一台用了8年的戴尔笔记本，被改造成家用服务器塞在房间角落，盖子常年合着。过去一年多，每次要进BIOS，都得把它从角落里搬出来、掀开盖子、重启、狂按F2——错过戴尔logo就再来一遍。现在，坐在书桌前就能看到它的BIOS界面。 转折点来自一个本来跟远程管理毫无关系的项目。为了做一个看门狗，在服务器卡死时自动重启，先试了继电器方案：直接断电。但服务器是戴尔Latitude笔记本，自带电池，断电这招等于白费。于是转向Latitude 7480内置的Intel iTCO看门狗，同样没成。 继电器出局，iTCO失败，项目差点放弃。这时冒出一个念头：Latitude是商务本，按理说应该内置远程管理。查了一下，果然——机器里的 i5-6300U 支持vPro。 接下来是配置。在MEBx菜单里启用AMT，MEBx是启动时的配置界面，AMT是底层技术。启用后，AMT会在 16992端口 上通过HTTP摘要认证暴露一个网页界面，提供系统状态、硬件信息、事件日志、电源控制等管理功能。 对看门狗来说，这个网页界面够用了，远程开关机就行。但它没有远程屏幕，想干更多事就得找远程KVM。搜了几轮，落到MeshCommander上。下载、配置又花了几分钟：启用重定向端口和KVM，关掉用户同意。最后，MeshCommander给出了Debian桌面的实时画面。 真正让这套方案区别于普通远程控制客户端的地方在于：AMT内置在芯片组里，独立于操作系统运行。SSH做不到的事——访问BIOS和其他系统级设置——它可以。 MeshCommander把几乎所有操作都列在界面里。测试从唯一会长期使用的功能开始：BIOS。选择Power Actions -> Reset to BIOS，几秒钟后就进入了BIOS，画面出现在Remote Desktop标签页里。16992网页界面的Remote Control页面并没有启动到BIOS的选项。 而且这不是只读画面，键盘和鼠标都能操作BIOS菜单——戴尔很早就支持鼠标控制了。整个过程里，那台戴尔笔记本服务器就合着盖子待在房间角落。退出BIOS后，照常进入GRUB，启动Debian。 不过有一处没走通：想用PC键盘进入MEBx菜单（Ctrl + P）时，按键要么没被识别，要么MeshCommander在启动阶段不支持。客户端虽然提供虚拟按键菜单，但里面没有Ctrl + P，虚拟菜单也就没试。 便利背后有几条星号。先说两个如今已经修补的漏洞： CVE-2017-5689 （Intel SA-00075）允许攻击者绕过AMT认证，获得包括远程屏幕在内的管理权限；同年还有一份关于Intel ME缺陷的公告（Intel SA-00086）。 Latitude 7480是2017年的机器，前一位使用者是商务用途，固件很可能从没更新过，理论上可能暴露在这些老漏洞下。检查AMT版本后松了口气： 11.8.X.X ，不在受影响版本范围内。 但检查版本的方式本身值得琢磨。一条curl命令发到本地地址，不用登录就把AMT版本暴露了出来——这意味着局域网里每台设备都能看到。这些端口没有对公网开放，算是安全一些，但连接走的是非TLS路径，家庭局域网里的明文HTTP。TLS可以开，但可能破坏看门狗的恢复路径，所以没试。 还有配置MeshCommander时关掉的用户同意。它原本的作用是每次连接前在笔记本屏幕上显示一个同意码，多一道确认。关掉之后，局域网里任何人想拿到这台家用服务器的完整访问权限，中间只隔着一个AMT管理员密码。 AMT的可用性也不是必然的。并非每台Intel笔记本都有，取决于平台、支持vPro的处理器和芯片组配置、固件以及配置状态。MeshCommander本身也有维护上的隐患：它是已停止维护的软件，盲目依赖并不理想。明显的替代品是MeshCentral，自托管且仍在积极维护，但那是另一个项目的事了。 AMT是个好工具，前提是愿意接受它附带的那些星号。它是针对已有硬件的实用远程固件访问手段，不是专用远程KVM设备的替代品，但活能干完，在家庭实验室里占有一席之地。下一步是：在不破坏看门狗恢复路径的前提下启用TLS，并用MeshCentral换掉MeshCommander。 特别