Cisco Switch Setup: Management-IP, Gateway und SSH aktivieren

Ein professionelles Cisco Switch Setup beginnt nicht bei VLANs oder Trunks, sondern bei einem sauberen Management-Zugang: eine korrekt konfigurierte Management-IP, ein passendes Gateway und ein sicherer Remote-Zugriff per SSH. Diese Grundlagen entscheiden darüber, ob Sie den Switch später zuverlässig administrieren können – oder bei der ersten Änderung am Netzwerkzugang plötzlich „ausgesperrt“ sind. Gerade Einsteiger unterschätzen häufig, dass ein Layer-2-Switch ohne Management-Konfiguration zwar Datenverkehr weiterleiten kann, aber remote kaum wartbar ist. Ebenso oft werden Default Gateway und Management-VLAN durcheinandergebracht, was zu typischen Fehlerbildern führt: Ping geht nur aus dem eigenen Subnetz, SSH ist von anderen Netzen aus nicht erreichbar oder die Management-IP bleibt „down“, weil kein Port im richtigen VLAN aktiv ist. In diesem Artikel lernen Sie Schritt für Schritt, wie Sie die Management-IP auf einem Cisco-Switch sauber setzen, den Gateway-Eintrag korrekt konfigurieren und SSH sicher aktivieren. Dazu erhalten Sie praxiserprobte Best Practices, typische Stolperfallen und Prüfkommandos, mit denen Sie Ihr Setup sofort verifizieren können – ideal für Einsteiger und Mittelstufe, aber auch als kompakte Checkliste für den Alltag.

Grundlagen: Management-IP, SVI und Default Gateway richtig einordnen

Damit Sie einen Cisco-Switch remote verwalten können, benötigt er eine IP-Adresse. Bei klassischen Layer-2-Switches wird diese IP nicht auf einem physischen Port gesetzt, sondern auf einem sogenannten SVI (Switched Virtual Interface), also einem VLAN-Interface wie interface vlan 99. Dieses VLAN-Interface dient ausschließlich der Verwaltung und ist nicht automatisch „up“, nur weil Sie eine IP eingetragen haben. Es wird erst dann aktiv, wenn mindestens ein physischer Port im entsprechenden VLAN aktiv ist (Link up) und der Switch das VLAN kennt.

• Management-IP: IP-Adresse für Verwaltung (SSH, SNMP, Syslog, Monitoring).
• SVI: VLAN-Interface, auf dem die Management-IP liegt.
• Default Gateway: Nächster Hop, damit der Switch Management-Traffic in andere Netze senden kann (bei Layer-2-Switch).
• Management-VLAN: Dediziertes VLAN für Administration; Best Practice ist Trennung von Client-VLANs.

Wenn Sie zu Ihrem Switch-Modell die genaue IOS/IOS XE-Dokumentation benötigen, finden Sie über den Anchor-Text Cisco LAN-Switching Dokumentation passende Einstiege und Plattformhinweise.

Vorbereitung: Zugriff auf die Konsole und sinnvolle Mindestkonfiguration

Für die Erstkonfiguration nutzen Sie idealerweise den Konsolenport (seriell oder USB-Konsole), weil Sie damit unabhängig von Netzwerksettings Zugriff haben. Bevor Sie Management-IP und SSH einrichten, empfiehlt sich ein kleines Sicherheitsfundament: Hostname, lokaler Benutzer und ein Enable Secret. So können Sie später login local verwenden, anstatt unsichere Line-Passwörter zu setzen.

enable
configure terminal
hostname SW-ACCESS-01
enable secret <SICHERES_PASSWORT>
username admin privilege 15 secret <SICHERES_PASSWORT>
service password-encryption

Zusätzlich sind diese Konsolen-Optionen im Alltag sehr hilfreich:

line console 0
login local
exec-timeout 10 0
logging synchronous

Schritt 1: Management-VLAN planen und anlegen

Best Practice ist ein dediziertes Management-VLAN, z. B. VLAN 99. Dadurch bleibt die Verwaltung vom normalen Client-Verkehr getrennt. In produktiven Umgebungen wird das Management-VLAN häufig zusätzlich durch ACLs, Firewalls oder ein separates Admin-Netz geschützt. Für ein Basissetup reicht zunächst die saubere VLAN-Struktur.

Beispiel: VLAN 99 als Management-VLAN:

vlan 99
name MGMT

Prüfen:

show vlan brief

Wichtig: Das VLAN muss auf dem Switch existieren, bevor Sie es für das SVI und für Ports nutzen. Andernfalls sind Troubleshooting und spätere Erweiterungen unnötig fehleranfällig.

Schritt 2: Management-IP auf dem SVI konfigurieren

Die Management-IP wird auf dem VLAN-Interface konfiguriert. Beispiel: 192.168.99.10/24 auf VLAN 99. Achten Sie darauf, dass IP-Adresse, Subnetzmaske und das geplante Gateway logisch zusammenpassen.

interface vlan 99
description Management SVI
ip address 192.168.99.10 255.255.255.0
no shutdown

Prüfen Sie den Status:

show ip interface brief

Wenn das Interface VLAN 99 hier als down oder administratively down erscheint, liegt es meist nicht an der IP-Konfiguration, sondern daran, dass das VLAN aktuell keinen aktiven Port hat. Genau dafür kommt der nächste Schritt.

Schritt 3: Einen Port ins Management-VLAN bringen, damit das SVI „up“ wird

Damit das SVI aktiv wird, braucht das VLAN mindestens einen aktiven Port. Häufig wird dafür ein Uplink-Port als Trunk verwendet, der das Management-VLAN transportiert. In kleinen Lab-Setups kann auch ein einzelner Access-Port im Management-VLAN ausreichend sein, solange dort ein aktiver Link besteht.

Variante A: Access-Port für Management (einfaches Lab)

interface gigabitethernet1/0/1
description Management-Port (Lab)
switchport mode access
switchport access vlan 99
no shutdown

Variante B: Trunk-Uplink zum Distribution-Switch oder Router

Wenn der Switch über einen Trunk angebunden ist, stellen Sie sicher, dass VLAN 99 auf dem Trunk erlaubt ist.

interface gigabitethernet1/0/48
description Uplink
switchport mode trunk
switchport trunk allowed vlan 10,20,30,99
no shutdown

Prüfen Sie anschließend:

show interfaces trunk
show ip interface brief

Das Ziel ist, dass Vlan99 als up/up angezeigt wird. Erst dann ist die Management-IP zuverlässig erreichbar.

Schritt 4: Default Gateway konfigurieren (Layer-2-Switch)

Ein häufiger Irrtum: Viele konfigurieren eine Management-IP und wundern sich dann, warum der Switch nur aus dem gleichen Subnetz erreichbar ist. Der Grund ist einfach: Ein Layer-2-Switch routet nicht. Damit er Management-Traffic in andere Netze schicken kann (z. B. Admin-PC aus einem anderen VLAN), braucht er ein Default Gateway. Dieses Gateway ist typischerweise die Router- oder Firewall-IP im Management-VLAN, zum Beispiel 192.168.99.1.

ip default-gateway 192.168.99.1

Prüfen:

show running-config | include default-gateway

Wichtiger Hinweis für Layer-3-Switches

Wenn Ihr Switch Layer-3-Routing übernimmt (z. B. Distribution-Switch) und ip routing aktiv ist, dann arbeiten Sie mit statischen Routen oder einem Routingprotokoll statt ip default-gateway. In diesem Artikel liegt der Schwerpunkt jedoch auf dem klassischen Management-Setup für Layer-2-Access-Switches, weil das die häufigste Einstiegssituation ist.

Schritt 5: SSH aktivieren – sicherer Remote-Zugriff statt Telnet

SSH ist der Standard für sicheren Remote-Zugriff. Telnet sollte im professionellen Umfeld vermieden werden, da es Zugangsdaten unverschlüsselt überträgt. Für SSH benötigen Sie in der Regel einen Domain-Namen, kryptografische Schlüssel (RSA) und eine passende VTY-Konfiguration.

Domain setzen und RSA-Schlüssel erzeugen

ip domain-name firma.local
crypto key generate rsa modulus 2048

SSHv2 aktivieren

ip ssh version 2

VTY-Lines auf SSH beschränken

line vty 0 4
login local
transport input ssh
exec-timeout 10 0

Wenn Ihr Switch mehr VTY-Lines nutzt (häufig 0–15), passen Sie den Bereich an:

line vty 0 15
login local
transport input ssh

Prüfen Sie die SSH-Einstellungen:

show ip ssh
show running-config | section line vty

Für offizielle Details zur SSH-Konfiguration (inklusive Troubleshooting) ist der Anchor-Text Cisco SSH-Konfigurationsleitfaden eine hilfreiche Referenz.

Schritt 6: Zugriff auf das Management zusätzlich absichern (Best Practices)

Ein funktionierender SSH-Zugang ist die Grundlage, aber nicht das Ende. Best Practices zielen darauf ab, die Angriffsfläche zu reduzieren und die Verwaltung auf autorisierte Systeme einzuschränken. Das ist besonders wichtig, wenn Management-Netze nicht physisch getrennt sind oder wenn mehrere Personen Zugriff haben.

SSH nur aus dem Admin-Netz erlauben (Access-Class auf VTY)

Eine praxistaugliche Methode ist, SSH-Zugriffe per ACL auf definierte Admin-IPs oder Admin-Subnetze zu beschränken. Beispiel: Admin-Netz 192.168.50.0/24 darf zugreifen.

ip access-list standard ACL-SSH-ADMIN
permit 192.168.50.0 0.0.0.255
deny any

line vty 0 4
access-class ACL-SSH-ADMIN in

Prüfen:

show access-lists
show running-config | section line vty

Unnötige Dienste reduzieren

Je nach Umgebung kann es sinnvoll sein, bestimmte Discovery- oder Legacy-Funktionen zu deaktivieren, insbesondere auf Uplinks Richtung unsichere Bereiche. Welche Dienste sinnvoll sind, hängt stark vom Betriebskonzept ab, aber das Prinzip bleibt: aktivieren Sie nur, was Sie benötigen.

Tests und Verifikation: So stellen Sie sicher, dass alles wirklich funktioniert

Ein gutes Cisco Switch Setup beinhaltet immer eine kurze Prüfroutine. Damit vermeiden Sie Überraschungen, wenn Sie den Switch später in ein anderes VLAN umziehen oder der Admin-Zugriff aus der Ferne erfolgen muss.

Lokale Prüfkommandos auf dem Switch

• show ip interface brief (SVI up/up, IP korrekt?)
• show vlan brief (VLAN 99 vorhanden, Ports korrekt?)
• show interfaces trunk (wenn Uplink Trunk ist: VLAN 99 erlaubt?)
• show ip ssh (SSH aktiv, Version korrekt?)
• show running-config | include default-gateway (Gateway gesetzt?)

Erreichbarkeit testen (Ping und SSH)

Testen Sie zunächst das Gateway im Management-VLAN:

ping 192.168.99.1

Testen Sie anschließend von einem Admin-PC im entsprechenden Netz:

• Ping auf 192.168.99.10
• SSH-Verbindung auf 192.168.99.10 mit dem Benutzer admin

Wenn Ping nur lokal, aber nicht aus anderen Netzen funktioniert, ist das Default Gateway häufig falsch oder es fehlt eine Rückroute/Firewall-Regel im Netzwerkdesign.

Häufige Fehlerbilder und schnelle Lösungen

Gerade bei Management-IP und SSH gibt es typische Stolperfallen. Wenn Sie diese Muster kennen, sparen Sie im Fehlerfall viel Zeit.

SVI bleibt down/down

• Kein aktiver Port im Management-VLAN: mindestens ein Link im VLAN 99 muss up sein.
• VLAN 99 nicht angelegt: show vlan brief prüfen.
• Trunk erlaubt VLAN 99 nicht: show interfaces trunk prüfen.

Management-IP erreichbar, aber nicht aus anderen Netzen

• Default Gateway fehlt oder ist falsch: show running-config | include default-gateway.
• Upstream-Routing/Firewall blockiert: Rückroute oder ACLs prüfen.
• Admin-PC ist in falschem Netz oder nutzt falsches Gateway.

SSH funktioniert nicht, obwohl die IP pingbar ist

• RSA-Schlüssel fehlen: show crypto key mypubkey rsa.
• Domain nicht gesetzt: show running-config | include ip domain-name.
• VTY erlaubt kein SSH: show running-config | section line vty.
• ACL sperrt Admin-Quelle: show access-lists und VTY access-class prüfen.

Konfiguration speichern: Damit das Setup nach Neustart erhalten bleibt

Ein weiterer Klassiker: Alles läuft – bis zum Neustart. Speichern Sie daher nach erfolgreicher Prüfung die Konfiguration in die Startup-Config.

copy running-config startup-config

Prüfen:

show startup-config

Empfohlener „Clean Setup“-Block für Management-IP, Gateway und SSH

Der folgende Block ist ein kompakter, praxistauglicher Ausgangspunkt für ein Cisco Switch Setup. Er setzt ein Management-VLAN, legt eine Management-IP auf dem SVI an, konfiguriert das Default Gateway und aktiviert SSH. Passen Sie IPs, VLAN-ID und Namen an Ihre Umgebung an.

enable
configure terminal
hostname SW-ACCESS-01
enable secret <SICHERES_PASSWORT>
username admin privilege 15 secret <SICHERES_PASSWORT>
service password-encryption
vlan 99
name MGMT
interface vlan 99
description Management SVI
ip address 192.168.99.10 255.255.255.0
no shutdown
ip default-gateway 192.168.99.1
ip domain-name firma.local
crypto key generate rsa modulus 2048
ip ssh version 2
line console 0
login local
exec-timeout 10 0
logging synchronous
line vty 0 4
login local
transport input ssh
exec-timeout 10 0
end

Danach aktivieren Sie mindestens einen Port im VLAN 99 oder stellen sicher, dass der Uplink-Trunk VLAN 99 transportiert. Prüfen Sie abschließend:

show ip interface brief
show vlan brief
show ip ssh
copy running-config startup-config

Weiterführende Orientierung: Verlässliche Quellen für Befehle und Plattformunterschiede

Die konkrete Syntax kann je nach Switch-Serie und IOS/IOS XE-Version leicht variieren. Für die tägliche Arbeit ist es hilfreich, die offiziellen Command References griffbereit zu haben, insbesondere wenn Sie Features wie AAA, SNMPv3, Syslog-Templates oder Management-VRFs ergänzen möchten. Über den Anchor-Text Cisco IOS Command Reference finden Sie je nach Plattform passende Nachschlagewerke. Für Switching-spezifische Konzepte und Best Practices ist außerdem der Anchor-Text Cisco LAN Switching eine solide Basis, um Konfigurationsentscheidungen fachlich abzusichern.

Cisco Netzwerkdesign, CCNA Support & Packet Tracer Projekte

Cisco Networking • CCNA • Packet Tracer • Network Configuration

Ich biete professionelle Unterstützung im Bereich Cisco Computer Networking, einschließlich CCNA-relevanter Konfigurationen, Netzwerkdesign und komplexer Packet-Tracer-Projekte. Die Lösungen werden praxisnah, strukturiert und nach aktuellen Netzwerkstandards umgesetzt.

Diese Dienstleistung eignet sich für Unternehmen, IT-Teams, Studierende sowie angehende CCNA-Kandidaten, die fundierte Netzwerkstrukturen planen oder bestehende Infrastrukturen optimieren möchten. Finden Sie mich auf Fiverr.

Leistungsumfang:

• Netzwerkdesign & Topologie-Planung

• Router- & Switch-Konfiguration (Cisco IOS)

• VLAN, Inter-VLAN Routing

• OSPF, RIP, EIGRP (Grundlagen & Implementierung)

• NAT, ACL, DHCP, DNS-Konfiguration

• Troubleshooting & Netzwerkoptimierung

• Packet Tracer Projektentwicklung & Dokumentation

• CCNA Lern- & Praxisunterstützung

Lieferumfang:

• Konfigurationsdateien

• Packet-Tracer-Dateien (.pkt)

• Netzwerkdokumentation

• Schritt-für-Schritt-Erklärungen (auf Wunsch)

Arbeitsweise:Strukturiert • Praxisorientiert • Zuverlässig • Technisch fundiert

CTA:
Benötigen Sie professionelle Unterstützung im Cisco Networking oder für ein CCNA-Projekt?
Kontaktieren Sie mich gerne für eine Projektanfrage oder ein unverbindliches Gespräch. Finden Sie mich auf Fiverr.