Umgang mit Geräten, die bei der Netzwerkerkennung übersehen wurden

Fehler bei der Netzwerkerkennung können die Asset-Transparenz, die Compliance und die Servicequalität beeinträchtigen. Das gilt besonders für mandantenfähige MSP-Umgebungen, in denen Geräte dynamischer und vielfältiger sind. In diesem Leitfaden zeigen wir Schritt für Schritt, wie Sie fehlende Netzwerkgeräte aufspüren und Erkennungsverfahren über alle Kundenumgebungen hinweg vereinheitlichen.

Sechs Schritte zum Umgang mit fehlenden Netzwerkgeräten

Damit Sie nicht gescannte Geräte zuverlässig finden und wieder einbinden können, sollten folgende Voraussetzungen erfüllt sein, bevor Sie starten:

• Eine Discovery-Probe mit Zugriff über ICMP, SNMP, WinRM/WMI und SSH
• Gültige Anmeldeinformationen für SNMP v2c/v3, Windows und Logins auf Netzwerk-Betriebssystemen
• Offene Management-Pfade über ACLs, Firewalls und routbare IP-Adressen
• Gerätevorlagen mit SysObjectID-Zuordnungen und den erforderlichen MIBs
• Ein Asset-Register mit Feldern für Erkennungsmethode, Quelle, Verantwortliche und Status

Hinweis: Die Anforderungen können je nach Netzwerkarchitektur und Sicherheitsniveau variieren.

Anwendungsfälle: Typische Szenarien, in denen die Netzwerkerkennung unverzichtbar ist: die Einarbeitung neuer Umgebungen, regelmäßige Compliance-Audits, die Fehlersuche bei Lücken in der Überwachung, die Validierung von Bereitstellungen durch Dritte, die Zugriffsprüfung nach Änderungen an Richtlinien oder Topologie sowie das Aufspüren von Schatten-IT und nicht autorisierten Assets.

Schritt 1: Erreichbarkeit von der Probe aus nachweisen

Stellen Sie sicher, dass hinter Erkennungsfehlern keine unerkannten Verbindungsprobleme stecken, indem Sie die erforderlichen Management-Protokolle von der Probe aus zum Zielnetzwerk testen. Ein bewährter Ablauf für den Einstieg:

• Pingen Sie die Management-IP an, um die grundlegende Konnektivität zu bestätigen
• Testen Sie die TCP-Ports 22 (SSH), 135/445 (WMI), 5985/5986 (WinRM) und UDP 161 (SNMP)
• Prüfen Sie mit Tools wie SNMP Walk, quickconfig oder SSH-Banner-Abfragen, ob aktive Listener vorhanden sind
• Identifizieren Sie VRF-, NAT- oder asymmetrische Routing-Probleme, die den Zugriff blockieren oder verschleiern können

Dieser Schritt unterscheidet tatsächlich nicht erreichbare Geräte von solchen, die lediglich falsch konfiguriert oder auf höheren Ebenen blockiert sind.

Schritt 2: Anmeldeinformationen und Protokollaushandlung validieren

Selbst wenn die Probe ein Gerät erreicht, können Authentifizierungsfehler die Erkennung verhindern. Prüfen Sie deshalb, ob alle Anmeldeinformationen gültig sind, die Berechtigungen ausreichen und Protokolle wie SNMP, WinRM, WMI oder SSH korrekt konfiguriert und erreichbar sind.

Validierte Anmeldeinformationen sollten anschließend in sicheren, wiederverwendbaren Profilen mit festen Rotationsrichtlinien hinterlegt werden.

Schritt 3: Blockaden durch Richtlinien und Topologie beseitigen

Stellen Sie sicher, dass Netzwerkpfade, ACLs und Routing-Richtlinien eine ungestörte Kommunikation zwischen Proben und Geräten zulassen, damit die Erkennung dauerhaft stabil bleibt.

Management-Subnetze sollten beispielsweise in Access Control Lists und Firewall-Konfigurationen ausdrücklich auf die Allowlist gesetzt werden, damit der Erkennungsverkehr ungehindert passieren kann. Außerdem müssen Routing- und VRF-Pfade sauber definiert sein, damit die Sichtbarkeit über alle Management-Netzwerke hinweg erhalten bleibt.

Für den Einsatz im großen Maßstab prüfen Sie die Segmentierung und die VLAN-Zuweisungen, um auszuschließen, dass einzelne Geräte durch DHCP, Imaging oder eingeschränkte Management-Zonen isoliert sind. Nutzen Sie nach Möglichkeit routbare Management-IPs, um NAT-Hairpinning zu vermeiden.

Schritt 4: Geräte mit Vorlagen und MIBs korrekt identifizieren

Sobald der Zugriff gesichert ist, sorgen Sie für eine korrekte Klassifizierung, indem Sie SysObjectIDs den Anbietervorlagen zuordnen und die passenden MIBs importieren. Normalisieren Sie CLI-Prompts für ein einheitliches Parsing und erstellen Sie einfache eigene Vorlagen für Legacy-Geräte oder nicht unterstützte Hardware.

Eine präzise Identifizierung stellt sicher, dass Geräte richtig eingeordnet werden, Metriken korrekt erfasst werden und das Inventar die tatsächliche Vielfalt der Netzwerkumgebung abbildet.

Schritt 5: Agent-basierte und passive Erkennung ergänzen, wenn das Polling scheitert

Wenn direktes Polling bestimmte Geräte nicht erreicht oder sich dort nicht authentifizieren kann, schließen Sie die Sichtbarkeitslücken mit agent-basierten oder passiven Erkennungsmethoden. Installieren Sie Agenten auf Endpunkten, um Inventardaten direkt zu erfassen, und aktivieren Sie passive Listener, um nicht verwaltete oder isolierte Assets anhand des Netzwerkverkehrs aufzuspüren.

Die Kombination aus aktiven, agent-basierten und passiven Methoden sorgt für vollständige Abdeckung, selbst bei nicht erreichbaren oder durch Richtlinien blockierten Geräten.

Schritt 6: Erneut scannen, abgleichen und Ausnahmen steuern

Planen Sie nach Abschluss der Erkennung regelmäßige Rescans ein, um Änderungen zu erfassen und frühere Korrekturen zu bestätigen. Gleichen Sie alle gefundenen Assets mit dem Inventarregister ab, führen Sie Dubletten zusammen und verfolgen Sie offene Punkte als Ausnahmen mit festen Verantwortlichen und Fristen.

Ein fortlaufender Abgleich hält das Asset-Inventar korrekt, prüffähig und jederzeit bereit für die Berichterstattung.

Schritt	Funktion	Wann relevant	Ergebnis
1. Erreichbarkeit nachweisen	Testet ICMP, SNMP, WinRM/WMI und SSH von der Probe aus	Vor allen Konfigurationsänderungen	Zeigt, ob ein Gerät wirklich nicht erreichbar ist
2. Anmeldeinformationen validieren	Prüft SNMP-, Windows- und Betriebssystem-Logins	Die Probe erreicht das Gerät, die Erkennung scheitert trotzdem	Schließt die Authentifizierung als Ursache aus
3. Richtlinienblockaden lösen	Überprüft ACLs, Firewalls, VRF- und NAT-Pfade	Anmeldeinformationen sind gültig, die Sichtbarkeit bleibt blockiert	Öffnet Management-Pfade für den Erkennungsverkehr
4. Mit Vorlagen/MIBs identifizieren	Ordnet SysObjectIDs den Anbietervorlagen zu	Sobald der Zugriff bestätigt ist	Sorgt für eine korrekte Geräteklassifizierung
5. Agent-basierte/passive Erkennung ergänzen	Installiert Agenten oder passive Listener	Direktes Polling erreicht ein Gerät nicht oder kann sich nicht authentifizieren	Schließt Sichtbarkeitslücken bei isolierten Geräten
6. Erneut scannen und abgleichen	Plant Rescans und überführt die Ergebnisse ins Asset-Register	Nach jedem Erkennungszyklus	Hält das Inventar korrekt und prüffähig

NinjaOne-Lösungen für die Netzwerkerkennung

NinjaOne bietet automatisierte Tools und Integrationen, die die Abdeckung erweitern und die Netzwerkerkennung zuverlässiger machen.

• IT-Support: Agenten auf nicht erreichbaren oder isolierten Endpunkten bereitstellen.
• Administrator:innen: Skripte ausrollen, Vorlagen anwenden und Ergebnisse abgleichen.
• Techniker:innen: Scans planen, neue Assets erkennen und nicht erreichbare Geräte nachverfolgen.
• MSPs: Anmeldeinformationen verwalten, Wiederholungsversuche automatisieren und Erkennungsberichte erstellen.

Als Unified-IT-Management-Plattform liefert NinjaOne vollständige Transparenz über alle Assets und vereinfacht zugleich Erkennung und Abgleich. NinjaOne unterstützt die Erkennungsmethoden SNMP, WMI/WinRM und SSH, die sich für eine umfassende Abdeckung kombinieren lassen, und speichert mehrere Sätze von Anmeldeinformationen, sodass Techniker:innen testen können, welche davon für ein bestimmtes Gerät funktionieren.

Seit dem Release NinjaOne 14.0 können Techniker:innen den NinjaOne-Agenten direkt aus den Ergebnissen der Netzwerkerkennung heraus mit gespeicherten Anmeldeinformationen bereitstellen und ein Gerät so von „gefunden“ zu „verwaltet“ überführen, ohne die Plattform zu verlassen. Die Agenten-Bereitstellung unterstützt derzeit Windows-Geräte. Mac- und Linux-Geräte findet NinjaOne zwar beim Scan, einen Agenten kann es dort aber noch nicht installieren.

Sobald ein Gerät hinzugefügt ist, können Sie über NinjaOne NMS Überwachungsrichtlinien anwenden, um Gerätezustand, Leistung und Konfiguration zu verfolgen, einschließlich einer individuellen SNMP-Überwachung für Geräte, die sich nicht sauber erkennen lassen. Für das manuelle SNMP-Debugging außerhalb der Plattform verweist die NinjaOne-Dokumentation auf den kostenlosen Paessler SNMP Tester als externes Tool. Es handelt sich dabei nicht um eine integrierte NinjaOne-Integration.

Netzwerkerkennung und Schwachstellenmanagement

Netzwerkerkennung und Schwachstellenmanagement greifen ineinander, um ein sicheres und korrektes Bild Ihrer IT-Umgebung aufrechtzuerhalten. Die Erkennung sorgt für Sichtbarkeit aller Objekte, während das Schwachstellenmanagement die Risiken über diese Assets hinweg identifiziert und priorisiert. Zusammen helfen diese Prozesse MSPs dabei, neue oder nicht verwaltete Geräte zu entdecken, deren Konfigurationen zu prüfen und Sicherheitslücken zu schließen, bevor daraus echte Bedrohungen werden.

Verwandte Themen:

• Was ist Netzwerkerkennung?
• Netzwerkinventar-Scan [für NinjaOne-Benutzer:innen]
• Leitfaden für die Verwaltung von Hardware- & Software-Assets
• So finden Sie nicht verwaltete Geräte