Die Absicherung von Management-Zugängen auf Cisco-Routern ist ein zentraler Bestandteil der Netzwerk-Hardening-Strategie. Management-ACLs erlauben es, administrative Zugriffe wie SSH, SNMP oder Telnet (falls noch aktiv) nur von autorisierten Subnetzen zuzulassen und so die Angriffsfläche erheblich zu reduzieren. Best Practices beinhalten die Verwendung von Standard-ACLs, die Integration in VRFs und die strikte Trennung von Produktions- und Admin-Traffic.
Grundprinzipien von Management-ACLs
- Restriktiver Zugriff: Nur autorisierte Admin-Subnets erhalten Zugriff auf Router-Management-Interfaces
- Trennung von Produktionsverkehr: ACLs verhindern, dass User-Traffic administrative Pfade erreicht
- Integration mit VRFs: Management-Traffic über dedizierte Routing-Instanzen führen
- Auditierbarkeit: Alle Zugriffsvorgänge müssen protokolliert werden
Standard-ACL-Pattern für Admin-Zugriff
1. Standard-ACL für Management
Eine einfache ACL erlaubt nur spezifische Management-Subnets:
ip access-list standard MGMT-ACL
permit 10.10.10.0 0.0.0.255
deny ip any any- Nur das 10.10.10.0/24-Subnetz darf auf die Management-Schnittstelle zugreifen
- Alle anderen IPs werden abgelehnt
- Einbindung auf VTY-Linien über
access-class
2. ACL auf VTY-Linien anwenden
line vty 0 4
access-class MGMT-ACL in
transport input ssh
exec-timeout 10 0- Nur SSH-Zugriff zulassen, Telnet deaktivieren
- Timeout setzen, um inaktive Sessions zu schließen
3. VRF-Integration
Management-VRFs sorgen für eine zusätzliche Isolation:
interface GigabitEthernet0/0
vrf forwarding MGMT
ip address 10.10.10.1 255.255.255.0
no shutdown- ACL wird auf Management-VRF angewendet
- Produktionsinterfaces bleiben getrennt
Erweiterte ACL-Patterns
1. Mehrere Subnetze für Admin-Zugriffe
ip access-list standard MGMT-ACL
permit 10.10.10.0 0.0.0.255
permit 10.10.20.0 0.0.0.255
deny ip any any- Erlaubt Admin-Zugriffe aus mehreren autorisierten Subnetzen
- Strikte Deny-Regel am Ende für alle anderen IPs
2. ACL für SNMP-Zugriff
ip access-list standard SNMP-ACL
permit 10.10.10.0 0.0.0.255
deny ip any any
snmp-server community NETOPS RO SNMP-ACL- SNMP-Traps und Polling nur aus autorisierten Subnetzen
- Integration in Monitoring-Systeme möglich
Best Practices für Admin-ACLs
- Restriktiv beginnen: Nur bekannte Admin-Subnets erlauben
- Telnet deaktivieren, SSH zwingend verwenden
- Management-Traffic über dedizierte VRFs oder VLANs führen
- SNMPv3 für verschlüsseltes Monitoring nutzen
- Regelmäßige Überprüfung und Audit der ACLs
- Fallback-Accounts nur temporär aktivieren und protokollieren
- Logging für alle Management-Zugriffe implementieren
Praxisbeispiel CLI-Zusammenfassung
! Management-VRF erstellen
ip vrf MGMT
rd 100:1
route-target export 100:1
route-target import 100:1
! Interface zuweisen
interface GigabitEthernet0/0
vrf forwarding MGMT
ip address 10.10.10.1 255.255.255.0
no shutdown
! Standard-ACL für VTY
ip access-list standard MGMT-ACL
permit 10.10.10.0 0.0.0.255
deny ip any any
line vty 0 4
access-class MGMT-ACL in
transport input ssh
exec-timeout 10 0
! SNMP-ACL
ip access-list standard SNMP-ACL
permit 10.10.10.0 0.0.0.255
deny ip any any
snmp-server community NETOPS RO SNMP-ACL
! Logging & Audit
logging host 10.10.10.200
service timestamps log datetime msec localtime
Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3
Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.
Meine Leistungen umfassen:
-
Professionelle Konfiguration von Routern und Switches
-
Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen
-
Erstellung von Topologien und Simulationen in Cisco Packet Tracer
-
Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG
-
Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible
-
Erstellung von Skripten für wiederkehrende Netzwerkaufgaben
-
Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege
-
Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting
Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.