Funktion von ICT-Benutzer-Endgeräten in Netzinfrastruktur gewährleisten

Ein Laptop ist erst dann einsatzbereit, wenn er im Netz alles erreicht, was die Person braucht: WLAN, Netzlaufwerke, Drucker, Microsoft 365 und von zuhause aus das VPN. In diesem Modul verbindest du Windows-, macOS- und Mobilgeräte mit der Firmeninfrastruktur, registrierst sie in Entra ID und Intune und richtest Netzwerkzugriffe ein. Ein grosser Teil dreht sich um Fehlersuche: Warum bekommt ein Gerät keine IP, warum löst ein Name nicht auf, warum geht das VPN nur im Hotel nicht? Am Ende kannst du Verbindungsprobleme an Endgeräten mit den richtigen Befehlen schnell eingrenzen und beheben.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Endgeräte kabelgebunden und per WLAN korrekt ins Firmennetz einbinden

   Kompetenz A

   Du verbindest Geräte mit dem richtigen Netz (Firmen-WLAN, Gast-WLAN, LAN) und prüfst, ob sie IP-Adresse, Gateway und DNS-Server korrekt erhalten. Bei Firmen-WLAN mit 802.1X verwendest du Zertifikate oder Benutzeranmeldung statt eines gemeinsamen Passworts.

   Situation

   Eine Hotelgruppe im Wallis hat ein Firmen-WLAN 'HTL-Staff' mit WPA2-Enterprise und ein Gäste-WLAN. Neue Rezeptions-Laptops landen immer im Gäste-WLAN.

   Deine Aufgabe

   Sorge dafür, dass die Laptops automatisch im Firmen-WLAN mit Zertifikat angemeldet werden.

   Gutes Ergebnis

   Per Intune ein WLAN-Profil 'HTL-Staff' mit EAP-TLS und Gerätezertifikat verteilt. Gäste-WLAN auf den Firmengeräten ausgeblendet. ipconfig zeigt eine Adresse aus dem Mitarbeiter-VLAN 10.1.20.0/24.

   SSIDWPA2/WPA3-Enterprise802.1XVLANGast-Netzipconfig /all
2. 2

   Geräte in Entra ID und Intune registrieren und verwalten

   Kompetenz B

   Damit ein Gerät Richtlinien, Apps und WLAN-Profile bekommt, muss es in der Geräteverwaltung bekannt sein. Du kennst die Varianten (Entra Join, Hybrid Join, persönliches Gerät registriert) und weisst, wann welche passt.

   Situation

   Eine Arztpraxis in Winterthur will, dass die drei Ärztinnen auf ihren privaten iPhones Firmenmails lesen können, ohne dass die IT das ganze Handy verwaltet.

   Deine Aufgabe

   Wähle eine passende Registrierungsart und richte sie ein.

   Gutes Ergebnis

   Keine volle Geräteverwaltung, sondern App-Schutzrichtlinien (MAM) für Outlook und Teams. Firmendaten lassen sich nicht in private Apps kopieren und werden bei Austritt gezielt gelöscht. Private Fotos bleiben unberührt.

   Entra JoinHybrid JoinBYODMDM vs. MAMAutopilotUnternehmensportal
3. 3

   Zugriff auf Netzlaufwerke, Drucker und Cloud-Speicher einrichten

   Kompetenz C

   Nach der Anmeldung sollen die richtigen Laufwerke und Drucker automatisch da sein. Du verbindest Netzlaufwerke per Skript, GPO oder Intune, richtest OneDrive und SharePoint-Synchronisierung ein und prüfst die Berechtigungen.

   Situation

   In einem Ingenieurbüro in Chur fehlt Neueinsteigern regelmässig das Laufwerk P: (Projekte). Ältere Mitarbeitende haben es.

   Deine Aufgabe

   Finde heraus, warum, und sorge für eine einheitliche Lösung.

   Gutes Ergebnis

   Das Laufwerk wurde früher manuell verbunden. Jetzt verteilt ein Intune-PowerShell-Skript P: auf \\fs01\projekte für die Gruppe 'Ingenieure'. Neue Mitarbeitende haben es bei der ersten Anmeldung.

   NetzlaufwerkUNC-PfadOneDrive Known Folder MoveSharePoint-SynchronisierungSicherheitsgruppe
4. 4

   Fernzugriff per VPN und auf Cloud-Dienste von unterwegs sicherstellen

   Kompetenz D

   Mitarbeitende arbeiten im Homeoffice, im Zug oder beim Kunden. Du richtest VPN-Clients ein, weisst, welche Dienste ohne VPN direkt aus der Cloud kommen, und erkennst typische Probleme wie gesperrte Ports oder überlappende IP-Bereiche.

   Situation

   Ein Aussendienstmitarbeiter kann sich im Homeoffice per VPN verbinden, erreicht aber das Laufwerk nicht. Sein Heimnetz nutzt 192.168.1.0/24, das Firmennetz auch.

   Deine Aufgabe

   Erkläre das Problem und schlage eine Lösung vor.

   Gutes Ergebnis

   Überlappende Netze: Der Laptop schickt Pakete für 192.168.1.x ins Heimnetz statt durchs VPN. Kurzfristig: Heimrouter auf 192.168.178.0/24 umstellen. Langfristig: Firmennetz auf einen seltener genutzten Bereich wie 10.40.0.0/16 migrieren.

   VPN-TunnelSplit TunnelingRouting-TabellePort / FirewallÜberlappende Subnetze
5. 5

   Verbindungsprobleme an Endgeräten mit Kommandozeilen-Tools eingrenzen

   Kompetenz E

   Du gehst von unten nach oben vor: Link vorhanden? IP-Adresse gültig? Gateway erreichbar? DNS löst auf? Ziel-Port offen? Für jede Stufe kennst du einen passenden Befehl und kannst das Ergebnis deuten.

   Situation

   Eine Mitarbeiterin meldet: 'Internet geht, aber das Intranet intranet.firma.local nicht.'

   Deine Aufgabe

   Grenze das Problem ein.

   Gutes Ergebnis

   ping 8.8.8.8 ok, nslookup intranet.firma.local liefert 'Non-existent domain'. ipconfig /all zeigt als DNS-Server 1.1.1.1, weil sie manuell einen öffentlichen DNS eingetragen hatte. DNS auf automatisch zurückgestellt, ipconfig /flushdns, Intranet erreichbar.

   pingipconfig /allnslookuptracertTest-NetConnectionAPIPA 169.254.x.x
6. 6

   Die Funktion eines Endgeräts mit einer Checkliste prüfen und übergeben

   Kompetenz F

   Bevor ein Gerät an die Person geht, prüfst du systematisch alle Netzwerkfunktionen. So vermeidest du, dass am ersten Arbeitstag das halbe Setup nicht funktioniert.

   Situation

   Am Montag starten fünf neue Lernende in einer Versicherung in Zürich. Die Laptops wurden per Autopilot vorbereitet.

   Deine Aufgabe

   Erstelle und nutze eine Abnahme-Checkliste.

   Gutes Ergebnis

   Checkliste mit zwölf Punkten: Anmeldung, WLAN Firma, LAN an Docking, Laufwerke P: und H:, Standarddrucker, Teams-Testanruf, OneDrive-Sync, VPN von extern (Hotspot), Intune-Konformität grün. Pro Gerät abgehakt und mit Seriennummer im Ticket abgelegt.

   AbnahmeprotokollKonformitätsstatusTestfallÜbergabe

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Fabio ist im 2. Lehrjahr als ICT-Fachmann bei der IT-Partner Aargau AG in Zofingen, 25 Mitarbeitende. Die Spitex Wiggertal mit 35 Mitarbeitenden stellt auf 20 neue Laptops und 15 Firmen-iPhones um, damit die Pflegefachpersonen auch bei Klientinnen und Klienten zu Hause dokumentieren können. Fabio richtet die Geräte ein und prüft, ob im Büro und unterwegs alles funktioniert.

1. Kapitel 1

   Vom Karton ins Firmennetz

   Das Büro-WLAN Spitex-Intern verlangt 802.1X mit Gerätezertifikat und führt die Geräte ins VLAN 20. Der erste Laptop verbindet sich nicht, ipconfig zeigt am WLAN-Adapter 'Medium getrennt', und die Anmeldung an Spitex-Intern scheitert. Fabio versteht, dass das Zertifikat fehlt, weil der Laptop noch nicht verwaltet ist. Er schliesst ihn deshalb zuerst per LAN an, wo er eine gültige Adresse und das Gateway 10.20.0.1 erhält.

   Ziel 1Ziel 5

2. Kapitel 2

   Ohne Intune läuft nichts

   Fabio verbindet die Laptops per Entra Join, die iPhones kommen über Apple Business Manager automatisch in Intune. Die Gruppe SPX-Laptops erhält das WLAN-Profil mit Zertifikat. Drei Laptops bekommen kein Profil, und in Intune sieht Fabio, dass sie als persönliches Gerät registriert wurden. Er setzt sie zurück, registriert sie korrekt, und nach einer Synchronisierung sind sie im WLAN.

   Ziel 2

3. Kapitel 3

   Wo ist mein Laufwerk K?

   Die Pflegedokumentation liegt in einer SharePoint-Bibliothek, die per OneDrive synchronisiert wird, alte Vorlagen auf dem NAS als Laufwerk K:. Ein Intune-Skript verbindet K:, aber bei vielen erscheint es erst nach der zweiten Anmeldung. Fabio findet heraus, dass das Skript läuft, bevor das WLAN verbunden ist, und baut eine Prüfung mit Wartezeit ein. Den Bürodrucker verteilt er über Universal Print an alle Laptops.

   Ziel 3

4. Kapitel 4

   Unterwegs bei der Klientin

   Unterwegs arbeiten die Pflegenden über den Hotspot ihres iPhones. SharePoint und Teams brauchen kein VPN, nur für Laufwerk K: muss der VPN-Client verbinden. Eine Mitarbeiterin kommt von zu Hause aus nie auf K:, obwohl das VPN verbunden ist. Mit Test-NetConnection und route print sieht Fabio, dass ihr Heimrouter dasselbe Netz 192.168.1.0/24 verwendet wie das Büro, und schlägt seinem Teamleiter vor, das Büronetz auf einen selteneren Bereich umzustellen.

   Ziel 4Ziel 5

5. Kapitel 5

   Abnahme mit 18 Punkten

   Fabio schreibt eine Abnahme-Checkliste mit 18 Punkten von WLAN und VLAN über Laufwerk, Drucker und OneDrive bis zu VPN und einem Testanruf in Teams. Bei 4 der 20 Laptops schlägt der Drucktest fehl, weil die Geräte in der Druckergruppe fehlen. Er korrigiert das und prüft die vier Geräte erneut. Erst dann übergibt er die Geräte mit unterschriebenem Abnahmeprotokoll an die Spitex.

   Ziel 6

1. 1

   IP-Konfiguration von Endgeräten lesen

   ca. 3 Std.

   Du frischst das Netzwerkwissen auf und lernst, die Konfiguration auf Windows, macOS, iOS und Android zu finden und zu deuten.

   • Auf vier verschiedenen Geräten IP, Maske, Gateway und DNS-Server herausschreiben
   • Einen DHCP-Lease am Laptop freigeben und erneuern und dabei im DHCP-Server zuschauen
   • Eine APIPA-Adresse provozieren und erklären, was sie bedeutet

   Trainiert Kompetenz A1E1

   Lernziel15

2. 2

   WLAN und LAN professionell

   ca. 3 Std.

   Du verstehst den Unterschied zwischen Heim-WLAN mit Passwort und Firmen-WLAN mit 802.1X und weisst, wie VLANs Endgeräte trennen.

   • Ein Gäste- und ein Firmen-WLAN auf einem Lab-Access-Point anlegen
   • Ein Gerät per Zertifikat oder Benutzeranmeldung ins Firmen-WLAN bringen
   • Prüfen, welches VLAN und welcher IP-Bereich jeweils vergeben wird

   Trainiert Kompetenz A2

   Lernziel1

3. 3

   Geräte registrieren und Profile verteilen

   ca. 4 Std.

   Du registrierst Geräte in Entra ID und Intune und verteilst WLAN-Profile, Laufwerke und Drucker automatisch.

   • Einen Windows-Laptop per Autopilot oder manuell in Entra ID aufnehmen
   • Ein iPhone oder Android-Gerät über das Unternehmensportal registrieren
   • Ein WLAN-Profil und ein Laufwerk-Skript einer Testgruppe zuweisen

   Trainiert Kompetenz B1B2C1C2

   Lernziel23

4. 4

   Unterwegs arbeiten

   ca. 3 Std.

   Du richtest VPN ein und prüfst, welche Dienste mit und ohne VPN funktionieren.

   • VPN-Client installieren und über einen Handy-Hotspot verbinden
   • Mit route print die Routing-Tabelle vor und nach der VPN-Verbindung vergleichen
   • Das Problem überlappender Subnetze im Lab nachstellen

   Trainiert Kompetenz D1D2

   Lernziel4

5. 5

   Fehlersuche trainieren

   ca. 4 Std.

   Du löst typische Support-Fälle mit den Diagnosebefehlen und baust dir einen eigenen Ablauf auf.

   • Acht vorbereitete Fehlerfälle lösen: falsches Gateway, DNS manuell, WLAN-Profil fehlt, VPN-Port gesperrt und weitere
   • Pro Fall den entscheidenden Befehl und die Ausgabe notieren
   • Eine persönliche Troubleshooting-Karte auf einer A4-Seite erstellen

   Trainiert Kompetenz E2E3D3

   Lernziel54

6. 6

   Abnahme und Übergabe

   ca. 3 Std.

   Du kombinierst alles in einer vollständigen Inbetriebnahme mit Abnahmeprotokoll.

   • Ein Gerät vom Auspacken bis zur Übergabe einrichten und prüfen
   • Ein Abnahmeprotokoll mit allen Netzwerkfunktionen ausfüllen
   • Der Benutzerin in drei Minuten erklären, was sie bei Verbindungsproblemen zuerst tun kann

   Trainiert Kompetenz F1F2C3B3

   Lernziel632

DHCP

Dienst, der Geräten automatisch IP-Adresse, Gateway und DNS-Server zuweist.

DNS

Dienst, der Namen wie intranet.firma.local in IP-Adressen übersetzt.

APIPA

Selbst vergebene Adresse 169.254.x.x, wenn kein DHCP-Server antwortet.

802.1X

Standard für die Anmeldung einzelner Geräte oder Personen am LAN oder WLAN, z.B. mit Zertifikat.

Entra Join

Gerät wird direkt in Microsoft Entra ID aufgenommen, ohne lokales Active Directory.

MAM

Mobile Application Management: Schutz von Firmen-Apps und deren Daten, ohne das Gerät zu verwalten.

Split Tunneling

Nur Verkehr für das Firmennetz geht durch das VPN, der Rest direkt ins Internet.

Konformitätsrichtlinie

Regel in Intune, die festlegt, welche Bedingungen ein Gerät für den Zugriff erfüllen muss.

Passende Module