MS NAP produktiv einführen

[AFM_Adm 11]

Hallo,

ich habe mich jetzt länger mit NAP in einer Test-Umgebung "rumgeschlagen" :D und würde es nun gerne für unser kleines IT-Team in der Produktiv-Umgebung einführen.

 

Dabei habe ich das Problem, das ich entweder unsere beiden 2003er DHCP-Server offline nehmen muss und alle von dem 2008er DHCP-Server IP-Adressen bekommen, was problematisch ist, da diese Geräte noch nicht NAP-konform sind und ich noch testen möchte, aber man im DHCP nur für den ganzen Bereich einschränken kann.

 

Oder zweitens den 2008er DHCP-Server parallel zu den beiden anderen online nehme und die 2003er DHCP-Server nicht offline setzte ich aber von diesen dann auch immer eine Adresse bekomme, also NAP nicht testen kann.

 

Somit ist eine schrittweise Einführung nicht möglich meiner Meinung nach.

 

Vielleicht hat ja jemand von Euch schon NAP im Unternehmen schrittweise eingeführt oder hat eine Idee...

 

MFG

[TheDonMiguel 11]

Hallo

 

Also wenn du NAP einführen möchtest, solltest du dir einige Gedanken machen. Unter anderem auch, welche Clients sind im Netzwerk (Alle XP SP3+) und welche Enforcement Methode willst du einsetzen. Du sprichst DHCP an, diese kann (leider) schnell mittels statischer IP umgangen werden. Daher empfehlen wir den Kunden immer die IPsec Methode anzuschauen und wenn möglich zu bevorzugen...

 

Auf jeden Fall muss der DHCP NAP-capable sein, also Windows Server 2008 (R2). Ich würde daher die beiden bestehenden Server mit WS08R2 ablösen. So oder so solltest du auch NAP redundant aufbauen, nicht dass der CEO mal nicht arbeiten kann...

 

Cheers

Michel

[AFM_Adm 11]

Hallo,

habe mich natürlich mit dem Thema beschäftigt, aber stehe halt vor den Problem das ich NAP schrittweise einführen möchte, ich aber nicht wüsste wie...

 

Also unsere Clients sind alle XP SP3 gepatcht. DHCP reicht uns im ersten Schritt, da wir erstmal verhindern möchten das "Fremde" die sich aus versehen an der Netzwerkdose anschließen eine IP über DHCP bekommen und zweitens damit wir unsere Clients in Sachen Wartung besser unter Kontrolle haben, also z.B. jemand nach 3 Wochen Urlaub mit seinem ungepatchten Gerät gleich vollen Netzwerkzugriff bekommt.

 

MFG