Site icon bintorosoft.com

Cisco Router Hardening Baseline: Mindeststandard für den Produktivbetrieb

Red Snapper

A senior network engineer in a server room holds a bundle of multi-colored fiber optic cables, an African American woman at work in a data center and server maintenance service

Eine Hardening-Baseline ist der Mindeststandard, damit Cisco-Router im Produktivbetrieb sicher, auditierbar und betrieblich stabil sind. Sie reduziert Angriffsfläche, schützt den Adminzugang, macht Ereignisse nachvollziehbar (NTP/Syslog/AAA) und verhindert typische Betriebsfehler wie ungewollte Services auf dem WAN oder unkontrollierte Managementzugriffe. Diese Baseline ist bewusst praxisorientiert: Sie enthält die Bausteine, die in nahezu jeder Unternehmensumgebung als Pflicht gelten, sowie CLI-Checks zur Verifikation.

Baseline-Ziele: Was „gehärtet“ im Betrieb bedeutet

Hardening ist nicht „maximale Restriktion“, sondern ein reproduzierbarer Mindeststandard. Er muss in Projekten wiederholbar sein (Templates) und im Betrieb überprüfbar (Runbooks, Audit-Outputs).

Hardening-Block 1: Grundkonfiguration und „Betriebs-Hygiene“

Diese Einstellungen verhindern typische Bedienfehler und erleichtern Betrieb und Audit. Sie sind schnell umgesetzt und haben hohes Nutzen-Risiko-Verhältnis.

CLI: Baseline-Hygiene

hostname <HOSTNAME>
no ip domain-lookup
service timestamps log datetime msec

Hardening-Block 2: Sichere Administration (SSH-only, MGMT-Restriktion)

Adminzugriff ist die wichtigste Angriffsstelle. Mindeststandard ist SSHv2, Telnet aus und Managementzugriff nur aus dem Managementnetz. Zusätzlich sollten Session-Timeouts gesetzt werden.

CLI: SSH aktivieren

ip domain-name example.local
crypto key generate rsa modulus 2048
ip ssh version 2

CLI: MGMT-Only Access (VTY)

ip access-list standard MGMT_ONLY
 permit 10.10.10.0 0.0.0.255
 deny any

line vty 0 4

transport input ssh

access-class MGMT_ONLY in

exec-timeout 10 0

login local

Verifikation SSH/VTY

show ip ssh
show running-config | include line vty|transport input|access-class

Hardening-Block 3: AAA und Nachvollziehbarkeit (Enterprise-Mindeststandard)

In Unternehmensumgebungen ist AAA (TACACS+/RADIUS) der Standard, weil er Identitäten und Rechte zentral steuert. Lokale Accounts dienen als Fallback (Notfall), nicht als Normalbetrieb.

CLI: AAA/TACACS+ (Muster)

aaa new-model

tacacs server TACACS1

address ipv4 10.10.10.10

key 


aaa authentication login default group tacacs+ local

aaa authorization exec default group tacacs+ local

aaa accounting exec default start-stop group tacacs+

aaa accounting commands 15 default start-stop group tacacs+

Hardening-Block 4: Logging und Zeit (Auditfähigkeit)

Ohne korrekte Zeit sind Logs wertlos. Ohne zentrale Logs sind sie im Incident nicht auffindbar. Mindeststandard sind NTP und zentraler Syslog.

CLI: NTP + Syslog Baseline

ntp server 192.0.2.10 prefer
ntp server 192.0.2.11

logging buffered 64000 informational

logging host 192.0.2.20

logging trap informational

logging source-interface GigabitEthernet0/1

Verifikation Logging/NTP

show ntp status
show logging | last 50
show running-config | include ntp server|logging host|logging trap

Hardening-Block 5: Angriffsfläche reduzieren (Services und Exposition)

Deaktivieren Sie unnötige Services und vermeiden Sie Discovery-Protokolle auf WAN-Ports. Diese Maßnahmen reduzieren Scanfläche und verhindern, dass Informationen nach außen geleakt werden.

CLI: Exposition reduzieren (Auszug)

no ip http server
no ip http secure-server

interface GigabitEthernet0/0

no cdp enable

Hardening-Block 6: Zugriffsschutz auf Management-Plane (CoPP/Control Plane Basics)

In größeren Enterprise-Umgebungen ist Control Plane Protection sinnvoll, um die CPU gegen unnötige/feindliche Control-Plane-Traffic zu schützen. Der genaue CoPP-Entwurf ist plattformspezifisch, aber die Anforderung sollte als Standardbaustein geführt werden.

Hardening-Block 7: Interface- und L2/L3-Basics (Stabilität im Betrieb)

Hardening ist auch Betriebssicherheit. Saubere Descriptions, klare Rollen (inside/outside) und das Vermeiden unnötiger Features auf WAN-Interfaces reduzieren Fehlerbilder.

CLI: Interface-Standards (Beispiel)

interface GigabitEthernet0/0
 description WAN-ISP1-CID12345-PRIMARY
 ip nat outside
 no shutdown

interface GigabitEthernet0/1

description LAN-TRUNK-to-SW1

ip nat inside

no shutdown

Hardening-Block 8: Passwort- und Key-Management (Mindestregeln)

Viele Vorfälle entstehen nicht durch „Hacking“, sondern durch schlechte Secrets-Hygiene. Nutzen Sie Secrets (nicht Klartext), individuelle Accounts und einen dokumentierten Break-Glass-Prozess.

CLI: Lokale Accounts (Beispiel, Platzhalter)

username netadmin privilege 15 secret <SECRET>
enable secret <SECRET>

Hardening-Block 9: Mindest-Monitoring für Produktivbetrieb

Auch eine gehärtete Umgebung muss überwacht werden. Mindeststandard ist Sichtbarkeit für Interfaces, Errors und Ressourcen. Für Enterprise ist SNMPv3/Telemetry üblich.

CLI: Operability-Checks

show interfaces counters errors
show processes cpu sorted
show processes memory sorted
show logging | last 50

Go-Live-Gate: Hardening-Abnahme (Pass/Fail)

Setzen Sie Hardening als Gate vor dem Go-Live. So verhindern Sie, dass Produktivsysteme mit „temporären“ unsicheren Einstellungen live gehen.

Hardening-Verification Snapshot (Copy/Paste)

show ip ssh
show running-config | include line vty|access-class|transport input|ip http|ip http secure
show running-config | include aaa|tacacs
show ntp status
show logging | last 50
show interfaces counters errors

Golden Config: Kompakter Hardening-Baseline-Block

Dieser Block bündelt die wichtigsten Mindeststandards. Er eignet sich als Template-Basis und sollte über Variablen (Hostname, MGMT-Netz, Server-IPs) parametrisiert werden.

! ===== HARDENING BASELINE (MINIMUM) =====
hostname <HOSTNAME>
no ip domain-lookup

no ip http server

no ip http secure-server


ip domain-name example.local

crypto key generate rsa modulus 2048

ip ssh version 2


service timestamps log datetime msec

ntp server 192.0.2.10 prefer

ntp server 192.0.2.11


logging buffered 64000 informational

logging host 192.0.2.20

logging trap informational

logging source-interface GigabitEthernet0/1


ip access-list standard MGMT_ONLY

permit 10.10.10.0 0.0.0.255

deny any


line vty 0 4

transport input ssh

access-class MGMT_ONLY in

exec-timeout 10 0

login local

! ===== END HARDENING BASELINE =====

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version