imported>TechCorner-Redaktion: Neuer Artikel: Syslog mit Zeitstempeln, Anmelde- und Änderungsprotokoll, SNMPv3 authPriv

2026-10-15T00:00:00Z

Neuer Artikel: Syslog mit Zeitstempeln, Anmelde- und Änderungsprotokoll, SNMPv3 authPriv

Neue Seite

{{Steckbrief
| gilt_fuer = Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Syslog-Server bzw. SIEM (z. B. Wazuh), Monitoring per SNMPv3 (z. B. Zabbix, LibreNMS, PRTG)
| bereich = Netzwerk-Hardware
| dauer = ca. 30 Minuten
| rechte = Privileged EXEC (enable), Zugriff auf Syslog- und Monitoring-Server
| stand = Oktober 2026
}}
'''Syslog und SNMP auf dem Cisco Catalyst 2960-X''' machen den Switch überwachbar: Syslog schickt Ereignisse wie Anmeldungen, Konfigurationsänderungen, Port-Ausfälle oder Sicherheitsverletzungen an einen zentralen Server bzw. ein SIEM. [[SNMP]] liefert dem Monitoring Messwerte wie Portauslastung, Fehlerzähler, Temperatur und PoE-Verbrauch. Dieser Artikel richtet beides sicher ein – Syslog mit genauen Zeitstempeln und SNMP ausschließlich in Version 3 mit Verschlüsselung.

[[Datei:Cisco-2960-X-Syslog-SNMP.png|thumb|center|750px|Syslog und SNMP auf dem Catalyst 2960-X: Ereignisse gehen per Syslog an den SIEM- bzw. Syslog-Server, das Monitoring fragt Messwerte per SNMPv3 mit Authentisierung und Verschlüsselung ab und empfängt Traps; alles über das Management-VLAN mit NTP-synchroner Uhrzeit.]]

== Voraussetzungen ==
* Management-IP im eigenen VLAN und korrekte Uhrzeit per NTP – siehe [[Cisco Catalyst 2960-X: Erstkonfiguration und SSH-Zugang]]. Ohne NTP sind Zeitstempel wertlos.
* Ein Syslog-Empfänger (z. B. Wazuh-Manager, Graylog, rsyslog) und ein Monitoring-System mit SNMPv3-Unterstützung.

== Syslog einrichten ==
=== Schweregrade ===
{| class="wikitable"
! Stufe !! Name !! Beispiel
|-
| 0 || emergencies || System unbrauchbar
|-
| 1 || alerts || sofortiges Handeln nötig
|-
| 2 || critical || kritischer Zustand, z. B. Port-Security-Verletzung (<code>PSECURE_VIOLATION</code>)
|-
| 3 || errors || Fehler, z. B. Link down (<code>%LINK-3-UPDOWN</code>)
|-
| 4 || warnings || Warnungen, z. B. Port err-disabled (<code>%PM-4-ERR_DISABLE</code>), Native-VLAN-Mismatch
|-
| 5 || notifications || Konfigurationsänderung (<code>%SYS-5-CONFIG_I</code>), Anmeldungen (<code>%SEC_LOGIN-5</code>)
|-
| 6 || informational || Informationen, z. B. Treffer von Zugriffslisten mit <code>log</code>
|-
| 7 || debugging || nur zur Fehlersuche
|}
Ein Level schließt alle schwereren Stufen ein: <code>informational</code> sendet 0 bis 6.

=== Konfiguration ===
<syntaxhighlight lang="text">
SW-EG-01# configure terminal
SW-EG-01(config)# service timestamps log datetime msec localtime show-timezone
SW-EG-01(config)# service sequence-numbers
SW-EG-01(config)# logging buffered 64000 informational
SW-EG-01(config)# logging console warnings
SW-EG-01(config)# logging source-interface vlan 99
SW-EG-01(config)# logging origin-id hostname
SW-EG-01(config)# logging trap informational
SW-EG-01(config)# logging host 192.168.99.40
</syntaxhighlight>
* '''Zeitstempel mit Millisekunden''' erleichtern die Korrelation im SIEM; der Wazuh-Standarddecoder braucht dafür eine Anpassung, siehe [[Cisco-IOS-Syslog mit Millisekunden in Wazuh korrekt dekodieren]].
* <code>logging buffered</code>: lokaler Puffer für <code>show logging</code>; Standard sind nur 4096 Byte.
* <code>logging console warnings</code>: Die Konsole zeigt ab Werk alles bis ''debugging'' an – das bremst bei vielen Meldungen.
* <code>logging source-interface</code>: Meldungen kommen immer von der Management-IP, damit der Server sie zuordnen kann.
* Mehrere Server sind möglich: weitere <code>logging host</code>-Zeilen.
In einem Stack schreibt der aktive Switch Puffer und Datei; ein Wechsel des aktiven Switches löscht den Puffer. Der zentrale Server ist deshalb Pflicht.

=== Anmeldungen und Konfigurationsänderungen protokollieren ===
<syntaxhighlight lang="text">
SW-EG-01(config)# login on-success log
SW-EG-01(config)# login on-failure log
SW-EG-01(config)# archive
SW-EG-01(config-archive)# log config
SW-EG-01(config-archive-log-cfg)# logging enable
SW-EG-01(config-archive-log-cfg)# notify syslog contenttype plaintext
SW-EG-01(config-archive-log-cfg)# hidekeys
SW-EG-01(config-archive-log-cfg)# end
SW-EG-01# write memory
</syntaxhighlight>
Damit erzeugt jede Anmeldung eine Meldung (<code>%SEC_LOGIN-5-LOGIN_SUCCESS</code> bzw. <code>LOGIN_FAILED</code>) und jeder eingegebene Konfigurationsbefehl eine Zeile mit Benutzername – <code>hidekeys</code> blendet Passwörter aus. Für die Auswertung erfolgreicher Anmeldungen in Wazuh siehe [[Cisco IOS Login Success Logs in Wazuh korrekt parsen: Custom Decoder und Rule parallel zu den Standardregeln betreiben]].

=== Kontrolle ===
<syntaxhighlight lang="text">
show logging ! Einstellungen, Zähler und lokaler Puffer
show logging | include %SEC_LOGIN|%PARSER
</syntaxhighlight>
Test: <code>send log 6 Testmeldung von SW-EG-01</code> erzeugt eine Meldung, die am Server ankommen muss.

== SNMPv3 einrichten ==
SNMP ist ab Werk aus; der erste <code>snmp-server</code>-Befehl schaltet es ein. '''SNMPv1 und v2c''' übertragen die Community als Klartext-Passwort und sollten nicht mehr genutzt werden. SNMPv3 mit Sicherheitsstufe <code>priv</code> authentisiert und verschlüsselt.

=== Zugriff einschränken ===
<syntaxhighlight lang="text">
SW-EG-01(config)# ip access-list standard SNMP-MONITORING
SW-EG-01(config-std-nacl)# permit 192.168.99.50
SW-EG-01(config-std-nacl)# deny any log
SW-EG-01(config-std-nacl)# exit
</syntaxhighlight>

=== Gruppe, Benutzer und Traps ===
<syntaxhighlight lang="text">
SW-EG-01(config)# snmp-server view NUR-LESEN iso included
SW-EG-01(config)# snmp-server group MONITORING v3 priv read NUR-LESEN access SNMP-MONITORING
SW-EG-01(config)# snmp-server user zabbix MONITORING v3 auth sha <Auth-Passwort> priv aes 128 <Priv-Passwort>
SW-EG-01(config)# snmp-server location Gebäude A, EG, Technikraum 0.12
SW-EG-01(config)# snmp-server contact netzwerk@firma.de
SW-EG-01(config)# snmp-server trap-source vlan 99
SW-EG-01(config)# snmp-server enable traps snmp linkdown linkup coldstart
SW-EG-01(config)# snmp-server enable traps port-security
SW-EG-01(config)# snmp-server enable traps config
SW-EG-01(config)# snmp-server host 192.168.99.50 version 3 priv zabbix
SW-EG-01(config)# end
SW-EG-01# write memory
</syntaxhighlight>
* '''Algorithmen:''' Der 2960-X unterstützt für die Authentisierung MD5 und SHA, für die Verschlüsselung DES, 3DES und AES (128/192/256). SHA und AES verwenden; ob das Monitoring-System AES-192/256 beherrscht, vorher prüfen – AES-128 funktioniert überall.
* '''Kein Schreibzugriff:''' Die Gruppe erhält nur eine Leseansicht. Schreibender SNMP-Zugriff ist für das Monitoring nicht nötig.
* '''Benutzer nicht in der Konfiguration:''' SNMPv3-Benutzer erscheinen nicht in <code>show running-config</code> und damit auch nicht in Konfigurationssicherungen. Sie stehen nur in <code>show snmp user</code> – beim Ersatzgerät neu anlegen.
* Welche Trap-Typen der Switch kennt, zeigt <code>snmp-server enable traps ?</code>. Nicht alles einschalten: Traps doppeln sich teils mit Syslog.

=== Kontrolle ===
<syntaxhighlight lang="text">
show snmp user
show snmp group
show snmp host
show snmp ! Paketzähler, u. a. abgewiesene Anfragen
</syntaxhighlight>
Test vom Monitoring-Server:
<syntaxhighlight lang="bash">
snmpwalk -v3 -l authPriv -u zabbix -a SHA -A '<Auth-Passwort>' -x AES -X '<Priv-Passwort>' 192.168.99.11 1.3.6.1.2.1.1
</syntaxhighlight>

== Was überwachen? ==
{| class="wikitable"
! Wert !! Quelle !! Warum
|-
| Port-Status und Auslastung || SNMP (IF-MIB) || Engpässe auf Uplinks, ausgefallene Verbindungen
|-
| Fehlerzähler (CRC, Input Errors) || SNMP (IF-MIB) || defekte Kabel, Duplex-Probleme
|-
| Temperatur, Lüfter, Netzteil || SNMP (Cisco-Environment-MIB) || Hardwareausfall früh erkennen
|-
| PoE-Verbrauch || SNMP (POWER-ETHERNET-MIB) || PoE-Budget bei Access Points und Kameras
|-
| Stack-Mitglieder || SNMP / Syslog || Ausfall eines Stack-Switches
|-
| Anmeldungen, Änderungen, Sicherheitsverletzungen || Syslog || Nachvollziehbarkeit, Angriffserkennung
|}
Zabbix und LibreNMS bringen fertige Vorlagen für Cisco-IOS-Switches mit.

== Hinweise ==
* '''Firewall:''' Zwischen Switch und Servern müssen Syslog (UDP 514), SNMP (UDP 161) und Traps (UDP 162) erlaubt sein.
* '''Syslog ist unverschlüsselt:''' Die Meldungen nur im Management-Netz übertragen.
* '''Telnet und HTTP bleiben aus:''' Für die Überwachung genügen SSH, Syslog und SNMPv3.
* Die zentrale Auswertung von Switch-Logs im SIEM samt Alarmierung übernimmt auf Wunsch das [https://www.max-it.de/it-services/managed-siem/ Managed SIEM von m.a.x. it].

== Siehe auch ==
* [[Cisco Catalyst 2960-X]] – Überblick und alle Artikel der Reihe
* [[Syslog-Daten zuverlässig in Wazuh integrieren: Formate, Architektur und Best Practices]]
* [[Cisco-IOS-Syslog mit Millisekunden in Wazuh korrekt dekodieren]]
* [[SNMP]]

== Links und Quellen ==
* [https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst2960x/software/15-2_7_e/configuration_guide/b_1527e_consolidated_2960x_cg/m_nm_snmp_2960_cg.html Cisco: Configuring SNMP (Catalyst 2960-X, IOS 15.2(7)E)]
* [https://www.max-it.de/it-services/managed-siem/ Managed SIEM von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]

Cisco Catalyst 2960-X: Syslog und SNMP einrichten - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Syslog mit Zeitstempeln, Anmelde- und Änderungsprotokoll, SNMPv3 authPriv