Session-/Exec-Timeouts: Risiko „offene Konsole“ vermeiden

Offene Sessions auf Cisco-Routern stellen ein erhebliches Sicherheitsrisiko dar. Admins, die sich unbemerkt abmelden oder ihre Konsole unbeaufsichtigt lassen, hinterlassen potenzielle Angriffspunkte für unbefugten Zugriff. Session- und Exec-Timeouts sind einfache, aber effektive Mittel, um „offene Konsole“-Risiken zu minimieren. Dieser Leitfaden beschreibt praxisnahe Vorgehensweisen zur Konfiguration von Timeouts, Best Practices und Audit-Möglichkeiten.

Grundprinzipien von Session-Timeouts

Timeouts beenden automatisch inaktive Sessions nach einer definierten Zeit. Dadurch wird das Risiko unkontrollierter Zugriffe reduziert, insbesondere auf VTY- und Console-Lines.

• Exec-Timeouts: beenden inaktive CLI-Sessions
• VTY-Timeouts: begrenzen Remote-Zugriffe via SSH oder Telnet
• Console-Timeouts: verhindern unbeaufsichtigte lokale Sessions
• Integration in Management-Policies und Audits

Console-Timeout konfigurieren

Idle-Timeouts für lokale Konsolen verhindern, dass Sessions unbeaufsichtigt offen bleiben.

Router(config)# line console 0
Router(config-line)# exec-timeout 5 0

Erklärung: 5 0 bedeutet 5 Minuten Timeout, 0 Sekunden Warnung.

Best Practices

• Timeouts zwischen 3–10 Minuten, abhängig von Arbeitsaufwand und Sicherheitsanforderungen
• Lokale Admin-Konten als Fallback nutzen, falls Timeout den Zugang blockiert
• Timeouts dokumentieren und regelmäßig überprüfen

VTY-Timeouts für SSH-Zugriffe

Remote-Admins müssen ebenfalls über Timeout-Regeln abgesichert werden, um ungenutzte Sessions automatisch zu schließen.

Router(config)# line vty 0 4
Router(config-line)# exec-timeout 10 0
Router(config-line)# transport input ssh
Router(config-line)# login local

• Telnet deaktivieren: transport input ssh
• Idle-Timeouts verhindern unbemerkte offene Sessions
• Management-ACLs zusätzlich einschränken

Management VRF und Timeouts kombinieren

Isolation des Admin-Traffics in einer Management VRF reduziert das Risiko, dass Timeout-Probleme den produktiven User-Traffic beeinflussen.

Router(config)# interface GigabitEthernet0/0
Router(config-if)# vrf forwarding MGMT
Router(config-if)# ip address 192.168.200.1 255.255.255.0

• VTY- und Console-Lines innerhalb der VRF absichern
• AAA- und Logging-Dienste auf Management VRF routen
• Exec-Timeouts wirken unabhängig vom User-Traffic

AAA-Integration und Accounting

Timeouts in Kombination mit AAA ermöglichen Nachvollziehbarkeit und Audit-Ready Logs.

Router(config)# aaa new-model
Router(config)# aaa authentication login default group tacacs+ local
Router(config)# aaa authorization exec default group tacacs+ local
Router(config)# aaa accounting exec default start-stop group tacacs+

• Accounting erfasst Session-Länge, Login/Logout-Zeiten
• Audit-Reports für Compliance erstellen
• Timeout-beendete Sessions werden dokumentiert

Best Practices für produktiven Einsatz

• Timeouts für alle Management-Lines konfigurieren: Console und VTY
• SSH erzwingen, Telnet deaktivieren
• Management-ACLs nur für autorisierte Subnetze erlauben
• Idle-Timeouts und Timeouts in VRFs dokumentieren
• Lokale Admin-Fallbacks für Notfälle definieren
• Regelmäßige Überprüfung der Timeout-Konfigurationen
• Logging aktivieren, Accounting zur Auditierung nutzen
• Timeout-Einstellungen in SOP und Security-Policy verankern

Zusätzliche Empfehlungen

• Temporäre Vendor- oder Service-Zugriffe ebenfalls mit Timeouts absichern
• Session-Limits bei kritischen Geräten implementieren
• Backups der Router-Konfiguration inklusive Timeout-Einstellungen erstellen
• Idle-Timeouts harmonisch zu den operativen Anforderungen planen
• Integration in zentrale Monitoring- und SIEM-Systeme

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab/GNS3

Ich biete professionelle Unterstützung im Bereich Netzwerkkonfiguration und Network Automation für private Anforderungen, Studienprojekte, Lernlabore, kleine Unternehmen sowie technische Projekte. Ich unterstütze Sie bei der Konfiguration von Routern und Switches, der Erstellung praxisnaher Topologien in Cisco Packet Tracer, dem Aufbau und Troubleshooting von GNS3- und EVE-NG-Labs sowie bei der Automatisierung von Netzwerkaufgaben mit Netmiko, Paramiko, NAPALM und Ansible. Kontaktieren Sie mich jetzt – klicken Sie hier.

Meine Leistungen umfassen:

• Professionelle Konfiguration von Routern und Switches

• Einrichtung von VLANs, Trunks, Routing, DHCP, NAT, ACLs und weiteren Netzwerkfunktionen

• Erstellung von Topologien und Simulationen in Cisco Packet Tracer

• Aufbau, Analyse und Fehlerbehebung von Netzwerk-Labs in GNS3 und EVE-NG

• Automatisierung von Netzwerkkonfigurationen mit Python, Netmiko, Paramiko, NAPALM und Ansible

• Erstellung von Skripten für wiederkehrende Netzwerkaufgaben

• Dokumentation der Konfigurationen und Bereitstellung nachvollziehbarer Lösungswege

• Konfigurations-Backups, Optimierung bestehender Setups und technisches Troubleshooting

Benötigen Sie Unterstützung bei Ihrem Netzwerkprojekt, Ihrer Simulation oder Ihrer Network-Automation-Lösung? Kontaktieren Sie mich jetzt – klicken Sie hier.