Netzwerkzugriffskontrollrichtlinie
Für Ping64 gilt: Network Access zeigt Verbindungsentscheidungen aus Network Access Control und Illegal Outbound der Endpunktverwaltung. Beide Richtlinien werden getrennt konfiguriert: Die erste gleicht Verbindungen mit Regeln ab, die zweite bewertet ausgehende Verbindungen anhand erlaubter Adressen. Die Datensätze sind kein vollständiges Netzwerkverkehrsverzeichnis. Eine leere Liste beweist keine fehlenden Verbindungen; ein einzelner Erlaubniseintrag beweist keinen letztlich erfolgreichen Geschäftszugriff.
Netzwerkrichtlinien können Geschäftszugriff, Fernwartung und die Kommunikation zwischen Endpunkt und Verwaltungsplattform beeinflussen. Prüfen Sie genehmigte Testadressen zuerst auf einem vor Ort wartbaren Windows-Pilotendpunkt und halten Sie eine Wiederherstellungsmöglichkeit bereit. Verteilen Sie Blockierregeln nicht direkt an alle Endpunkte. Die Beschreibung der Datensätze verwendet TCP-Verbindungen auf Windows-Endpunkten als Beispiel; andere Protokolle und Plattformen sind getrennt zu prüfen.
Pilot vorbereiten
- Prüfen Sie die erforderliche Lizenz der Organisation; Änderungen an Endpunktverwaltungsrichtlinien, das Anzeigen und das Exportieren von Datensätzen erfordern jeweils die entsprechenden Rechte. Testendpunkte müssen registriert sein und Richtlinien empfangen können. Prüfen Sie bei der Datensatzverifikation zusätzlich die Meldefähigkeit und den Sichtbereich des lesenden Kontos.
- Stimmen Sie Testprogramm, Zieladresse, Port, Verbindungsrichtung und Wartungsfenster mit Netzwerk- und Geschäftsverantwortlichen ab. Halten Sie Vor-Ort-Zugriff und Rückfallmöglichkeit bereit; blockieren Sie insbesondere nicht Verwaltungsplattform, erforderliche Basisdienste oder die aktuell genutzte Fernwartungsverbindung.
- Prüfen Sie unter UEM > Policy zunächst die für Testendpunkte geltende Richtlinie, Gültigkeit und Bereich; verwenden Sie sie bei Eignung weiter. Nur bei notwendiger Erstellung oder Änderung bewertet eine berechtigte Person die Auswirkungen und folgt dem genehmigten Plan.
Network Access Control konfigurieren
Führen Sie die folgenden Einstellungen nur aus, wenn die vorhandene Konfiguration die genehmigten Testanforderungen nicht erfüllt; prüfen Sie zuvor Geschäftsauswirkungen, Bereich und Wiederherstellungsplan.
- Aktivieren Sie Network Access Control in den Richtlinieneinstellungen, öffnen Sie dessen Einstellungen und wählen Sie Add Rule in der Regelliste.
- Geben Sie den Regelnamen ein und wählen Sie Richtung, Regeltyp, Inhalt und Protokoll. Typen umfassen Programm, Port, IP und Ausdruck; der Wert muss zum Typ passen. Für eine TCP-Pilotverbindung können Sie beispielsweise Port und einen genehmigten Testport sowie die passende Richtung wählen. Prüfen Sie den Trefferbereich im Pilot; das Beispiel ist keine Standardeinstellung.
- Falls eine Regelaktion festzulegen ist, lässt No action das aktuelle Netzwerkverhalten bei Treffer unverändert; Block versucht die passende Verbindung zu begrenzen. Bevorzugen Sie einen genehmigten separaten Test ohne Blockierung für Treffer und Datensätze; ändern Sie bestehende Blockierungsregeln nicht nur für Tests. Bewerten Sie vor Blockierungstests andere Regeln und Abhängigkeiten und bestätigen Sie Genehmigung und Wiederherstellungszugang.
- Speichern Sie Einzelregel, Network-Access-Control-Einstellungen und gesamte Richtlinie nacheinander. Prüfen Sie Schalter, Regeln und Zielendpunkte erneut und warten Sie Empfang und Anwendung ab. Speichern beweist weder Endpunktausführung noch sicheren Erfolg oder Misserfolg einer Verbindung.
In manchen Windows-TCP-Datensätzen von Network Access Control kann der Regelname allgemein sein und allein nicht die tatsächlich passende konfigurierte Regel identifizieren. Regeln können sich überschneiden. Prüfen Sie Reihenfolge und Verbindungsbedingungen und testen Sie sie im kontrollierten Pilot getrennt. Gehen Sie nicht davon aus, dass jede passende Regel einen eigenen Datensatz erzeugt.
Aktualisiert