ser algo parecido, pero que lo único que permite configurar es el tipo de terminal (ANSI, VT100+, etc).

Si acaso mañana cojo el móvil y te hago un vídeo, o una foto de cada pantalla, de la BIOS para que veas que no hay nada, de nada, de nada de red a configurar. Lo más está PXE y está deshabilitado... (EDIT: aunque mi móvil es del año catapún y no se ve un carajo)

Dracot escribió:Edito: ¿la IP que te solapa es la 192.168.70.125?


Nop.
JohnH escribió:
Dracot escribió:De todas formas, snmp aparte, mírate si en la BIOS de ese equipo hay alguna opción de Server Management como en los Thinkserver, porque si así fuera, debe dejar configurr una IP desde ahí a nivel BIOS (salvo que esté capada)


Que no hay nada, en serio. Tampoco sé que hay en los ThinkServer ;)

Lo más que hay (aún he mirado por responderte esta noche el mensaje y no quedarme yo con la mosca :P (la BIOS la miré hace ya la tira de meses la última vez)) es una opción que pone "DASH configuration" (de esas que parece que se necesita una ingeniería para saber qué es) que, buscando por ahí, debe ser algo parecido, pero que lo único que permite configurar es el tipo de terminal (ANSI, VT100+, etc).

Si acaso mañana cojo el móvil y te hago un vídeo, o una foto de cada pantalla, de la BIOS para que veas que no hay nada, de nada, de nada de red a configurar. Lo más está PXE y está deshabilitado...

Dracot escribió:Edito: ¿la IP que te solapa es la 192.168.70.125?


Nop.

Nada hombre, si te creo, no hace falta video. Pero no conozco esa máquina en concreto, y como si he visto cosas en otros modelos de Lenovo que podrían cuadrar, pues por preguntar al respecto
Ah, otra cosa, que ahora estaba probando a ver si se podía hacer algo con ese "DASH configuration" en remoto y demás, y no me acordaba de que el ARP gratuito sólo lo lanza cuando se enciende la primera vez. Es decir, carentes como son estos equipos de botón reset, reiniciar el equipo no provoca un nuevo anuncio. Supongo, por otra parte, que será la forma de funcionar de SNMP y demás protocolos. No lo sé.

De hecho, incluso asignando una entrada ARP estática con su MAC y la IP de anuncio, luego no existe, no se puede conectar a él (quería ver si hay algún puerto abierto, porque he estado leyendo que el DASH este usa un puerto HTTP). Literalmente desaparece. Sólo es visible durante una fracción de segundo durante el POST o (me queda por probar), tal vez, mientras esté el POST en pausa o se esté en BIOS.

Herramientas AMD DASH:
https://developer.amd.com/tools-for-dmtf-dash/

Pero me da que, por cómo parece ser que son esas herramientas, se necesita acceso local (instalar), así que hasta que no esté esta persona, habrá que dejar el hacer pruebas. Además, como lleva discos mecánicos no es cuestión de estar todo el rato, arranca, para, arranca, para y no quiero enredar con el equipo quitando los discos y demás mientras esta persona no está.

A ver si avanzamos algo por ahí.
Pues entonces la vía de snmp sí que queda muerta, porque tendrías que acertar a mandar el set en ese instante en que esa IP está viva y tal.

Lo que no entiendo es quien ha sido el ingeniero iluminado que le ha metido un arp gratuito a eso sí solo envía un trap snmp, que es UDP, no necesita negociar threeway-handshake ni ningún paquete de vuelta, vamos, que su relación ip-mac no se tiene que usar para nada porque solo envía, no ha de recibir nada.

Si fuera un PC tuyo personal ya te hubiera propuesto ir haciendo clear CMOS a ver si la mierda que pueda tener en BIOS se borra, ero siendo el escenario que es mejor no a ver si le vas a joder algo al usuario
Dracot escribió:Si fuera un PC tuyo personal ya te hubiera propuesto ir haciendo clear CMOS a ver si la mierda que pueda tener en BIOS se borra, ero siendo el escenario que es mejor no a ver si le vas a joder algo al usuario


La BIOS ya digo que es muy escueta y no hay prácticamente nada para configurar. Es lo que decía al principio de que tiene que ser un chip o algo. Lo que quiero decir es que dudo que sea una configuración de la BIOS en la CMOS lo que esté guardado.

Por lo que veo en la página de drivers del equipo y lo que leo del DASH, debe ser cosa del chip de Realtek:
https://pcsupport.lenovo.com/es/en/prod ... centre-m78

El ingeniero que crea estas cosas, no lo sé, pero vaya oscurantismo [+risas]
Bueno, pues al final... se probó... y..., a ver, que tiene guasa.

No se podía conectar en remoto a su MAC+IP porque en BIOS estaba deshabilitado. Pero, claro, si está deshabilitado, ¿por qué se anuncia? La conclusión a la que he llegado es que la implementación es tan absurda que, cuando el chip Realtek arranca, se anuncia sí o sí. Si luego se le comanda por BIOS, o comprueba la BIOS, o el POST hace lo que sea sobre el chip, el chip se calla y ahí no hay DASH, acceso remoto, ni leches.

No ibas mal desencaminado en que algún ingeniero... vete a saber qué hizo.

El caso es que después de instalar mierda a punta pala para su gestión, se empeñaban los programas, el dashcli ese, que el equipo no tenía un servicio DASH o que no... (no recuerdo el mensaje exacto).

En un principio pensé que era que estaba deshabilitado en la BIOS (coño, si funcionaba, algo estaría activo, ¡¡digo yo!!). Se activó. Lo mismo, da igual, no es gestionable.

La única gestión que en teoría permite esto del DASH es el pasarle datos de configuración, pero no su deshabilitación ni la gestión de la IP. No he visto en ningún sitio cómo y es que, aun así, dado que las herramientas de configuración se empeñaban en decir en que no existía en el equipo, a pesar de instalar el driver de Realtek adecuado, su servicio DASH y otras zarandajas, pues nada, callejón sin salida.

En fin, después de habilitar DASH conseguí algo al menos: conectar con el puñetero chip en remoto. Y por qué tiene la IP esa en particular, porque parece ser la que es por defecto sí o sí, por sus santas narices. Además, lees que si DASH usa la IP del equipo en el que corre, lo cual... no es cierto. Levantado el sistema operativo, DASH seguía respondiendo en la misma MAC+IP, no la del sistema.

El chip en remoto..... ja, espera.

Resulta que lo que muestra es una página web que, para empezar, no es ni la información real del propio equipo en el que está corriendo. Es una pagina cutre con cuatro informaciones y a correr... que deberían corresponder con el equipo, pero que ni de coña.

Paradójicamente hay un apartado en el que aparece la IP y, en teoría, debería poderse configurar, pero, ¡ah, amigo! todos los campos están deshabilitados, pero ¡¡¡el botón submit funcionaba!!!,.... para enviar datos que no hacían nada.... Y cuando digo que no hacían nada me refiero a que tampoco en captura se enviaban datos coherentes respecto al formulario que se envía.

En fin, para muestra un botón:
Imagen

Ahí estoy con Internet Explorer, pero vamos, que da igual el navegador, no se podían tocar los campos y la información que mostraba no se correspondía con el equipo en el que corría.

Al final dije, hasta aquí. Así se queda.

Si no me dejas configurarte, no voy a perder más el tiempo. Y mi red la he dejado tal cual. Se asume que cuando arranque ese equipo va a hacer un ARP gratuito y a correr. Donde se pueda se configuran tablas ARP estáticas y listo.

Vaya mierda. Comparativamente a, supuestamente su competidor, Intel ME/AMT, cuando este se deshabilita, al menos se queda deshabilitado, pero este, ya digo, debe ir por libre.
@JohnH ya que estabas ahí has probado a editar el html poner los datos que quieras y dar a submit?

Quizás saltándote esa validación en cliente y viendo que está todo hecho con el culo no tenga validación final y se ajuste como tú le mandes.

Un saludo
@JohnH

Pues sí que tiene guasa si.....

Llegados a este punto, yo intentaría mirar el código de esa web a ver si el submit envía un post de un form que puedas ver, para construirte el post a mano con los datos que quieras, a ver si cuela.....

No sé si te manejas con html y tal o te suena a chino lo que te comento

Edito: veo que @luciferfran te estaba dando la misma idea ;)
EDITO @luciferfran @Dracot que he caido en algo más simple esta tarde/noche.

El problema ya no es el hecho de hacer trucos para cambiar la IP, es que, DASH mismo, yo no he encontrado la forma (salvo cambiar puertos y otros) de que permita asignación/cambio de IP.

Así que, supongamos que le quitamos la IP haciendo un hack a esa interfaz. ¿Cómo asignarías luego una IP a algo con lo que no puedes conectar (que le has quitado la IP) y DASH no permite configurar?

Al final el problema radica en algo más simple. Si en la BIOS está desactivado no debería levantar ninguna IP, cosa que no obedece, en sentido de que, hasta que no se lo comanda POST/BIOS (o el mecanismo que tenga), el chip siempre levanta la IP antes del POST (o lo que sea).

En fin, mala implementación y ya.

-----------
Mensaje Original

Sí, eso ya lo miré y capturé a ver qué se enviaba pero, precisamente, por eso que dices, luciferfran ("viendo que está todo hecho con el culo no tenga validación"), pasé del tema.

Si ni siquiera enviaba en el POST los datos del propio formulario... Ahí había de todo menos los campos de formulario y los valores de red de los mismos. Y no es que estuvieran codificados, es que no los enviaba. No guardé los datos de Wireshark para mostrároslos ahora.

Me manejo en HTML y Javascript. Perfectamente podría haber hecho un GET o un POST con curl. Sólo opté por no perder el tiempo viendo el percal. Si alguna vez me da por ahí, tan fácil como rehabilitar DASH en ese equipo e intentarlo de nuevo.

Además, es que no tenía tiempo, le estaba quitando tiempo al usuario de este ordenador, para poco tiempo que está en casa, probando el tema de los drivers de Realtek y acceder desde Windows, que acabé quemado.

Si eso, para otro día.
14 respuestas