Common Misconfigurations: 20 häufigste Hardening-Findings aus der Praxis

In der Praxis lassen sich bei Cisco-Routern häufig wiederkehrende Fehlkonfigurationen beobachten, die das Hardening und die Sicherheit des Geräts beeinträchtigen. Viele dieser Konfigurationsprobleme entstehen durch unklare Policies, fehlende Standard-Templates oder mangelnde Awareness der Administrierenden. Im Folgenden werden 20 der häufigsten Hardening-Findings vorgestellt, inklusive Praxisbeispielen und CLI-Befehlen zur Identifikation und Korrektur.

1. Unbenutzte Interfaces aktiv

Offene Interfaces stellen unnötige Angriffsflächen dar.

Router# show ip interface brief

• Empfehlung: Nicht benötigte Interfaces administrativ herunterfahren.

Router(config)# interface GigabitEthernet0/2
Router(config-if)# shutdown

2. Telnet aktiviert

Telnet überträgt Passwörter unverschlüsselt.

Router# show running-config | include line vty

• Empfehlung: Nur SSH zulassen.

Router(config-line)# transport input ssh
Router(config-line)# no transport input telnet

3. Schwache oder fehlende Passwörter

Router# show running-config | include username

• Empfehlung: Strong Secrets verwenden, min. 12 Zeichen, alphanumerisch + Sonderzeichen.

Router(config)# username admin privilege 15 secret 5 MyStr0ngP@ss!

4. Kein AAA konfiguriert

Router# show running-config | include aaa

• Empfehlung: AAA implementieren und externe Authentifizierung (TACACS+/RADIUS) verwenden.

Router(config)# aaa new-model
Router(config)# aaa authentication login default group tacacs+ local

5. Management-Traffic unsegmentiert

Router# show running-config | include interface

• Empfehlung: Management VRF oder dedizierte VLANs verwenden.

6. Unrestriktive ACLs

Router# show access-lists

• Empfehlung: Least-Privilege-Prinzip anwenden, Logging aktivieren.

Router(config)# access-list 101 permit tcp host 192.168.1.100 any eq 22 log
Router(config)# access-list 101 deny ip any any

7. Fehlende SSH-Key-Rotation

Router# show crypto key mypubkey rsa

• Empfehlung: Schlüssel regelmäßig erneuern, ältere Keys entfernen.

8. Unsichere VPN-Parameter

Router# show crypto isakmp policy
Router# show crypto ipsec sa

• Empfehlung: Starke Verschlüsselung (AES-256), SHA-2 Hash, PFS aktivieren, DPD konfigurieren.

9. Keine Control Plane Protection

Router# show policy-map control-plane

• Empfehlung: CoPP implementieren, ICMP, SNMP, SSH Traffic priorisieren.

10. Logging nicht zentralisiert

Router# show logging

• Empfehlung: Syslog zu zentralem Server, Archiving aktivieren.

Router(config)# logging host 192.168.200.10
Router(config)# archive
Router(config-archive)# log config
Router(config-archive-log)# logging enable
Router(config-archive-log)# notify syslog

11. Fehlende NTP-Synchronisation

Router# show ntp status

• Empfehlung: NTP einrichten, nur sichere Server verwenden.

Router(config)# ntp server 192.168.100.5 prefer
Router(config)# ntp authenticate
Router(config)# ntp trusted-key 1

12. Default-Route ohne Kontrolle

Router# show ip route

• Empfehlung: Routen filtern, maximaler Prefix-Schutz bei BGP.

13. Veraltete IOS-Versionen

Router# show version

• Empfehlung: Security-Patches aktuell halten, Image-Integrität prüfen.

Router# verify /md5 flash:cisco-ios.bin

14. Keine Backup-/Version-Control

Router# show startup-config

• Empfehlung: Konfiguration verschlüsselt archivieren, Versionierung verwenden.

15. Unbeschränkter SNMPv2 Zugriff

Router# show running-config | include snmp

• Empfehlung: SNMPv3, View, Group, ACL und sichere Read-Only-Policies konfigurieren.

16. Session-Timeouts nicht konfiguriert

Router# show line | include vty

• Empfehlung: Exec-/VTY-Timeouts setzen, z. B. 10 Minuten.

Router(config-line)# exec-timeout 10 0

17. Banner / Legal Notice fehlt

Router# show running-config | include banner

• Empfehlung: Security-Banner konfigurieren, Hinweis auf Monitoring und Zugriffsbeschränkungen.

18. NAT Exemption unsicher

Router# show running-config | include nat

• Empfehlung: NAT Exemptions für VPNs korrekt definieren, nur notwendige Subnetze zulassen.

19. PBR (Policy-Based Routing) falsch implementiert

Router# show route-map

• Empfehlung: PBR nur für definierte Traffic-Flows, Default-Fallback prüfen, Monitoring aktivieren.

20. Remote-Access ohne Segmentierung

Router# show vpn-sessiondb summary

• Empfehlung: User-VPNs segmentieren, minimale Zugriffsrechte, Lateral Movement verhindern.

Zusammenfassung

Diese 20 Hardening-Findings repräsentieren typische Schwachstellen bei Cisco-Routern. Durch systematisches Audit, Implementierung von Best Practices und kontinuierliche Überwachung lassen sich diese Risiken reduzieren und das Hardening-Level messbar erhöhen. Die Kombination aus Zugriffskontrolle, Verschlüsselung, Logging, Patch-Management und Netzwerksegmentierung bildet die Basis für ein sicheres Produktionsnetzwerk.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

• Professionelle Konfiguration von Routern und Switches

• Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen

• Erstellung von Topologien und Simulationen in Cisco Packet Tracer

• Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG

• Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible

• Erstellung von Skripten für wiederkehrende Netzwerkaufgaben

• Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege

• Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.