Site icon bintorosoft.com

Port Security? Was Router können (und was Switches besser machen)

Red Snapper

Timeline of computers: from abacus, to calculator,

„Port Security“ ist klassisch ein Switch-Thema: Es kontrolliert auf Layer 2, welche MAC-Adressen an einem Access-Port zulässig sind und was bei Verstößen passiert. Router arbeiten primär auf Layer 3 und sehen nicht dieselbe MAC-Dynamik wie ein Switch-Port im Access-LAN. Trotzdem können Router Management- und Access-Sicherheit umsetzen – nur mit anderen Werkzeugen: ACLs, Control-Plane-Policies, DHCP-Features, uRPF und Interface-Hardening. Dieser Überblick zeigt, was Router wirklich können und warum Switches Port Security in den meisten Fällen besser machen.

Was „Port Security“ auf Switches eigentlich bedeutet

Switch-Port-Security schützt Access-Ports, indem sie MAC-Adressen limitiert, Sticky-MACs lernt und bei Abweichungen Ports einschränkt oder abschaltet. Das ist effektiv, weil ein Switch auf Layer 2 direkt am Endgerät sitzt.

Typische Switch-Konfig (zur Einordnung)

Switch(config)# interface gigabitEthernet1/0/10
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security
Switch(config-if)# switchport port-security maximum 1
Switch(config-if)# switchport port-security mac-address sticky
Switch(config-if)# switchport port-security violation restrict

Warum Router „Port Security“ nicht 1:1 ersetzen

Ein Router portiert keine Frames innerhalb eines VLANs wie ein Switch. Er routet IP-Pakete zwischen Netzen. Die MAC-Adresse ist dabei pro L2-Segment relevant, aber der Router ist typischerweise nicht der Punkt, an dem viele Endgeräte-MACs direkt am gleichen Port auftauchen.

Was Router stattdessen gut können: Layer-3 Access Control (ACLs)

Router können sehr effektiv kontrollieren, wer wohin darf – auf IP-, Protokoll- und Port-Ebene. Das ist kein „Port Security“, aber im Enterprise-Design oft wichtiger: Segmentierung, Least Privilege und saubere Zonen.

Beispiel: Clients dürfen nur DNS + HTTPS ins Internet

Router(config)# ip access-list extended USERS_OUT
Router(config-ext-nacl)# permit udp 192.168.10.0 0.0.0.255 any eq 53
Router(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 any eq 53
Router(config-ext-nacl)# permit tcp 192.168.10.0 0.0.0.255 any eq 443
Router(config-ext-nacl)# deny ip any any
Router(config-ext-nacl)# exit
Router(config)# interface gigabitEthernet0/0
Router(config-if)# ip access-group USERS_OUT in

Router-Hardening am Interface: „Unnötiges“ abschalten

Viele Angriffe zielen auf Control-Plane oder Discovery-Mechanismen. Router können pro Interface Features deaktivieren, die in einem Segment nicht benötigt werden, und so Angriffsfläche reduzieren.

Beispiel: Basis-Interface-Hardening (typisch im LAN)

Router# configure terminal
Router(config)# interface gigabitEthernet0/0
Router(config-if)# no ip redirects
Router(config-if)# no ip proxy-arp
Router(config-if)# no shutdown
Router(config-if)# end

Control Plane Protection (CoPP): Router gegen Management-Angriffe schützen

Switch-Port-Security schützt den Access-Port. Router brauchen zusätzlich Schutz für die Control-Plane: SSH, BGP, OSPF, ICMP, SNMP. CoPP/CPPr erlaubt, Management-Traffic zu klassifizieren und zu rate-limitieren.

CoPP-Prinzip (vereinfacht)

class-map match-any CP-MGMT
 match protocol ssh
 match protocol snmp

policy-map CP-POLICY

class CP-MGMT

police 32000


control-plane

service-policy input CP-POLICY

DHCP-basierte Schutzmechanismen: Router als „Policy Point“

Wenn der Router das Default Gateway ist, kann er DHCP-Designs und IP-Policies indirekt absichern: z. B. nur definierte Netze bekommen Adressen, oder DHCP wird zentralisiert. Das ersetzt keine Port Security, hilft aber gegen „Wildwuchs“.

uRPF: Spoofing-Schutz auf Layer 3

Unicast Reverse Path Forwarding (uRPF) prüft, ob die Quell-IP eines Pakets aus Sicht der Routing-Tabelle plausibel ist. Damit kannst du Spoofing in gerouteten Netzen reduzieren. Das ist ein Router-Feature, das Switch-Port-Security nicht abdeckt.

uRPF aktivieren (Prinzip, Interface-basiert)

Router# configure terminal
Router(config)# interface gigabitEthernet0/1
Router(config-if)# ip verify unicast source reachable-via rx
Router(config-if)# end

Was Switches besser machen: Layer-2 Access-Security am Endgerät

Alles, was direkt am Endgeräteport passiert, ist Switch-Domäne. Dort gehören Port Security und verwandte Funktionen hin, weil sie den Zugriff auf dem ersten Meter kontrollieren.

Praxisempfehlung: Sinnvolle Kombination aus Router und Switch

Ein sauberes Design trennt Zuständigkeiten: Switch sichert den Access-Port (Layer 2), Router segmentiert und kontrolliert den Verkehr zwischen Netzen (Layer 3) und schützt seine Control-Plane.

Verifikation: Was solltest du prüfen?

Nach dem Hardening willst du sicherstellen, dass nur gewünschter Traffic möglich ist und Management stabil erreichbar bleibt. Prüfe ACL-Hit-Counter, Management-Sessions und Control-Plane-Logs.

Router# show ip access-lists
Router# show ip interface gigabitEthernet0/0
Router# show users
Router# show logging

Konfiguration speichern

Router# copy running-config startup-config

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version