imported>TechCorner-Redaktion: Neuer Artikel: Hostname, Passwörter (Typ 9), Management-VLAN, SSH, NTP, Härtung

2026-10-15T00:00:00Z

Neuer Artikel: Hostname, Passwörter (Typ 9), Management-VLAN, SSH, NTP, Härtung

Neue Seite

{{Steckbrief
| gilt_fuer = Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Befehle weitgehend identisch auf anderen IOS-Switches
| bereich = Netzwerk-Hardware
| dauer = ca. 30 Minuten
| rechte = Konsolenzugang zum Switch
| stand = Oktober 2026
}}
'''Die Erstkonfiguration des Cisco Catalyst 2960-X''' bringt einen fabrikneuen oder zurückgesetzten Switch in einen sicheren Grundzustand: Hostname, verschlüsselte Passwörter, eine Management-IP im eigenen VLAN, Zugriff nur noch per [[SSH]], korrekte Uhrzeit per [[NTP]] und abgeschaltete Dienste, die niemand braucht. Danach lässt sich der Switch bequem aus der Ferne verwalten.

[[Datei:Cisco-2960-X-Erstkonfiguration.png|thumb|center|750px|Erstkonfiguration des Catalyst 2960-X in sechs Schritten: Konsole, Hostname und Passwörter, Management-VLAN mit IP, SSH-Zugang, NTP und Logging, Härtung und Speichern.]]

== Voraussetzungen ==
* Konsolenzugang mit 9600 8N1 (siehe [[Cisco IOS: CLI-Grundlagen auf dem Catalyst 2960-X]]).
* Geplante Werte: Hostname, Management-VLAN (im Beispiel '''99'''), IP-Adresse <code>192.168.99.11/24</code>, Gateway <code>192.168.99.1</code>, NTP-Server, Domänenname.
* Den Setup-Dialog beim ersten Start mit <code>no</code> beenden.

{{Hinweis|Ein gebrauchter Switch sollte vorher auf Werkseinstellungen gesetzt werden (ohne bekanntes Passwort siehe [[Cisco Catalyst 2960-X: Passwort-Wiederherstellung und Werksreset]]): <code>write erase</code>, <code>delete flash:vlan.dat</code>, dann <code>reload</code> und beim Speichern-Dialog ''no'' wählen.}}

== Schritt 1: Hostname und Passwörter ==
<syntaxhighlight lang="text">
Switch> enable
Switch# configure terminal
Switch(config)# hostname SW-EG-01
SW-EG-01(config)# no ip domain-lookup
SW-EG-01(config)# enable algorithm-type scrypt secret <Enable-Passwort>
SW-EG-01(config)# username admin privilege 15 algorithm-type scrypt secret <Admin-Passwort>
SW-EG-01(config)# service password-encryption
</syntaxhighlight>
<code>algorithm-type scrypt</code> speichert die Passwörter als Typ-9-Hash; Cisco empfiehlt, Typ-5-Hashes (MD5) auf Typ 8 oder 9 umzustellen. Kontrolle mit <code>show running-config | include secret</code> – die Zeilen müssen <code>secret 9 $9$…</code> enthalten. Nimmt eine ältere IOS-Version den Parameter nicht an, zuerst auf 15.2(7)E aktualisieren (siehe [[Cisco Catalyst 2960-X: IOS-Update durchführen]]).

{{Warnung|Neue Anmeldedaten immer in einer '''zweiten''' Sitzung testen, bevor die aktuelle geschlossen wird – sonst bleibt nur die [[Cisco Catalyst 2960-X: Passwort-Wiederherstellung und Werksreset|Passwort-Wiederherstellung]] über die Konsole.}}

== Schritt 2: Management-VLAN und IP-Adresse ==
Der Switch wird nicht über VLAN 1, sondern über ein eigenes Management-VLAN verwaltet:
<syntaxhighlight lang="text">
SW-EG-01(config)# vlan 99
SW-EG-01(config-vlan)# name MANAGEMENT
SW-EG-01(config-vlan)# exit
SW-EG-01(config)# interface vlan 99
SW-EG-01(config-if)# description Management
SW-EG-01(config-if)# ip address 192.168.99.11 255.255.255.0
SW-EG-01(config-if)# no shutdown
SW-EG-01(config-if)# exit
SW-EG-01(config)# interface vlan 1
SW-EG-01(config-if)# no ip address
SW-EG-01(config-if)# shutdown
SW-EG-01(config-if)# exit
SW-EG-01(config)# ip default-gateway 192.168.99.1
</syntaxhighlight>
Das VLAN 99 muss auf dem Uplink zum Core-Switch bzw. zur Firewall erlaubt sein – siehe [[Cisco Catalyst 2960-X: Trunk-Ports (802.1Q) konfigurieren]]. <code>ip default-gateway</code> gilt, solange auf dem Switch kein <code>ip routing</code> aktiv ist.

Der separate Port <code>FastEthernet0</code> eignet sich nur, wenn es ein eigenes Out-of-Band-Managementnetz gibt; er darf nicht im selben Netz liegen wie die Management-VLAN-Schnittstelle.

== Schritt 3: SSH-Zugang einrichten ==
<syntaxhighlight lang="text">
SW-EG-01(config)# ip domain-name firma.local
SW-EG-01(config)# crypto key generate rsa modulus 2048
SW-EG-01(config)# ip ssh version 2
SW-EG-01(config)# ip ssh time-out 60
SW-EG-01(config)# ip ssh authentication-retries 3
SW-EG-01(config)# ip access-list standard MGMT-ZUGRIFF
SW-EG-01(config-std-nacl)# permit 192.168.99.0 0.0.0.255
SW-EG-01(config-std-nacl)# deny any log
SW-EG-01(config-std-nacl)# exit
SW-EG-01(config)# line vty 0 15
SW-EG-01(config-line)# login local
SW-EG-01(config-line)# transport input ssh
SW-EG-01(config-line)# exec-timeout 10 0
SW-EG-01(config-line)# access-class MGMT-ZUGRIFF in
SW-EG-01(config-line)# exit
SW-EG-01(config)# line con 0
SW-EG-01(config-line)# login local
SW-EG-01(config-line)# exec-timeout 10 0
SW-EG-01(config-line)# logging synchronous
</syntaxhighlight>
Hostname und Domänenname müssen vor dem Erzeugen des RSA-Schlüssels gesetzt sein. <code>transport input ssh</code> schaltet [[Telnet]] ab; die Zugriffsliste lässt SSH nur aus dem Management-Netz zu.

== Schritt 4: Uhrzeit und Logging ==
<syntaxhighlight lang="text">
SW-EG-01(config)# clock timezone CET 1 0
SW-EG-01(config)# clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
SW-EG-01(config)# ntp server 192.168.99.1
SW-EG-01(config)# service timestamps log datetime msec localtime show-timezone
SW-EG-01(config)# service timestamps debug datetime msec localtime show-timezone
SW-EG-01(config)# logging buffered 64000 informational
</syntaxhighlight>
Korrekte Zeitstempel sind die Voraussetzung, um Meldungen später in einem Syslog-Server oder SIEM auszuwerten (siehe [[Cisco Catalyst 2960-X: Syslog und SNMP einrichten]]). Ob die Zeit stimmt, zeigt <code>show ntp status</code>.

== Schritt 5: Härtung ==
<syntaxhighlight lang="text">
SW-EG-01(config)# no ip http server
SW-EG-01(config)# no ip http secure-server
SW-EG-01(config)# banner motd ^
Zugriff nur für autorisierte Administratoren. Alle Aktivitäten werden protokolliert.
^
SW-EG-01(config)# login block-for 120 attempts 5 within 60
</syntaxhighlight>
* Der Web-Server (Device Manager) ist veraltet und unnötige Angriffsfläche.
* <code>login block-for</code> sperrt Anmeldungen für 2 Minuten nach 5 Fehlversuchen innerhalb einer Minute.
* Ungenutzte Ports abschalten und in ein ungenutztes VLAN legen, siehe [[Cisco Catalyst 2960-X: VLANs und Access-Ports konfigurieren]]; Endgeräte-Ports zusätzlich mit [[Cisco Catalyst 2960-X: Port-Security konfigurieren|Port-Security]] und [[Cisco Catalyst 2960-X: DHCP Snooping konfigurieren|DHCP Snooping]] absichern.

== Schritt 6: Speichern und testen ==
<syntaxhighlight lang="text">
SW-EG-01(config)# end
SW-EG-01# write memory
SW-EG-01# show ip interface brief
SW-EG-01# show ip ssh
</syntaxhighlight>
Vom Admin-PC im Management-Netz testen: <code>ssh admin@192.168.99.11</code>. Erst wenn das klappt, das Konsolenkabel abziehen.

== Hinweise ==
* '''Zentrale Anmeldung:''' Für mehrere Switches lohnt die Anmeldung über [[RADIUS]] oder TACACS+ mit lokalem Benutzer als Rückfallebene (<code>aaa new-model</code>). Die Konfiguration zeigt [[Cisco Catalyst 9200: Administratoren mit TACACS+ anmelden]]; sie gilt unter IOS 15 genauso.
* '''Stack:''' In einem Stack gilt die Konfiguration für alle Mitglieder; es gibt nur eine Management-IP. Rollen und Prioritäten: [[Cisco Catalyst 2960-X: Stack verwalten (FlexStack-Plus)]].
* '''Vorlage:''' Die Befehle eignen sich als Textbaustein für weitere Switches – Hostname und IP anpassen und per Konsole einfügen.
* Bei Härtung, Betrieb und Überwachung Ihrer Switches unterstützen Sie die [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it].

== Siehe auch ==
* [[Cisco Catalyst 2960-X]] – Überblick und alle Artikel der Reihe
* [[Cisco IOS: CLI-Grundlagen auf dem Catalyst 2960-X]]
* [[Cisco Catalyst 2960-X: Konfiguration sichern und wiederherstellen]]

== Links und Quellen ==
* [https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst2960x/software/15-2_7_e/configuration_guide/b_1527e_consolidated_2960x_cg/m_sec_sshell_cg_cauvery.html Cisco: Configuring Secure Shell (Catalyst 2960-X, IOS 15.2(7)E)]
* [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]

Cisco Catalyst 2960-X: Erstkonfiguration und SSH-Zugang - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Hostname, Passwörter (Typ 9), Management-VLAN, SSH, NTP, Härtung