Panduan Instalasi vSphere untuk Hardware yang Tidak Didukung

Panduan ini berlaku untuk seluruh Dell PowerEdge generasi ke-12 yang menggunakan prosesor Intel Xeon E5-2600 product family (Sandy Bridge-EP). Berikut adalah model-model yang umum digunakan dan spesifikasi intinya:

1.1 Model Server yang Berlaku

1.2 Dell PowerEdge 11G — Tidak Didukung ESXi 8.0 U2+

1.3 Spesifikasi Kunci Intel Xeon E5-26xx Series

• Arsitektur: Sandy Bridge-EP (E5-2600 v1) dan Ivy Bridge-EP (E5-2600 v2)
• Socket: LGA 2011 (v1) / LGA 2011 (v2)
• Cores: 4, 6, atau 8 cores per processor
• QPI: 6.4 GT/s, 7.2 GT/s, atau 8.0 GT/s
• Cache: 2.5 MB per core (15-20 MB L3)
• Memory: DDR3 1600 MT/s, quad-channel, hingga 768 GB
• Chipset: Intel C602 / C600
• CPUID: 0x000206D0 (Sandy Bridge-EP)

1.4 Catatan Penting: Deprecated vs Unsupported

2.1 Hardware Minimum untuk Workaround

• CPU: Intel Xeon E5-2600 series (Sandy Bridge-EP) atau E5-2600 v2 (Ivy Bridge-EP) yang mendukung instruksi XSAVE
• RAM: Minimum 8 GB (sangat disarankan ≥ 16–32 GB untuk produksi lab)
• Boot device: ≥ 32 GB storage persisten (SSD/HDD lokal; hindari SD/USB sebagai boot utama)
• Network: Minimal satu adapter Gigabit Ethernet
• BIOS: Versi terbaru untuk platform tersebut, mode UEFI disukai

2.2 Persiapan Firmware & BIOS

1. Update komponen berikut ke versi terbaru untuk R720 via Dell Support / Dell Repository Manager:
   • System BIOS, iDRAC, PERC controller (H710 / H710P / H810 / H310), Network adapters, Lifecycle Controller
2. Pengaturan BIOS yang direkomendasikan:
   • Boot Mode: UEFI
   • Virtualization Technology (VT-x): Enabled
   • VT-d / IOMMU: Enabled
   • Execute Disable Bit (NX/XD): Enabled
   • Secure Boot: Bisa dinonaktifkan sementara jika ada masalah signature
   • Integrated RAID Controller: Enabled
   • Firmware Device Order (FDO) pada PERC: Disabled (tidak didukung oleh ESXi)

2.3 Persiapan Backup

• Full backup seluruh virtual machine (Veeam, OVF export, atau equivalent)
• Export konfigurasi host / Host Profile
• Dokumentasi: management IP, DNS, NTP, pengaturan vSwitch/DVS, nama datastore, license keys, konfigurasi storage

2.4 Download Software

1. Login ke Broadcom Support Portal.
2. Navigasi ke VMware vSphere → 8.0 → Custom ISO.
3. Cari Dell dan download image Dell Customized ESXi 8.0 U3k terbaru jika tersedia.
4. Jika tidak ada Dell Custom image yang cocok untuk platform lama (umum pada R720), download standard VMware ESXi 8.0 U3k ISO.
5. Siapkan media bootable: USB (gunakan Rufus mode DD) atau iDRAC Virtual Media

2.5 Pertimbangan vCenter

Jika host dikelola oleh vCenter, upgrade vCenter Server ke versi 8.x sebelum upgrading ESXi hosts (urutan resmi VMware).

Contoh baris lengkap:

runweasel cdromBoot allowLegacyCPU=true

4.1 Upgrade Interaktif (Metode ISO)

1. Letakkan host dalam Maintenance Mode dan evakuasi/shutdown semua VM.
2. Boot dari ESXi 8.0 ISO (Dell Custom atau standard).
3. Tekan Shift + O dan tambah allowLegacyCPU=true.
4. Pilih opsi Upgrade (mempertahankan VMFS datastore dan konfigurasi).
5. Konfirmasi CPU warning dan selesaikan upgrade.
6. Reboot host.

4.2 Metode Upgrade CLI (esxcli)

1. Letakkan host dalam Maintenance Mode.
2. Unggah offline depot ZIP (Dell Custom atau standard) ke datastore.
3. Enable SSH dan jalankan:

esxcli software profile update \
  -d /vmfs/volumes/<datastore-name>/<ESXi-8.0-U3k-bundle>.zip \
  -p <profile-name> \
  --no-hardware-warning

1. Reboot host:

reboot

4.3 Kickstart / Instalasi Otomatis

Tambahkan opsi berikut ke kickstart file:

install --firstdisk --overwritevmfs --ignoreprereqwarnings --ignoreprereqerrors --forceunsupportedinstall

Atau passing allowLegacyCPU=true via boot command line.

Simpan script berikut sebagai post_esxi8_unsupported_check.sh dan jalankan setelah host berhasil boot (via SSH atau ESXi Shell).

#!/bin/sh
LOGFILE="/tmp/esxi8_unsupported_verify_$(date +%Y%m%d_%H%M%S).log"
exec > >(tee -a "$LOGFILE") 2>&1

echo "=== Verifikasi Pasca-Instalasi ESXi 8.0 Unsupported Hardware ==="
echo "Tanggal: $(date)"
echo "Nama host: $(hostname)"
echo ""

echo ">>> 1. Versi & Build ESXi"
vmware -v
esxcli system version get
echo ""

echo ">>> 2. CPU & Platform Hardware"
esxcli hardware cpu list | head -25
esxcli hardware platform get
echo ""

echo ">>> 3. Driver & VIB Kritis"
echo "--- Controller Storage (PERC / MegaRAID / Dell) ---"
esxcli software vib list | grep -iE "perc|megaraid|dell|lsi|mpt|sas"
echo ""
echo "--- Driver Network ---"
esxcli software vib list | grep -iE "igb|ixgbe|bnx|tg3|e1000|vmxnet|nmlx|qfle|ixgbe"
echo ""
echo "--- Semua VIB Terkait Dell ---"
esxcli software vib list | grep -i dell
echo ""

echo ">>> 4. Adapter Network Fisik"
esxcli network nic list
echo ""

echo ">>> 5. Konfigurasi vSwitch Standard"
esxcli network vswitch standard list
echo ""
esxcli network vswitch standard portgroup list
echo ""

echo ">>> 6. Adapter Storage"
esxcli storage core adapter list
echo ""
echo ">>> Perangkat Storage (20 pertama)"
esxcli storage core device list | head -40
echo ""

echo ">>> 7. Status Sertifikat Host"
if [ -f /etc/vmware/ssl/rui.crt ]; then
  echo "Sertifikat host ditemukan."
  openssl x509 -in /etc/vmware/ssl/rui.crt -noout -subject -issuer -dates 2>/dev/null || echo "Tidak dapat parse sertifikat dengan openssl"
else
  echo "Tidak ada sertifikat host (host standalone atau belum bergabung dengan vCenter)"
fi
ls -la /etc/vmware/ssl/ 2>/dev/null
echo ""

echo ">>> 8. Status Sistem"
esxcli system maintenanceMode get
esxcli system stats uptime get
esxcli network firewall get
echo ""

echo ">>> 9. Profil Software Saat Ini"
esxcli software profile get
echo ""

echo "=== Verifikasi selesai ==="
echo "File log: $LOGFILE"
echo ""
echo "Langkah selanjutnya yang disarankan:"
echo "1. Periksa driver yang mungkin hilang (terutama PERC dan NIC)."
echo "2. Jika PERC hilang, pertimbangkan menyalin VIB yang kompatibel dari instalasi ESXi 7."
echo "3. Gabungkan host ke vCenter dan verifikasi kepercayaan sertifikat."
echo "4. Pantau /var/log/vmkernel.log selama 24-48 jam pertama."

Cara menjalankan skrip:

# Enable SSH: Host Client → Manage → Services → TSM-SSH → Start
# Copy script ke host, kemudian:
chmod +x post_esxi8_unsupported_check.sh
sh post_esxi8_unsupported_check.sh

6.1 Ringkasan Status Versi & CVE Kritis

Berikut adalah status patch keamanan ESXi 8.0 hingga Agustus 2026 yang relevan untuk lingkungan lab unsupported:

6.2 CVE Kritis yang Relevan

6.3 Mitigasi & Defense-in-Depth

Broadcom secara resmi menyatakan tidak ada workaround lengkap yang menghilangkan kerentanan ini sepenuhnya — patching ke fixed build adalah cara yang direkomendasikan. Namun, berikut langkah-langkah praktis yang bisa dilakukan segera:

6.3.1 Patch ke Versi Fixed (Prioritas Utama)

• Dari U3j atau lebih baru: Langsung ke ESXi 8.0 U3k (Build 25595708) atau lebih baru.
• Dari U2e: Ke ESXi 8.0 U2f (Build 25626445) — security-only patch untuk CVE-2026-47876, lalu rencanakan ke U3k.
• Dari U3 lama (U3a–U3c): Jangan lakukan back-in-time update ke U3 yang lebih lama. Langsung ke U3k.
• Gunakan vSphere Lifecycle Manager (vLCM) image atau offline depot. Live Patch tersedia di U3k untuk cluster yang dikelola oleh images (kurangi downtime).
• Pastikan backup konfigurasi host + snapshot/backup VM sebelum patching.

6.3.2 Kurangi Attack Surface VMXNET3 (Mitigasi Parsial)

• Audit semua VM: Ganti VMXNET3 ke E1000e atau VMXNET2 jika performa network tidak kritis (atau test dulu). Non-VMXNET3 tidak affected oleh CVE-2026-47876.
• Catatan: Broadcom tetap merekomendasikan patch host, bukan hanya ganti adapter.
• Least privilege di guest OS: Jangan biarkan user biasa jadi local admin di VM production. VMX escape memerlukan privilege admin di dalam VM.

6.3.3 Hardening Host & Network

• Disable services yang tidak perlu: SLP sudah default disabled di 8.0, pastikan tetap off.
• Firewall ESXi: Batasi akses management (443, 902, dll) hanya dari jump host / management network terpercaya.
• Enable Lockdown Mode (Normal atau Strict).
• Gunakan Secure Boot jika memungkinkan.
• Isolasi management network dari production/VM network.
• Monitor log ESXi + vCenter secara real-time (syslog ke SIEM). Perhatikan anomali privilege escalation atau process di host.

6.3.4 Kontrol Akses & Monitoring

• MFA di vCenter + AD integration yang ketat.
• Role-based access: Jangan kasih Administrator full di ESXi kecuali benar-benar perlu.
• Enable auditing & advanced logging.
• Immutable backup: Backup VM & host config ke air-gapped atau Object Lock. Ransomware ESXi sering target datastore.
• Update microcode Intel Xeon E5-26xx — ESXi membawa update microcode di patch, pastikan build terbaru.
• Review Dell firmware/iDRAC — pastikan BIOS/BMC terbaru untuk secure boot & hardware security.
• Waspadai AD group "ESX Admins" (CVE lama yang pernah dieksploitasi ransomware).

6.3.5 Mode Aman: IP Lokal & Pengamanan Router (Cisco / Fortinet)

Untuk lingkungan lab unsupported yang tetap butuh akses jaringan, terapkan pola defense-in-depth dengan management network yang terisolasi dan perangkat edge firewall/router yang mengontrol akses ke host ESXi.

6.3.5.1 Konfigurasi IP Lokal Terisolasi

• Management network terpisah: Gunakan VLAN khusus atau interface fisik terdedikasi untuk management ESXi (default: 443/902). Jangan campur dengan VM network atau storage network.
• IP statik pada management: Set IP address statik di ESXi management interface. Hindari DHCP yang bisa berubah dan memutus akses.
• Jump host / Bastion host: Hanya jump host yang memiliki route ke management network. Semua admin harus melewati jump host untuk mengakses ESXi host client atau SSH.
• Disable unnecessary services: Matikan SSH, ESXi Shell, dan CIM broker jika tidak digunakan. Enable hanya saat troubleshooting.
• Lockdown Mode: Enable Lockdown Mode (Normal atau Strict) di ESXi untuk membatasi direct ESXi CLI access.

6.3.5.2 Tata Cara Pengamanan dengan Router/Firewall Cisco atau Fortinet

Jika di atas host ESXi ada router/firewall seperti Cisco ASA, Cisco ISR, Fortinet FortiGate, atau FortiSwitch, gunakan device tersebut sebagai single point of kontrol untuk management traffic.

Cisco Router/Firewall

! Buat VLAN management terdedikasi
vlan 100
 name ESXI-MGMT

! Interface untuk ESXi management
interface GigabitEthernet0/1
 description ESXi Host Management
 switchport mode access
 switchport access vlan 100
 no shutdown

! ACL untuk membatasi akses management ESXi
ip access-list extended ESXI-MGMT-ACCESS
 permit tcp JUMP-HOST-IP 0.0.0.0 ESXI-MGMT-IP 0.0.0.0 eq 443
 permit tcp JUMP-HOST-IP 0.0.0.0 ESXI-MGMT-IP 0.0.0.0 eq 902
 permit icmp JUMP-HOST-IP 0.0.0.0 ESXI-MGMT-IP 0.0.0.0
 deny   ip any ESXI-MGMT-SUBNET 0.0.0.255
 permit ip any any

! Terapkan ACL di interface
interface GigabitEthernet0/1
 ip access-group ESXI-MGMT-ACCESS in

! Opsional: Port security
switchport port-security
 switchport port-security maximum 2
 switchport port-security violation restrict

Fortinet FortiGate / FortiSwitch

! Buat interface/zone untuk ESXi management
config system interface
    edit "ESXI-MGMT"
        set ip 192.168.10.1/24
        set allowaccess ping https ssh
    next
end

! Firewall policy: hanya izinkan dari jump host ke ESXi
config firewall policy
    edit 1
        set name "Allow-ESXi-MGMT-From-JumpHost"
        set srcintf "LAN"
        set dstintf "ESXI-MGMT"
        set srcaddr "JumpHost_IP"
        set dstaddr "ESXi_Host_IP"
        set action accept
        set service HTTPS SSH ICMP
        set logtraffic all
    next
    edit 2
        set name "Deny-ESXi-MGMT-From-All"
        set srcintf "LAN"
        set dstintf "ESXI-MGMT"
        set srcaddr "all"
        set dstaddr "all"
        set action deny
        set logtraffic all
    next
end

! Opsional: IPS/IDS untuk proteksi tambahan
config ips sensor
    edit "ESXi-Protection"
        config signature
            edit 1
                set action block
            next
        end
    next
end

6.3.5.3 Verifikasi Koneksi Management

Setelah konfigurasi router/firewall, verifikasi koneksi dari jump host ke ESXi:

# Dari jump host, test koneksi ke ESXi management
ping ESXI-MGMT-IP
nc -zv ESXI-MGMT-IP 443
nc -zv ESXI-MGMT-IP 902

# Verifikasi di ESXi host bahwa hanya IP jump host yang bisa akses
esxcli network firewall get
esxcli network firewall ruleset list | grep -i http
esxcli network firewall ruleset list | grep -i ssh

6.3.5.4 Catatan Penting

• Jangan expose ESXi management ke internet. Management interface hanya boleh diakses dari jump host / management VLAN terpercaya.
• Gunakan VPN jika perlu mengakses lab dari luar. Jangan buka port 443/902 ke publik.
• Monitoring: Aktifkan logging di router/firewall untuk mencatat semua koneksi ke management ESXi. Monitor untuk brute force attempts.
• Change default credentials: Ganti password root default ESXi setelah instalasi. Gunakan SSH key-based authentication.
• Backup firewall config: Ekspor konfigurasi router/firewall secara berkala. Jika device compromised, Anda bisa restore ke state yang bersih.

6.4 Troubleshooting Serangan Ransomware / Breach

1. Isolasi segera: Putuskan konektivitas jaringan host ESXi dan migrasi VM jika memungkinkan.
2. Jangan reboot sembarang: Reboot bisa menghapus bukti forensik dari memory. Catat semua gejala terlebih dahulu.
3. Periksa VMCI: Jika driver vmci dimuat oleh proses mencurigakan, ini bisa jadi indikasi ESXicape exploit.
4. Verifikasi VIB: Jalankan esxcli software vib list dan bandingkan dengan known-good baseline.
5. Cek backdoor VSOCK: Periksa apakah ada proses VSOCK yang tidak dikenal dengan esxcli network vsock list.
6. Rollback: Boot dari ISO rescue, pulihkan dari backup, atau lakukan fresh install dari scratch.
7. Pelajari fallback: Jika ESXi terus-menerus menjadi target karena hardware legacy, pertimbangkan migrasi ke Proxmox VE 9 (section 9).

Tips Stabilisasi Tambahan

• Setelah boot berhasil, dokumentasikan profil image dan VIB yang terinstal secara akurat.
• Monitor logs (/var/log/vmkernel.log, /var/log/vobd.log) dengan seksama selama 48 jam pertama.
• Hindari menaruh workload produksi pada konfigurasi ini.
• Rencanakan migrasi ke hardware yang didukung secara resmi sedari dini.
• Terapkan patch keamanan Broadcom VMSA-2025-0004 dan VMSA-2026-0006 segera.

1. Simpan original ESXi 7 installation media dan konfigurasi backup.
2. Jika upgrade gagal secara kritis, boot dari ESXi 7 ISO dan lakukan fresh install atau restore dari backup.
3. Restore VM dari pre-upgrade backups.
4. Jika EFI/Boot manager rusak, gunakan ESXi rescue mode dari ISO untuk memperbaiki boot.cfg atau bootbank.

Tutorial lengkap instalasi Proxmox VE 9 tersedia di:

• Online: https://alsyundawy.com/Proxmox-VE-9.html
• File lokal: Proxmox-VE-9.html (jika ada di direktori yang sama)

Proxmox VE 9 mendukung instalasi clean pada R520, R620, R720, R720xd, R820, dan R920 tanpa workaround kernel. Gunakan Rufus/DD mode untuk membuat USB installer, boot dalam mode UEFI, pilih filesystem ext4 atau ZFS sesuai kebutuhan, dan akses web interface di https://<IP>:8006.

• VMware / Broadcom KB 82794 – CPU Support Deprecation and Discontinuation
• Broadcom KB 318697 – CPU Support Deprecation and Discontinuation In VCF Releases (Updated Juli 2026)
• Broadcom KB 391610 – ESXi patch/upgrade failed with CPU_SUPPORT_WARNING
• VMSA-2025-0004 – VMware ESXi, Workstation, Fusion updates address multiple vulnerabilities (CVE-2025-22224, CVE-2025-22225, CVE-2025-22226)
• VMSA-2026-0006 – ESXi 8.0 U3k resolves CVE-2026-47876
• CISA KEV Catalog – CVE-2025-22225 known to be used in ransomware campaigns
• Huntress Analysis – ESXi VM Escape Exploit Toolkit (ESXicape) / VSOCKpuppet
• Broadcom Support Portal – VMware vSphere 8.0 Custom ISO (Dell)
• Dell Knowledge Base – How to Download and Use Dell Customized VMware ESXi Images
• Dell 12G PowerEdge Portfolio Comparison (R520/R620/R720/R720xd/R820/R920)
• Community workarounds for allowLegacyCPU=true (William Lam, vInfrastructure Blog, etc.)
• Proxmox VE 9 Installation Guide — https://alsyundawy.com/Proxmox-VE-9.html