Site icon bintorosoft.com

Cisco-Router für kritische Infrastrukturen: Availability, Auditability und strikte SOPs

Red Snapper

In kritischen Infrastrukturen (KRITIS) sind Cisco-Router nicht „nur Netzwerkgeräte“, sondern Teil der Betriebssicherheit: Ausfälle wirken sich unmittelbar auf Versorgung, Produktion oder Sicherheit aus. Entsprechend müssen Availability (Redundanz und schnelle Convergence), Auditability (nachvollziehbare Adminaktionen, zentrale Logs, Retention) und strikte SOPs (Change-/Incident-Prozesse, UAT, Rollback) als Mindeststandard umgesetzt werden. Entscheidend ist dabei nicht einzelne Features, sondern ein kontrolliertes Betriebsmodell: Standardkonfigurationen, klare Rollen, reproduzierbare Runbooks und regelmäßige Evidence-Erzeugung für interne Audits. Dieser Leitfaden beschreibt praxistaugliche Baselines und SOPs für Cisco-Router in hochkritischen Umgebungen.

Zielbild: KRITIS-Anforderungen in technische Kontrollen übersetzen

KRITIS verlangt keine „magische“ Konfiguration, sondern nachweisbare technische Kontrollen: Verfügbarkeit, Zugriffssicherheit, Protokollierung und kontrollierte Änderungen. Definieren Sie diese Kontrollen als Go-Live-Gates.

Availability: Redundanzdesign für minimale Downtime

Verfügbarkeit beginnt mit echter Diversität: doppelte Router, doppelte Links, idealerweise duale Provider und getrennte Stromversorgung. Zusätzlich müssen Path-Down-Fälle erkannt werden, nicht nur Link-down.

CLI: Failover-Readiness (Tracking)

show ip sla statistics
show track
show ip route 0.0.0.0

Routing-Convergence: Stabilität vor aggressiven Timern

In KRITIS-Umgebungen ist Stabilität wichtiger als „extrem schnelle“ Timer. Aggressive Einstellungen erhöhen Flaps und CPU-Risiko. Messen Sie Failover-Zeiten und optimieren Sie kontrolliert.

CLI: Routing-Stabilität (Evidence)

show ip route summary
show ip ospf neighbor
show bgp summary
show logging | include OSPF|BGP|LINEPROTO|LINK-

Control Plane Schutz: CoPP als KRITIS-Standard (bei Exposition)

Wenn Router WAN-exponiert sind oder viele Segmente „Noise“ erzeugen, ist Control Plane Protection in KRITIS meist Pflicht. Ziel ist, CPU-Overload zu verhindern, der Routing und Management destabilisiert.

CLI: CoPP/CPU Evidence

show policy-map control-plane
show processes cpu sorted

Auditability: Zeit, Logs und nachvollziehbare Adminaktionen

Auditability ist der Kern der Nachweispflicht. Ohne NTP sind Logs nicht korrelierbar, ohne zentrale Syslog/Retention sind sie nicht auditfähig, und ohne AAA/Accounting fehlt die Identität.

CLI: NTP/Syslog Baseline

service timestamps log datetime msec

ntp server 192.0.2.10 prefer

ntp server 192.0.2.11


logging host 192.0.2.20

logging trap informational

logging source-interface GigabitEthernet0/1

CLI: AAA/Accounting Baseline

aaa new-model

tacacs server TACACS1

address ipv4 10.10.10.10

key 


aaa authentication login default group tacacs+ local

aaa authorization exec default group tacacs+ local

aaa accounting exec default start-stop group tacacs+

aaa accounting commands 15 default start-stop group tacacs+

CLI: Audit Evidence

show ntp status
show logging | last 100
show running-config | include logging host|logging source-interface|ntp server
show running-config | include aaa|tacacs

Strikte Adminzugriffssicherheit: Bastion, MFA, MGMT-Only

In KRITIS ist direkter Adminzugriff aus User-Netzen oder aus dem Internet nicht akzeptabel. Nutzen Sie ein dediziertes Managementnetz und einen kontrollierten Zugangspfad (Bastion/Jump Host) mit MFA.

CLI: MGMT-Only Zugriff (Auszug)

ip access-list standard MGMT_ONLY
 permit 10.10.10.0 0.0.0.255
 deny any

line vty 0 4

transport input ssh

access-class MGMT_ONLY in

exec-timeout 10 0

Standardkonfigurationen: Templates als KRITIS-Kontrolle

In hochkritischen Umgebungen ist Standardisierung eine Sicherheitskontrolle: Sie reduziert Human Error und Drift. Jede Abweichung muss als Ausnahme dokumentiert und befristet sein.

SOPs für Changes: Pre-Checks, UAT und Rollback als Pflichtteile

KRITIS-Changes müssen standardisiert ablaufen: feste Maintenance Windows, klare Pass/Fail Kriterien und eine getestete Rückfalloption. „Write memory“ erst nach Abnahme.

CLI: Pre-/Post-Change Evidence Pack

show clock
show ip interface brief
show interfaces counters errors
show ip route 0.0.0.0
show ip route summary
show ip ospf neighbor
show bgp summary
show crypto ipsec sa
show ip sla statistics
show track
show ntp status
show logging | last 100
show processes cpu sorted

Incident SOPs: Triage, Stabilisierung, Root Cause, PIR

In KRITIS muss Incident Response vorher geübt sein. Ein gutes SOP trennt schnelle Stabilisierung (Containment) von Root Cause und definiert Evidence und Eskalation.

CLI: Incident Quick Snapshot

show clock
show ip interface brief
show interfaces counters errors
show ip route summary
show processes cpu sorted
show logging | last 100

Periodic Controls: Regelmäßige Nachweise und Reviews

KRITIS-Compliance ist kontinuierlich. Definieren Sie regelmäßige Kontrollen, damit Drift früh erkannt wird: Audit-Snapshots, Backup-Checks, Failover-Tests und Access-Reviews.

CLI: Compliance Snapshot (minimal)

show version
show running-config | include line vty|access-class|aaa|tacacs|logging host|ntp server
show ntp status
show logging | last 100
show ip route summary
show policy-map control-plane

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version