Site icon bintorosoft.com

Cisco Router Konfigurations-Standards (Templates): So baust du skalierbare Baselines

Red Snapper

Computer technology 3D illustration. Computation of big data center. Cloud computing. Online devices upload and download information. Modern 3D illustration. 3D rendering

Konfigurations-Standards (Templates) sind der Unterschied zwischen „ein Router läuft“ und „ein Netz ist skalierbar“. Mit Baselines stellst du sicher, dass alle Router konsistent gehärtet sind, Monitoring liefern, gleiches Troubleshooting-Verhalten haben und Changes reproduzierbar bleiben. Gute Templates trennen stabile Standards (immer gleich) von standortspezifischen Variablen (IP, ASN, VLANs, Peers). Dieser Artikel zeigt, wie du Cisco Router Baselines aufbaust, welche Bausteine dazugehören und wie ein praxistaugliches Template aussehen kann.

Warum Templates im Enterprise unverzichtbar sind

In wachsenden Netzen ist „Handarbeit“ der größte Risikofaktor. Templates reduzieren Fehlkonfigurationen, beschleunigen Rollouts und machen Audits einfacher.

Template-Design: Standard vs. Variablen sauber trennen

Ein skalierbares Template enthält möglichst wenig standortspezifische Werte. Alles, was sich pro Gerät ändert, wird als Variable geführt (Hostname, Management-IP, NTP/Syslog-IPs, WAN-Parameter).

Merker

Template = Baseline + Variablen

Baustein 1: Gerätegrundsetup (Identität, Zeit, Banner)

Identität und Zeit sind Basis für jede Auswertung. Ohne NTP sind Logs wertlos. Ohne saubere Hostnames sind Inventarisierung und Ticketing mühsam.

Empfohlene Inhalte

Template-Snippet

hostname {{HOSTNAME}}
service timestamps log datetime msec localtime
service timestamps debug datetime msec localtime
service sequence-numbers

ntp server {{NTP1}} prefer

ntp server {{NTP2}}

ntp source loopback0


banner motd ^C

Unauthorized access prohibited. All activity may be monitored.

^C

Baustein 2: Management-Plane Baseline (SSH, AAA, VTY-ACL)

Management muss konsistent gehärtet sein. Standard: SSHv2, kein Telnet, VTY auf Admin-Netze begrenzen, AAA mit lokalem Fallback. Das reduziert Lockouts und Audit-Risiko.

Empfohlene Inhalte

Template-Snippet

ip domain-name {{DOMAIN}}
crypto key generate rsa modulus 2048
ip ssh version 2
ip ssh time-out 60
ip ssh authentication-retries 2

ip access-list standard VTY_MGMT

permit {{MGMT_NET}} {{MGMT_WC}}

deny any


line vty 0 15

login local

transport input ssh

access-class VTY_MGMT in

exec-timeout 10 0


username breakglass privilege 15 secret {{BREAKGLASS_SECRET}}

Baustein 3: Services minimieren (Hardening-Basics)

Templates sollten unnötige Services standardmäßig deaktivieren. Das reduziert Angriffsfläche und vermeidet „vergessene“ Defaults.

Empfohlene Inhalte

Template-Snippet

no ip http server
no ip http secure-server

interface {{UNTRUSTED_UPLINK}}

no cdp enable


interface {{USER_LAN_IF}}

no ip redirects

no ip proxy-arp

Baustein 4: Control-Plane Schutz (CoPP als Standard)

Ein skalierbares Enterprise-Template hat CoPP als Baseline. Ohne CoPP können Scans/Floods die CPU belasten, was Routing und Management beeinträchtigt.

Template-Snippet (Prinzip)

class-map match-any CM_CP_SSH
 match protocol ssh
class-map match-any CM_CP_ICMP
 match protocol icmp

policy-map PM_COPP

class CM_CP_SSH

police 64000 conform-action transmit exceed-action drop

class CM_CP_ICMP

police 32000 conform-action transmit exceed-action drop

class class-default

police 16000 conform-action transmit exceed-action drop


control-plane

service-policy input PM_COPP

Baustein 5: Observability (Syslog, SNMPv3, NetFlow)

Templates müssen Telemetrie standardisieren: Syslog für Events, SNMPv3 für Monitoring, NetFlow für Traffic-Analysen. Wichtig ist ein konsistentes Source-Interface (Loopback0).

Syslog Baseline

logging host {{SYSLOG1}}
logging host {{SYSLOG2}}
logging source-interface loopback0
logging trap warnings
logging buffered 16384 warnings

SNMPv3 Baseline (mit ACL)

ip access-list standard SNMP_MGMT
 permit {{NMS_IP}}
 deny any

snmp-server group NMS v3 priv access SNMP_MGMT

snmp-server user {{SNMP_USER}} NMS v3 auth sha {{SNMP_AUTH}} priv aes 128 {{SNMP_PRIV}}

snmp-server location {{SITE}}

snmp-server contact {{NOC_CONTACT}}

NetFlow Baseline (optional, nur wenn genutzt)

flow exporter EXP_NETFLOW
 destination {{NETFLOW_COLLECTOR}}
 source loopback0
 transport udp {{NETFLOW_PORT}}

Baustein 6: Backup/Change-Tracking (Archive)

Templates sollten lokale Versionierung aktivieren, damit du schnelle Rollbacks und Change-History hast. Für echte Enterprise-Backups ergänzt du zentrale Tools.

archive
 path flash:cfg-archive
 maximum 10
 write-memory

Baustein 7: Interface-Standards (Descriptions, MTU/MSS, QoS)

Interface-Standards sind Betriebsgold: konsistente Descriptions, klare Role-Namen (WAN/LAN/MGMT), und – wo nötig – MTU/MSS/QoS. Das macht Troubleshooting deutlich schneller.

Template-Snippet: Description und MSS (Beispiel)

interface {{WAN_IF}}
 description {{CIRCUIT_ID}} - {{ISP}} - {{SITE}}
 no shutdown

interface tunnel0

ip tcp adjust-mss 1360

Baustein 8: Rollenbasierte Templates (Edge vs. Branch vs. DC)

Ein einziges Template für „alles“ wird schnell unhandlich. Besser: pro Rolle ein Basistemplate und optionale Module (NAT, VPN, BGP, QoS), die nur dort inkludiert werden, wo sie benötigt werden.

Typische Pitfalls bei Templates

Templates scheitern selten an Technik, sondern an Design-Disziplin: zu viele Sonderfälle, unklare Variablen und kein Versionierungsprozess.

Mini-Baseline Template (kompakt, Copy & Paste)

Dieses Template ist bewusst kompakt und zeigt die Struktur: Identität, Management, Observability und grundlegendes Hardening.

hostname {{HOSTNAME}}
service timestamps log datetime msec localtime
service timestamps debug datetime msec localtime
service sequence-numbers

interface loopback0

ip address {{LOOPBACK_IP}} 255.255.255.255


ntp server {{NTP1}} prefer

ntp source loopback0


no ip http server

no ip http secure-server


ip domain-name {{DOMAIN}}

crypto key generate rsa modulus 2048

ip ssh version 2

ip ssh time-out 60

ip ssh authentication-retries 2


username breakglass privilege 15 secret {{BREAKGLASS_SECRET}}


ip access-list standard VTY_MGMT

permit {{MGMT_NET}} {{MGMT_WC}}

deny any


line vty 0 15

login local

transport input ssh

access-class VTY_MGMT in

exec-timeout 10 0


logging host {{SYSLOG1}}

logging source-interface loopback0

logging trap warnings

logging buffered 16384 warnings


archive

path flash:cfg-archive

maximum 10

write-memory

Konfiguration speichern

Router# copy running-config startup-config

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version