Eine „Golden Config“ bezeichnet eine standardisierte, modulare Konfiguration, die als Vorlage für Cisco-Router-Hardening dient. Sie definiert Best Practices, Sicherheitskontrollen und Betriebsparameter, die konsistent über alle Geräte einer Umgebung angewendet werden. Durch eine gut durchdachte Golden Config lassen sich Sicherheitslücken minimieren, Betriebskosten senken und die Wartbarkeit deutlich erhöhen.
Architektur einer modularen Golden Config
Eine modulare Struktur trennt Basisfunktionen, Security-Hardening und Services, um Wiederverwendbarkeit und Wartbarkeit zu gewährleisten.
Empfohlene Module
- Base Config: Hostname, Domain, NTP, Logging, AAA-Basics
- Security Hardening: Passwort-Policy, SSH/Cipher, Access-Control, Management VRF
- Interface Management: Aktivierte Interfaces, Shutdown unused, IP-Adressen, ACL-Zuweisungen
- Routing & Services: OSPF/BGP Parameter, Policy-Based-Routing, NAT/Exemptions
- Monitoring & Telemetry: SNMPv3, Syslog, NetFlow/Telemetry
- Backup & Versioning: Archive-Konfiguration, Remote Storage, Versionierung
Parametrisierung für Multi-Device Deployment
Variablen wie Hostname, Loopback-IP oder VRF-Zuweisungen sollten als Parameter hinterlegt werden, um die Golden Config auf mehreren Geräten wiederverwenden zu können.
Beispiel für parametrisierten Hostname
hostname {{ device_name }}
So kann das Template automatisiert via Ansible, Python oder RANCID ausgerollt werden.
Security-Hardening-Abschnitte
AAA & Credential Management
- Lokale Benutzer nur für Break-Glass-Accounts
- TACACS+/RADIUS Integration für zentralisierte Authentifizierung
- Passwort und Secret-Policy definieren, Rotation planen
aaa new-model
aaa authentication login default group tacacs+ local
username breakglass secret 8 $1$abcd$XYZ1234567890
Management Plane Isolation
- Management VRF trennen vom Produktionsverkehr
- ACLs nur für administrative Hosts erlauben
- SSH Hardening: Cipher, KEX, Timeouts
ip access-list standard MGMT_ACL
permit 10.0.0.0 0.0.0.255
line vty 0 4
access-class MGMT_ACL in
transport input ssh
exec-timeout 10 0
Interface & Service Control
- Unused Interfaces administrativ herunterfahren
- Legacy Services wie Telnet deaktivieren
- SNMPv3 für Monitoring nutzen, Views und ACLs definieren
interface GigabitEthernet0/1
shutdown
snmp-server group NETOPS v3 auth read NETOPS_VIEW write NETOPS_VIEW
Routing & Protocols
Routing-Protokolle sollten sicher und sauber konfiguriert werden, inklusive Authentifizierung, Max-Prefix Limits und Route-Filter.
router ospf 1
network 10.0.0.0 0.0.0.255 area 0
passive-interface default
area 0 authentication message-digest
BGP-Sessions mit MD5-Signierung absichern, Prefix-Filter und Communities verwenden, um Manipulationen und Route-Leaks zu verhindern.
Monitoring & Logging
Syslog, NetFlow und Telemetry-Daten müssen strukturiert gesammelt und zu zentralen Systemen übertragen werden, um Security und Audit-Trails zu gewährleisten.
logging host 10.10.10.200
logging trap informational
archive
log config
logging enable
notify syslog
hidekeys
Backup, Versionierung und Drift-Kontrolle
Jede Änderung muss versioniert, genehmigt und auditierbar sein, um Configuration Drift zu vermeiden.
copy running-config scp://user@10.10.10.100/configs/{{ device_name }}_$(date +%Y%m%d_%H%M%S).cfg
show archive config differences
Best Practices für Wartbarkeit
- Modulares Template pflegen, nicht monolithisch
- Parameter und Variablen klar dokumentieren
- Automatisierungstools nutzen (Ansible, RANCID, Oxidized)
- Regelmäßige Reviews und Drift-Checks einplanen
- Security- und Audit-Evidenzen direkt aus Template ableiten
Zusammenfassung
Eine modulare, parametrisierte Golden Config reduziert Fehler, erhöht Security und ermöglicht konsistente Deployments in Enterprise-Umgebungen. Durch Versionierung, automatisierte Backups und klar definierte Module lassen sich Hardening-Standards effizient und auditierbar implementieren.
Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3
Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.
Meine Leistungen umfassen:
-
Professionelle Konfiguration von Routern und Switches
-
Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen
-
Erstellung von Topologien und Simulationen in Cisco Packet Tracer
-
Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG
-
Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible
-
Erstellung von Skripten für wiederkehrende Netzwerkaufgaben
-
Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege
-
Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting
Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.