Cisco-Router-Konfiguration für Krankenhäuser: Zuverlässigkeit & Netzwerksegmentierung

In Krankenhäusern muss eine Cisco-Router-Konfiguration vor allem zwei Dinge liefern: maximale Zuverlässigkeit für klinische Prozesse und eine strikte Netzwerksegmentierung, um medizinische Geräte, Verwaltung, Gäste und Partnerzugänge sicher zu trennen. Ausfälle betreffen nicht nur „IT“, sondern potenziell Patientenversorgung, Diagnostik und Betriebsabläufe. Dieser Leitfaden zeigt praxisnah, welche Mindeststandards für High Availability, Failover, Security-Hardening, Segmentierung und Betrieb in Krankenhausnetzwerken erforderlich sind – inklusive typischer CLI-Bausteine.

Besonderheiten im Krankenhaus: Warum Standard-Bürodesigns nicht reichen

Krankenhäuser vereinen viele kritische Systeme mit sehr unterschiedlichen Risikoprofilen: klinische Anwendungen, Medizingeräte (OT/IoMT), VoIP, Gebäudeautomation, Gäste-WLAN und oft externe Dienstleister. Ohne saubere Segmentierung und kontrollierte Pfade entstehen Sicherheits- und Verfügbarkeitsrisiken.

• Kritikalität: klinische Systeme, Labor, Radiologie, Pflege-Workflows
• Viele Gerätekategorien: IoMT/Medizingeräte, IoT, Admin, Gäste, Partner
• Compliance und Nachvollziehbarkeit: Logging, Zugriffskontrolle, Change-Prozesse
• Hohe Verfügbarkeitsanforderungen: Dual-WAN, HA-Gateways, definierte Failover-Tests

Zielarchitektur: Segmentierung nach Rollen und Risiko

Ein wirksames Krankenhausdesign trennt Netze konsequent nach Rollen und Risiko. Ziel ist „Least Privilege“ auf Netzwerkebene: Geräte bekommen nur die Verbindungen, die sie benötigen. Das reduziert seitliche Bewegungen (Lateral Movement) bei Sicherheitsvorfällen und begrenzt Ausfallauswirkungen.

• VLAN10-MGMT: Management (Router/Switch/AP), nur IT, streng restriktiv
• VLAN20-ADMIN: Verwaltung/Office/Backoffice
• VLAN30-CLINICAL: klinische Workstations/Applikationszugriff
• VLAN40-IOMT: Medizingeräte (IoMT), stark limitiert
• VLAN50-IOT: Gebäudeautomation/IoT, getrennt von klinisch
• VLAN60-VOICE: VoIP, QoS-relevant
• VLAN70-GUEST: Gäste, strikt nur Internet
• VLAN80-PARTNER: externe Dienstleister/Remote-Services, nur definierte Ziele

Subnetting: Warum kleinere Netze für Geräte-Segmente sinnvoll sind

Für IoMT/IoT- und Spezialsegmente sind kleinere Netze oft besser, um Broadcast-Last zu reduzieren und Policies übersichtlich zu halten. Ein /26 bietet 64 Adressen (62 nutzbar) und ist für viele Geräte-Subnetze passend.

$2^6=64$

Beispiel: VLAN-Gateways (Router-on-a-Stick, Auszug)

interface GigabitEthernet0/1
 description LAN-TRUNK-to-CORE-SW1
 no shutdown
interface GigabitEthernet0/1.10

description VLAN10-MGMT

encapsulation dot1Q 10

ip address 10.10.10.1 255.255.255.0
interface GigabitEthernet0/1.40

description VLAN40-IOMT

encapsulation dot1Q 40

ip address 10.10.40.1 255.255.255.192
interface GigabitEthernet0/1.70

description VLAN70-GUEST

encapsulation dot1Q 70

ip address 10.10.70.1 255.255.255.0

Segmentierungs-Policies: Trust-Grenzen mit ACLs durchsetzen

Segmentierung ist nur dann wirksam, wenn sie durch Policies umgesetzt wird. In Krankenhäusern gilt häufig: Gäste dürfen ausschließlich ins Internet, IoMT darf nur zu definierten Servern (z. B. PACS/Monitoring), Partnerzugänge sind strikt begrenzt.

Beispiel: Guest strikt nur Internet (kein Zugriff auf interne Netze)

ip access-list extended ACL-GUEST-IN
 deny ip 10.10.70.0 0.0.0.255 10.10.0.0 0.0.255.255
 permit ip 10.10.70.0 0.0.0.255 any
interface GigabitEthernet0/1.70

ip access-group ACL-GUEST-IN in

Beispiel: IoMT nur zu definierten Zielen (Minimalprinzip)

ip access-list extended ACL-IOMT-IN
 permit tcp 10.10.40.0 0.0.0.63 10.10.30.10 0.0.0.0 eq 443
 permit tcp 10.10.40.0 0.0.0.63 10.10.30.20 0.0.0.0 eq 104
 deny ip 10.10.40.0 0.0.0.63 10.10.0.0 0.0.255.255
 permit ip 10.10.40.0 0.0.0.63 any
interface GigabitEthernet0/1.40

ip access-group ACL-IOMT-IN in

Zuverlässigkeit: Dual-WAN, Path-Failover und High Availability

Für klinische Umgebungen ist Verfügbarkeit Pflicht. Ein robustes Design kombiniert Dual-ISP (oder redundante Pfade) mit Path-Monitoring, damit nicht nur „Link down“, sondern auch „Upstream kaputt“ erkannt wird. Zusätzlich sollten Gateway-Redundanzen (z. B. HSRP/VRRP) für kritische Segmente vorgesehen sein.

• Dual-WAN: Primary/Backup oder Active/Active (je nach Policy)
• Path-Monitoring: IP SLA + Tracking für echte Upstream-Erkennung
• Gateway-HA: HSRP/VRRP für stabile Default-Gateway-IP
• Regelmäßige Failover-Tests und protokollierte Abnahme

Beispiel: IP SLA + Tracking für Path-Failover

ip sla 10
 icmp-echo 8.8.8.8 source-interface GigabitEthernet0/0
 frequency 5
 timeout 1000
ip sla schedule 10 life forever start-time now
track 10 ip sla 10 reachability
ip route 0.0.0.0 0.0.0.0 198.51.100.1 track 10

ip route 0.0.0.0 0.0.0.0 203.0.113.1 200

Verifikation Failover (SOP)

show ip sla statistics
show track
show ip route 0.0.0.0
show interfaces counters errors

NAT und externe Anbindungen: Stabil und nachvollziehbar

Viele Krankenhausnetze nutzen NAT für Internetzugang. Kritisch ist, dass klinische Systeme und Partner-VPNs konsistent behandelt werden: No-NAT für VPN-Traffic, dokumentierte Portweiterleitungen und restriktive Inbound-Policies.

• NAT Overload für interne Netze, klar dokumentierte Quellnetze
• No-NAT für Site-to-Site VPN (sonst „Tunnel up, kein Traffic“)
• Inbound nur mit expliziten Regeln (NAT ist keine Firewall)

Checks für NAT-Health im Betrieb

show ip nat statistics
show ip nat translations

VPN für Partner und Außenstandorte: Standardisieren und überwachen

Krankenhäuser haben häufig externe Partner (Dienstleister, Laboranbindung, Telemedizin). VPNs müssen standardisiert (IKEv2/IPsec), streng segmentiert und überwacht sein. Wichtig: Partnerzugänge nur zu definierten Zielen und Netzen.

• IKEv2/IPsec mit standardisierten Kryptoprofilen
• Partner-VPN in eigenes Segment (VLAN/VRF) mit restriktiven Policies
• Monitoring: IKEv2 SA, IPsec SA, Paketzähler, Rekey/DPD

VPN-Checks (Runbook-Baustein)

show crypto ikev2 sa
show crypto ipsec sa
show crypto session detail

Security-Hardening: Mindeststandards für Management und Audit-Trails

In kritischen Umgebungen ist Hardening verpflichtend: Management-Zugriff nur aus dem Management-Netz, sichere Protokolle, zentrale Logs, SNMPv3 und nachweisbare Prozesse (Change/Backup). Dadurch werden Sicherheitsvorfälle schneller erkannt und nachvollziehbar dokumentiert.

• SSH-only, Management-ACL (Access-Class), Session-Timeouts
• AAA (z. B. TACACS+) mit Accounting, wenn verfügbar
• NTP + Syslog zentral (SIEM), Log-Timestamps aktiv
• SNMPv3 (Auth+Priv), Standort/Device-Identität gepflegt

Beispiel: SSH-only + Management-Restriktion

no ip http server
no ip http secure-server
ip ssh version 2
ip access-list standard MGMT_ONLY

permit 10.10.10.0 0.0.0.255

deny   any
line vty 0 4

transport input ssh

access-class MGMT_ONLY in

login local

exec-timeout 10 0

Beispiel: NTP und Syslog (Betriebsgrundlage)

service timestamps log datetime msec
ntp server 192.0.2.10 prefer
logging buffered 64000 informational

logging host 192.0.2.20

logging trap informational

Monitoring und Alerting: Klinische Verfügbarkeit braucht Sichtbarkeit

Monitoring muss Ausfälle frühzeitig erkennen und priorisieren: WAN/Path-Down, Interface-Flaps, CRC/Drops, CPU-Spikes, VPN down und Routing-Instabilität. Alarme sollten korreliert werden, damit nicht jede Nebenwirkung ein neues Ticket erzeugt.

• Syslog: Interface up/down, Auth-Events, VPN-/Routing-Events
• SNMPv3: Interface-Auslastung, Errors, CPU/Memory, Tunnelstatus
• Alarme: Path-Down (IP SLA), Flaps, hohe CRC/Drops, CPU > 80% dauerhaft

Beispiel: Monitoring-Baseline

service timestamps log datetime msec
logging host 192.0.2.20
logging trap informational
snmp-server group NMS v3 priv

snmp-server user snmpmon NMS v3 auth sha  priv aes 128 

snmp-server location "HOSP-EDGE-01"

Betrieb und SOP: Change-Prozesse, Backups und Abnahme

Krankenhausbetrieb verlangt reproduzierbare Abläufe. Jede Änderung benötigt Pre-/Post-Checks, Rollback-Trigger und dokumentierte Abnahme. Backups müssen versioniert und wiederherstellbar sein.

• Pre-Check Snapshot vor jedem Change
• Post-Checks inkl. klinischer Pfadtests (definierte Testziele)
• Rollback-Plan (Trigger, Schritte, Validierung)
• Konfig-Backups vor/nach Change, Versionierung mit Ticket-ID

Pre-Checks (Runbook-Baustein)

show clock
show ip interface brief
show interfaces counters errors
show ip route 0.0.0.0
show processes cpu sorted
show logging | last 50

Post-Checks (Abnahme)

show ip interface brief
show interfaces counters errors
show ip nat statistics
show crypto ipsec sa
ping 8.8.8.8 repeat 10
traceroute 1.1.1.1

Konfiguration sichern (Pflicht nach Change)

copy running-config startup-config

Praxis-Tipp: Segmentierung und Verfügbarkeit zuerst, Detailoptimierung danach

In Krankenhausnetzwerken ist es effizient, zuerst die großen Risikotreiber zu reduzieren: klare Segmentierung (Guest/IoMT/Management), zuverlässige WAN-Pfade (Dual-WAN + Tracking) und sichere Administration (SSH/AAA/Logging). Danach folgen Optimierungen wie QoS-Feinschliff oder zusätzliche Telemetrie.

• Priorität 1: Management-Sicherheit, NTP/Syslog, Backups
• Priorität 2: Segmentierung (IoMT/IoT/Guest/Clinical/Admin)
• Priorität 3: Dual-WAN + Path-Failover + HA (SLA-relevant)
• Priorität 4: Betriebsausbau (Alerting, Reports, Kapazitätsplanung)

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

• Switching: VLANs, Trunking (802.1Q), Port-Zuweisung, STP-Basics (PortFast/BPDU Guard wo sinnvoll)

• Routing: Default/Static Routing oder OSPF, Inter-VLAN Routing (Router-on-a-Stick)

• Services: DHCP (Pools/Scopes), NAT/PAT für Internet-Simulation

• Optional Security: Basic ACLs und SSH-Hardening

• Test & Verifikation: Ping/Traceroute + wichtige Show-Commands (mit erwarteten Ergebnissen)

Sie erhalten

• ✅ Packet Tracer .pkt Datei

• ✅ Saubere Konfigurations-Notizen pro Gerät

• ✅ Verifikations-Checkliste + erwartete Outputs

• ✅ Kurze Dokumentation (wie die Topologie funktioniert)

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.