Mit einer sicheren und wiederherstellbaren Konfiguration beginnen
Die Ersteinrichtung soll Server schützen und zugleich einen Wiederherstellungsweg offenhalten. Führen Sie die Schritte der Reihe nach aus und prüfen Sie jede Änderung aus einer separaten Sitzung.
MFA und Firewall-Regeln nicht ohne Wiederherstellungsweg aktivieren.
Halten Sie Konsole, Hypervisor, iLO/iDRAC, VPN oder ein separates Notfallkonto außerhalb des geschützten RDP-Flows bereit.
Warum diese Reihenfolge wichtig ist
Lira verwaltet RDP, MFA, Firewall, Defender, Zertifikate, Benutzer und Updates. Die Konsole muss deshalb wie ein Administrationssystem geschützt werden.
Eine schrittweise Einrichtung reduziert Aussperrungsrisiken und bewahrt einen geprüften Wiederherstellungsweg.
Kann der Zugriff über die Lira-Konsole wiederhergestellt werden?
Ja, solange mindestens ein unabhängiger Verwaltungskanal verfügbar bleibt.
Administratoradresse gesperrt: Portal aus demselben externen Netz öffnen, in der Allowlist Meine öffentliche IP ermitteln wählen, die erkannte öffentliche Adresse hinzufügen und die Firewall-Synchronisierung der Agents abwarten.
Fehlerhafte RDP-MFA-Richtlinie: temporäre Umgehung oder Deaktiviert wählen. Der Online-Agent hebt die Erzwingung beim nächsten Richtlinienaustausch auf.
Falsches RDP-TLS-Zertifikat: Listener wiederherstellen wählen. Der Online-Agent entfernt die erzwungene Bindung, aktiviert Negotiate und startet die RDP-Dienste neu.
Ist der Agentendienst beendet, kann ein Superadmin ihn über zuvor konfiguriertes WinRM neu starten. Sind Agent und WinRM nicht erreichbar, ist eine lokale, Hypervisor-, iLO/iDRAC/KVM/VNC- oder physische Konsole erforderlich.
1. Verwaltungskonsole schützen
Benanntes Konto mit einzigartigem Passwort verwenden.
MFA für die Konsole nicht ausnehmen: Sie steuert Firewall, Benutzer, Zertifikate und Schutz aller Server.
Nur notwendige Organisations- und Serverrechte vergeben.
2. Eigene Adresse zur Allowlist hinzufügen
Vor Tests der automatischen Sperren die Administrator-, VPN- oder Jump-Host-Adresse hinzufügen. Dies ersetzt MFA nicht, verhindert aber die Sperrung des einzigen legitimen Zugangs.
Adresse aus demselben Verwaltungsnetz prüfen.
Bestätigen, dass sie in der Vertrauensliste erscheint.
3. MFA vorbereiten
Microsoft Authenticator, Google Authenticator, 1Password, Bitwarden oder eine freigegebene TOTP-App installieren.
Wiederherstellungscodes in einem Passwortmanager sichern.
Aktuellen Code prüfen, bevor MFA am Server erzwungen wird.
4. Ersten Agenten verbinden
Agent mit dem organisationsgebundenen Schlüssel installieren.
Ersten Heartbeat sowie Name, Adresse und Version prüfen.
Bestehende RDP-Sitzung offen lassen und eine neue Sitzung separat testen.
5. MFA schrittweise aktivieren
Mit einem Benutzer und einem unkritischen Server beginnen.
Passwort, MFA, falschen Code und erneute Anmeldung prüfen.
Gruppen erst nach Prüfung von Audit und Notfallzugang erweitern.
6. Zertifikate und Wartung
Der SAN-Name muss dem Namen entsprechen, den RDP-Clients verwenden. Die ACME-DNS-Delegierung für automatische Erneuerung muss dauerhaft bestehen bleiben.
Windows-Updates, Defender, Firewall und Zertifikate in einem geplanten Wartungsfenster anwenden.
Zuerst einen Pilotserver prüfen.
Alte Zertifikatsbindung und Rollbackplan dokumentieren.
Häufige Fragen
Warum muss MFA die Konsole schützen?
Die Konsole kann den Schutz jedes Servers ändern. Eine Ausnahme lässt den wichtigsten Administrationsweg nur durch ein Passwort geschützt.
Darf die private Adresse allowlisted werden?
Nur wenn sie kontrolliert ist. Bei dynamischen Adressen ist ein VPN oder Jump-Host mit stabilem Ausgang vorzuziehen.
Was tun bei einem ungültigen Code?
Nicht wiederholt versuchen. Zeit prüfen, Notfallzugang verwenden und die MFA-Einrichtung neu ausstellen.
Mit einem geschützten Server beginnen
Konsole schützen, Vertrauensadresse hinzufügen, MFA einrichten und den ersten Agenten prüfen, bevor Richtlinien erweitert werden.