Site icon bintorosoft.com

Cisco-Router-Hardening: Umfassender Leitfaden zur Baseline-Security für Production

Red Snapper

Computer engineer troubleshooting on a laptop with multiple server racks and network cables in the backdrop AI generated

Die Absicherung von Cisco-Routern ist ein zentraler Bestandteil der Netzwerk-Security in Produktionsumgebungen. Ein gut gehärteter Router schützt nicht nur vor unautorisierten Zugriffen, sondern stellt auch die Stabilität und Verfügbarkeit des Netzwerks sicher. In diesem Leitfaden werden praxisorientierte Maßnahmen für das Hardening von Cisco-Routern erläutert, die sowohl für Einsteiger als auch für erfahrene Netzwerkingenieure geeignet sind.

Grundlagen des Cisco-Router-Hardenings

Router-Hardening bezeichnet die Umsetzung von Sicherheitsmaßnahmen, um Geräte vor Angriffen, Fehlkonfigurationen oder Missbrauch zu schützen. Bei Cisco-Routern umfasst dies administrative Absicherungen, Netzwerkzugriffskontrollen und Monitoring.

Wichtige Sicherheitsziele

Router-Zugang sichern

Ein zentraler Aspekt des Hardening ist die Kontrolle des Zugriffs auf den Router. Dabei sollten sowohl lokale als auch remote Zugriffe abgesichert werden.

Lokalen Konsolenzugang absichern

Router(config)# enable secret
  • Aktivieren Sie Login-Prompts auf der Konsole:
    • Router(config)# line console 0
Router(config-line)# login
Router(config-line)# logging synchronous
Router(config-line)# exec-timeout 5 0
  • Beschränken Sie physikalischen Zugriff zum Gerät, z. B. durch abgeschlossene Racks

    • Remote-Zugriff absichern

    Router(config)# ip domain-name example.com
Router(config)# crypto key generate rsa modulus 2048
Router(config)# username admin secret 
Router(config)# line vty 0 4
Router(config-line)# transport input ssh
Router(config-line)# login local
  • VTY-Timeouts setzen:
    • Router(config-line)# exec-timeout 10 0
  • Access Control Lists (ACLs) für Remote-Zugriff anwenden:
    • Router(config)# access-list 10 permit 192.168.1.0 0.0.0.255
Router(config)# line vty 0 4
Router(config-line)# access-class 10 in

    Passwort- und Benutzerverwaltung

    Die Vergabe starker Passwörter und differenzierter Benutzerrechte minimiert das Risiko von Brute-Force-Angriffen und unbeabsichtigten Fehlkonfigurationen.

    Starke Passwörter und Verschlüsselung

    Router(config)# service password-encryption
  • Lokale Benutzerkonten anlegen:
    • Router(config)# username netadmin privilege 15 secret
  • Passwort-Richtlinien im Betrieb durchsetzen

    • Rollenbasierte Zugriffssteuerung

    Router(config)# username operator privilege 5 secret
  • Nur vertrauenswürdigen Administratoren volle Rechte geben

    • Netzwerkzugriff und Interface-Härtung

    Offene Schnittstellen sind potenzielle Angriffsflächen. Das Schließen ungenutzter Ports und das Einschränken von Zugriffen erhöht die Sicherheit erheblich.

    Unnötige Interfaces deaktivieren

    Router(config)# interface FastEthernet0/1
Router(config-if)# shutdown

    Layer-3 Sicherheitsmaßnahmen

    Router(config)# access-list 100 permit ip 192.168.1.0 0.0.0.255 any
Router(config)# interface GigabitEthernet0/0
Router(config-if)# ip access-group 100 in

    Logging und Monitoring

    Überwachung und Protokollierung ermöglichen die frühzeitige Erkennung von Sicherheitsvorfällen.

    Syslog konfigurieren

    Router(config)# logging 192.168.1.10
Router(config)# logging trap informational
Router(config)# logging on

    AAA (Authentication, Authorization, Accounting) einrichten

    Router(config)# aaa new-model
Router(config)# aaa authentication login default group radius local
Router(config)# aaa authorization exec default group radius local
  • Berechtigungen und Aktivitäten protokollieren

    • Routing- und Protokollhärtung

    Auch Routing-Protokolle müssen abgesichert werden, um Manipulationen und Denial-of-Service-Angriffe zu verhindern.

    Routing-Protokolle absichern

    Router(config)# router ospf 1
Router(config-router)# area 0 authentication message-digest
Router(config-router)# ip ospf message-digest-key 1 md5

    Backup und Software-Härtung

    Regelmäßige Backups und Updates reduzieren Risiken durch Softwarefehler oder Angriffe auf bekannte Schwachstellen.

    Konfigurations-Backup

    Router# copy running-config tftp
Address or name of remote host []? 192.168.1.100
Destination filename [running-config]? router-backup.cfg

    IOS-Updates

    Zusätzliche Best Practices

    Router(config)# no ip http server
Router(config)# no cdp run
  • Time-Based Access Control (zeitsensitive Zugriffe)
  • Netzwerksegmentierung und Firewalls als zusätzliche Schutzebene
  • Regelmäßige Security-Audits und Penetrationstests

    • IP- und Subnetting-Kontrolle

    Eine konsistente IP-Adressplanung verhindert Konflikte und erleichtert die Netzwerküberwachung.

    Subnetzberechnung

    Beispiel: Ein Netzwerk 192.168.10.0/24 soll in 4 Subnetze aufgeteilt werden:

    NeueSubnetzmaske: 24 + 2 = 26
    Subnetze: 192.168.10.0/26, 192.168.10.64/26, 192.168.10.128/26, 192.168.10.192/26

    Dies gewährleistet klar abgegrenzte Subnetze für unterschiedliche Netzwerksegmente und erleichtert die Anwendung von ACLs.

    Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

    Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

    Meine Leistungen umfassen:

    Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.

    Exit mobile version