Cisco-Router-Hardening für Branch Offices: Sichere Konfig-Templates

Branch Offices benötigen eine standardisierte, sichere Router-Konfiguration, um Unternehmensnetzwerke zuverlässig und geschützt zu verbinden. Cisco-Router in Niederlassungen sind oft exponiert und müssen daher einem klaren Hardening-Standard folgen. Dieser Leitfaden stellt praxisorientierte Konfigurations-Templates vor, die Einsteigern, IT-Studierenden und Junior Network Engineers den Aufbau sicherer Branch-Office-Router erleichtern.

Zugriffskontrolle und Benutzerverwaltung

Der Schutz des Gerätezugriffs ist der erste Schritt beim Hardening. Lokale Konten, starke Passwörter und Rollen sorgen für kontrollierten Zugang.

Lokale Benutzerkonten und Rollen

• Administrator mit voller Berechtigung anlegen:

Router(config)# username admin privilege 15 secret 

• Operator-Konto für eingeschränkten Zugriff:

Router(config)# username operator privilege 5 secret 

• Passwortverschlüsselung aktivieren:

Router(config)# service password-encryption

Console- und VTY-Zugriff absichern

Router(config)# line console 0
Router(config-line)# login local
Router(config-line)# exec-timeout 5 0
Router(config)# line vty 0 4

Router(config-line)# login local

Router(config-line)# transport input ssh

Router(config-line)# exec-timeout 10 0

SSH und Key Management

Für Branch Offices ist Remote-Management essenziell. SSH mit RSA-Schlüsseln gewährleistet sichere Verbindungen.

Router(config)# ip domain-name branch.company.local
Router(config)# crypto key generate rsa modulus 2048
Router(config)# line vty 0 4
Router(config-line)# access-class 10 in
Router(config)# access-list 10 permit 192.168.50.0 0.0.0.255

Interface-Härtung und ACLs

Offene oder ungenutzte Interfaces stellen ein Sicherheitsrisiko dar. ACLs kontrollieren, welche Hosts oder Netze Zugriff erhalten.

Unbenutzte Interfaces deaktivieren

Router(config)# interface FastEthernet0/1
Router(config-if)# shutdown

Zugriffslisten auf Interfaces

Router(config)# access-list 100 permit ip 192.168.50.0 0.0.0.255 any
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip access-group 100 in

Routing-Protokolle absichern

Routing-Protokolle in Branch Offices müssen authentifiziert werden, um Manipulationen zu verhindern.

OSPF-Konfiguration

Router(config)# router ospf 1
Router(config-router)# area 0 authentication message-digest
Router(config-router)# ip ospf message-digest-key 1 md5 

EIGRP absichern

Router(config)# router eigrp 100
Router(config-router)# network 192.168.50.0
Router(config-router)# key-chain EIGRP_KEYS
Router(config-keychain)# key 1
Router(config-keychain-key)# key-string 

Logging, Monitoring und AAA

Transparenz über Aktivitäten ermöglicht schnelle Reaktion auf Sicherheitsvorfälle und Auditierbarkeit.

Syslog-Server konfigurieren

Router(config)# logging 192.168.50.10
Router(config)# logging trap informational
Router(config)# logging on

AAA einrichten

Router(config)# aaa new-model
Router(config)# aaa authentication login default group radius local
Router(config)# aaa authorization exec default group radius local

Dienst- und Protokoll-Härtung

• Unnötige Dienste deaktivieren:

Router(config)# no ip http server
Router(config)# no cdp run
Router(config)# no ip finger
Router(config)# no ip bootp server

• SNMPv3 verwenden:

Router(config)# snmp-server group SECURE v3 priv
Router(config)# snmp-server user branchadmin SECURE v3 auth sha  priv aes 128 

• NTP nur von vertrauenswürdigen Servern:

Router(config)# ntp server 192.168.50.20 prefer
Router(config)# ntp authenticate
Router(config)# ntp authentication-key 1 md5 
Router(config)# ntp trusted-key 1

Backup und Wiederherstellung

Regelmäßige Sicherungen sind entscheidend, um bei Ausfällen oder Manipulationen schnell wieder einsatzbereit zu sein.

Konfigurations-Backup

Router# copy running-config tftp
Address or name of remote host []? 192.168.50.50
Destination filename [running-config]? branch_backup.cfg

IOS-Backup

• Nur geprüfte und getestete Images einsetzen
• Versionskontrolle und Dokumentation führen

Netzwerksegmentierung und IP-Planung

Saubere Segmentierung erleichtert Sicherheitskontrollen und reduziert Risiken.

Subnetzplanung

Beispiel: Branch-Netzwerk $\mathrm{192.168.50.0}/24$ in 4 Subnetze unterteilen:

$\mathrm{NeueSubnetzmaske:}24+2=26$
$\mathrm{Subnetze:}192.168.50.0/26,\; 192.168.50.64/26,\; 192.168.50.128/26,\; 192.168.50.192/26$

Physische Sicherheit und weitere Maßnahmen

• Racks abschließen, nur autorisiertes Personal zulassen
• DHCP-Snooping und Dynamic ARP Inspection aktivieren
• Control Plane Policing (CPPr) konfigurieren
• Regelmäßige Security-Audits und Penetrationstests durchführen
• Dokumentation aller Konfigurationen, ACLs, Benutzerkonten und Passwörter führen

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

• Professionelle Konfiguration von Routern und Switches

• Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen

• Erstellung von Topologien und Simulationen in Cisco Packet Tracer

• Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG

• Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible

• Erstellung von Skripten für wiederkehrende Netzwerkaufgaben

• Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege

• Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.