Die Installation von ManageEngine Endpoint Central ist nur die halbe Arbeit. Bis Serveridentität, Ports, Umfang, Agenten und Backup ordnungsgemäß konfiguriert sind, verwaltet die Konsole nichts. Hier ist die vollständige Konfiguration nach der Installation in der Reihenfolge, in der sie tatsächlich funktioniert.
Die meisten Endpoint Central-Probleme, auf die Administratoren im ersten Monat stoßen – Agenten, die nie angezeigt werden, Patch-Scans, die fehlschlagen, Berichte, die nie eintreffen – sind keine Softwarefehler. Dabei handelt es sich um Konfigurationsschritte, die in der falschen Reihenfolge ausgeführt oder vollständig übersprungen wurden. Dieser Leitfaden führt Sie auf ruhige Weise durch die komplette Konfiguration nach der Installation: Korrigieren Sie zunächst die Identität des Servers, damit er sich nie ändern muss, öffnen Sie dann die richtigen Ports, definieren Sie, was Sie verwalten möchten, stellen Sie Agenten bereit und schalten Sie erst dann Patching, Softwarebereitstellung und Berichte ein. Machen Sie es in dieser Reihenfolge und das Produkt fühlt sich einfach an. Wenn Sie es nach dem Zufallsprinzip tun, werden Sie wochenlang nach Ihren eigenen Einstellungen suchen.
Auf der Clientseite muss der Agent außerdem 135 und 445 erreichbar sein. Wenn eine dieser Funktionen blockiert ist, fällt eine Funktion stillschweigend aus, während der Rest einwandfrei aussieht.
Die fünf Server-Ports hinter fast jeder Endpoint Central-Funktion – überprüfen Sie sie, bevor Sie etwas anderes konfigurieren.
Verwaltete Computer: 0 • Installierte Agenten: 0 • Gescannte Patches: nie
Eine leere Konsole nach der Installation ist normal. Endpoint Central verwaltet nichts, bis Sie den Verwaltungsumfang definieren und den Agenten bereitstellen. Die Installation des Produkts ist abgeschlossen – die Konfiguration ist das, was es einschaltet.
Null verwaltete Computer am ersten Tag sind kein Fehler. Es bedeutet lediglich, dass die Konfigurationsschritte auf dieser Seite noch nicht durchgeführt wurden.
Jeder Agent, den Sie einsetzen, merkt sich einen Servernamen und eine IP-Adresse und kontaktiert weiterhin genau diese Adresse. Wenn sich die IP des Servers später ändert – weil er auf DHCP war oder der PC umbenannt wurde – verstummt jeder Agent sofort. Bevor Sie also einen einzelnen Agenten bereitstellen:
ping <server-name> von einer beliebigen Workstation aus und bestätigen Sie, dass die Antwort von der richtigen IP kommt.Fünf Minuten hier retten die häufigste Endpoint Central-Katastrophe: einen fehlerfreien Server, den kein Agent finden kann.
Lassen Sie auf dem Server diese Ports in der Windows-Firewall (oder Ihrer Netzwerk-Firewall) eingehend zu: 8020 für die Webkonsole und Agentenkommunikation über HTTP, 8383 für die Agentenkommunikation über HTTPS, 8027 für den Benachrichtigungsserver, der On-Demand-Aufgaben wie Patch-Scans, Inventarscans und Fernsteuerung überträgt, und 8443 / 8444 für Remote-Desktop-Freigabe und Fernsteuerung.
Vertrauen Sie der Firewall-Regel nicht – testen Sie sie. Führen Sie von einem Client-PC aus Test-NetConnection <server-name> -Port 8020 und dasselbe für 8383 und 8027 aus. TcpTestSucceeded : True bei allen drei bedeutet, dass der Agentenverkehr fließen wird. In der Patch-Wissensdatenbank von ManageEngine werden genau diese Ports als erstes überprüft, wenn Scans fehlschlagen, und das ist richtig – blockiertes 8027 ist der Grund, warum Scans und Remote-Sitzungen stillschweigend nichts tun, während die Konsole fehlerfrei aussieht.
Entscheiden Sie jetzt, ob Agenten über HTTP oder HTTPS mit dem Server kommunizieren, da eine spätere Änderung bedeutet, dass jeder Agent erneut berührt werden muss. Für ein kleines Büro-LAN in der kostenlosen Edition beginnen viele Administratoren mit der Standardkonfiguration. In dem Moment, in dem der Server von außerhalb des Büros erreichbar sein muss – Privatanwender, Zweigstellen – stellen Sie die Agentenkommunikation auf HTTPS auf Port 8383 um und sichern Sie auch den Fernsteuerungskanal, genau wie ManageEngine es für WAN-Agenten empfiehlt. Setzen Sie die einfache HTTP-Konsole niemals dem Internet aus.
Der Verwaltungsumfang ist die Liste der Computer, die Endpoint Central verwalten darf. Gehen Sie zur Registerkarte Admin, öffnen Sie Verwaltungsumfang unter „Globale Einstellungen“ und fügen Sie Computer auf kontrollierte Weise hinzu: Verbinden Sie Ihr Active Directory oder Ihre Arbeitsgruppe und fügen Sie dann jeweils eine Abteilung oder eine Organisationseinheit hinzu – nicht am ersten Tag das gesamte Unternehmen.
Beginnen Sie mit Ihrem eigenen PC und zwei bis drei freundlichen Benutzern als Pilotgruppe. Alle späteren Funktionen – Patching, Softwarebereitstellung, Berichte – werden in diesem Pilotprojekt getestet, bevor sie allen zur Verfügung stehen. Wenn man alles auf einmal hinzufügt, wird aus einem kleinen Fehler ein unternehmensweiter Vorfall.
Wählen Sie im selben Bildschirm „Verwaltungsumfang“ die Pilotcomputer aus und klicken Sie auf Agent installieren. Für die Push-Installation müssen die Ports 135 und 445 auf den Clients geöffnet sein und Administratoranmeldeinformationen vorliegen, die der Server auf diesen PCs verwenden kann. Bei Domänennetzwerken lassen sich die GPO-Routen (Startskript, Planer oder das schlanke GPO-Tool) weitaus besser skalieren als Pushen – in dieser Reihe gibt es eine eigene Seite, auf der alle Bereitstellungsmethoden verglichen werden.
Warten Sie auf den Aktualisierungszyklus des Agenten – standardmäßig kontaktiert ein Agent alle 90 Minuten den Server – und bestätigen Sie, dass die Pilot-PCs mit einem aktuellen Zeitpunkt des letzten Kontakts als verwaltet angezeigt werden. Erst dann den Anwendungsbereich erweitern.
Widerstehen Sie der Angewohnheit, jedem Techniker den vollständigen Administrator-Login zu geben. Öffnen Sie die Benutzerverwaltungseinstellungen und legen Sie zunächst Rollen fest: Wer darf Software bereitstellen, wer darf nur Berichte einsehen, wer darf die Fernsteuerung übernehmen. Erstellen Sie dann unter diesen Rollen einzelne Technikerkonten. Die kostenlose Edition unterstützt einen Techniker, wodurch dieser Schritt optional erscheint – das ist aber nicht der Fall. An dem Tag, an dem eine zweite Person Zugriff erhält, sind gemeinsame Passwörter und volle Rechte bereits zur Gewohnheit geworden. Legen Sie das Muster fest, während das Setup klein ist.
Berichte, Warnungen und Benachrichtigungen werden alle über eine einzige Mailserver-Einstellung gesendet. Konfigurieren Sie es jetzt mit einem echten Postfach und senden Sie die Test-Mail, die auf der Einstellungsseite angeboten wird. Überraschend viele Administratoren entdecken Monate später eine defekte E-Mail-Konfiguration – an dem Tag, an dem ein Prüfer nach den Patch-Berichten fragt, die nie zugestellt wurden. Heute fünf Minuten, Beweis heute in Ihrem Posteingang.
Die Endpoint Central-Datenbank speichert Ihren Bestand, Ihre Konfigurationen, Ihren Bereitstellungsverlauf und Ihren Prüfpfad. Aktivieren Sie die geplante Datenbanksicherung in den Admin-Einstellungen, verweisen Sie sie auf einen Ordner, der sich nicht auf dem Server selbst befindet – eine NAS-Freigabe oder eine andere Maschine – und notieren Sie sich die Sicherung in Ihrem Kalender, um sie einmal im Monat zu überprüfen. Ein Backup, das sich auf derselben Festplatte wie der Server befindet, ist kein Backup; es ist eine zweite Kopie desselben Unfalls.
Konfigurieren Sie jetzt, und nur jetzt, die Arbeitsfunktionen in einer sicheren Reihenfolge: Zuerst den Patch scannen (nur Scannen, keine Bereitstellung), damit Sie den tatsächlichen Patch-Status der Pilotgruppe sehen können; dann eine automatische Bereitstellungsregel, die auf diesen Piloten beschränkt ist; dann ein einfaches Softwarepaket; dann Fernsteuerung mit aktivierter Benutzereinwilligung. Jede Funktion erhält einen Beobachtungstag in der Pilotgruppe, bevor sie unternehmensweit eingeführt wird. Diese Geduld macht den gesamten Unterschied zwischen einem Konfigurationsleitfaden und einer Sammlung von Notfalllösungen aus.
Jede Einstellung auf dieser Seite wird live im ManageEngine-Konfigurationsvideo gezeigt – schauen Sie es sich einmal an und Ihre eigene Einrichtung wird ganz einfach.
▶️ Watch Full VideoZuerst Servername und statische IP, dann die Firewall-Ports 8020, 8383 und 8027, dann das Agenten-Kommunikationsprotokoll, dann Umfang der Verwaltung mit einer kleinen Pilotgruppe, Agentenbereitstellung, Rollen und Technikern, Mailservereinstellungen, geplante Datenbanksicherung und erst dann Patching und Softwarebereitstellung – eine Funktion nach der anderen.
Auf dem Server: 8020 für die Webkonsole und Agentenkommunikation über HTTP, 8383 für Agentenkommunikation über HTTPS, 8027 für den Benachrichtigungsserver, der On-Demand-Aufgaben wie Patch-Scans und Fernsteuerung weiterleitet, sowie 8443 und 8444 für Remote-Desktop-Freigabe und Fernsteuerung. Um den Agenten an Clients weiterzuleiten, müssen außerdem die Ports 135 und 445 auf der Clientseite erreichbar sein.
Das ist normal. Endpoint Central verwaltet nichts, bis Sie den Verwaltungsumfang auf der Registerkarte „Admin“ definieren und den Agenten auf diesen Computern bereitstellen. Eine leere Konsole bedeutet lediglich, dass die Konfigurationsschritte noch nicht durchgeführt wurden.