imported>TechCorner-Redaktion: Neuer Artikel: Day-0, PnP, Mgmt-vrf, SSH, Web-UI abschalten (CVE-2023-20198), Härtung

2026-10-15T00:00:00Z

Neuer Artikel: Day-0, PnP, Mgmt-vrf, SSH, Web-UI abschalten (CVE-2023-20198), Härtung

Neue Seite

{{Steckbrief
| gilt_fuer = Cisco Catalyst 9200/9200L/9200CX mit IOS XE 17.15 und 17.18
| bereich = Netzwerk-Hardware
| dauer = ca. 30 Minuten
| rechte = Konsolenzugang zum Switch
| stand = Oktober 2026
}}
'''Die Erstkonfiguration des Cisco Catalyst 9200''' unter IOS XE ähnelt der eines klassischen IOS-Switches – mit einigen Unterschieden, die man kennen muss: Der Switch sucht ab Werk per Plug-and-Play nach einem Verwaltungsserver, der Management-Port liegt in einer eigenen VRF, und die Web-Oberfläche kann aktiv sein. Diese Anleitung bringt einen neuen 9200 in einen sicheren Grundzustand mit SSH, NTP, Logging und abgeschalteten Diensten, die nicht gebraucht werden.

[[Datei:Cisco-9200-Erstkonfiguration.png|thumb|center|750px|Erstkonfiguration des Catalyst 9200 unter IOS XE: Plug-and-Play beenden, Hostname und Passwörter, Management über VLAN oder Management-Port in der Mgmt-vrf, SSH mit eigenem RSA-Schlüssel, Web-Oberfläche abschalten, NTP und Logging, speichern.]]

== Voraussetzungen ==
* Konsolenkabel (RJ-45 oder USB) und Terminalprogramm mit 9600 8N1 – die Bedienung der Kommandozeile erklärt [[Cisco IOS: CLI-Grundlagen auf dem Catalyst 2960-X]]; unter IOS XE ist sie gleich.
* Geplante Werte: Hostname, Management-VLAN (im Beispiel 99) bzw. Management-Port, IP-Adressen, NTP- und Syslog-Server.
* Empfohlene Software-Version, siehe [[Cisco Catalyst 9200: Software-Update im Install-Modus]].

== Schritt 1: Day-0 – Setup-Dialog und Plug-and-Play beenden ==
Ein neuer Switch fragt nach dem Start:
<syntaxhighlight lang="text">
Would you like to enter the initial configuration dialog? [yes/no]: no
Would you like to terminate autoinstall? [yes]: yes
</syntaxhighlight>
Im Hintergrund versucht der Plug-and-Play-Agent (PnP), per DHCP einen Verwaltungsserver wie Catalyst Center zu finden. Wird der Switch manuell konfiguriert, die Suche beenden:
<syntaxhighlight lang="text">
Switch> enable
Switch# pnpa service discovery stop
</syntaxhighlight>
Bei einem gebrauchten Gerät vorher auf Werkseinstellungen setzen – siehe [[Cisco Catalyst 9200: Passwort-Wiederherstellung und Factory Reset]].

== Schritt 2: Hostname und Passwörter ==
<syntaxhighlight lang="text">
Switch# configure terminal
Switch(config)# hostname SW-OG-01
SW-OG-01(config)# no ip domain lookup
SW-OG-01(config)# enable algorithm-type scrypt secret <Enable-Passwort>
SW-OG-01(config)# username admin privilege 15 algorithm-type scrypt secret <Admin-Passwort>
SW-OG-01(config)# service password-encryption
</syntaxhighlight>
Kontrolle: <code>show running-config | include secret</code> muss <code>secret 9</code> zeigen.

== Schritt 3: Management – VLAN oder Management-Port ==
=== Variante A: Management-VLAN (In-Band) ===
Wie beim 2960-X über ein eigenes VLAN:
<syntaxhighlight lang="text">
SW-OG-01(config)# vlan 99
SW-OG-01(config-vlan)# name MANAGEMENT
SW-OG-01(config-vlan)# exit
SW-OG-01(config)# interface vlan 99
SW-OG-01(config-if)# ip address 192.168.99.21 255.255.255.0
SW-OG-01(config-if)# no shutdown
SW-OG-01(config-if)# exit
SW-OG-01(config)# ip default-gateway 192.168.99.1
</syntaxhighlight>
Ist auf dem Switch <code>ip routing</code> aktiv, statt <code>ip default-gateway</code> eine Standardroute setzen: <code>ip route 0.0.0.0 0.0.0.0 192.168.99.1</code>.

=== Variante B: Management-Port Gi0/0 (Out-of-Band) ===
Der Management-Port gehört fest zur VRF <code>Mgmt-vrf</code> und hat eine eigene Routing-Tabelle:
<syntaxhighlight lang="text">
SW-OG-01(config)# interface GigabitEthernet0/0
SW-OG-01(config-if)# ip address 10.10.0.21 255.255.255.0
SW-OG-01(config-if)# no shutdown
SW-OG-01(config-if)# exit
SW-OG-01(config)# ip route vrf Mgmt-vrf 0.0.0.0 0.0.0.0 10.10.0.1
</syntaxhighlight>
Alles, was über diesen Port laufen soll, braucht die VRF-Angabe, z. B. <code>ping vrf Mgmt-vrf 10.10.0.1</code>, <code>ntp server vrf Mgmt-vrf …</code>, <code>logging host … vrf Mgmt-vrf</code> oder <code>ip tftp source-interface GigabitEthernet0/0</code>.

== Schritt 4: SSH einrichten ==
<syntaxhighlight lang="text">
SW-OG-01(config)# ip domain name firma.local
SW-OG-01(config)# crypto key generate rsa modulus 3072 label SSH-KEY
SW-OG-01(config)# ip ssh rsa keypair-name SSH-KEY
SW-OG-01(config)# ip ssh version 2
SW-OG-01(config)# ip ssh time-out 60
SW-OG-01(config)# ip ssh authentication-retries 3
SW-OG-01(config)# ip access-list standard MGMT-ZUGRIFF
SW-OG-01(config-std-nacl)# permit 192.168.99.0 0.0.0.255
SW-OG-01(config-std-nacl)# deny any log
SW-OG-01(config-std-nacl)# exit
SW-OG-01(config)# line vty 0 15
SW-OG-01(config-line)# login local
SW-OG-01(config-line)# transport input ssh
SW-OG-01(config-line)# exec-timeout 10 0
SW-OG-01(config-line)# access-class MGMT-ZUGRIFF in vrf-also
SW-OG-01(config-line)# exit
SW-OG-01(config)# line con 0
SW-OG-01(config-line)# login local
SW-OG-01(config-line)# exec-timeout 10 0
SW-OG-01(config-line)# logging synchronous
</syntaxhighlight>
* Ein benannter RSA-Schlüssel (<code>label</code>) erleichtert den späteren Austausch.
* <code>vrf-also</code> lässt die Zugriffsliste auch für Verbindungen über den Management-Port gelten; bei Variante B das Management-Netz in der Liste ergänzen.

== Schritt 5: Web-Oberfläche abschalten ==
<syntaxhighlight lang="text">
SW-OG-01(config)# no ip http server
SW-OG-01(config)# no ip http secure-server
</syntaxhighlight>
{{Warnung|Über die Web-Oberfläche von IOS XE wurde 2023 die Sicherheitslücke '''CVE-2023-20198''' massenhaft ausgenutzt: Angreifer konnten ohne Anmeldung Administratorkonten anlegen. Cisco empfiehlt, den HTTP-Server abzuschalten oder auf vertrauenswürdige Adressen zu beschränken, und die Software aktuell zu halten. Wird die Oberfläche benötigt, nur HTTPS mit Zugriffsliste verwenden: <code>ip http secure-server</code>, <code>ip http access-class ipv4 MGMT-ZUGRIFF</code>.}}

== Schritt 6: Zeit, Logging und Härtung ==
<syntaxhighlight lang="text">
SW-OG-01(config)# clock timezone CET 1 0
SW-OG-01(config)# clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
SW-OG-01(config)# ntp server 192.168.99.1
SW-OG-01(config)# service timestamps log datetime msec localtime show-timezone
SW-OG-01(config)# logging buffered 64000 informational
SW-OG-01(config)# logging host 192.168.99.40
SW-OG-01(config)# login block-for 120 attempts 5 within 60
SW-OG-01(config)# login on-failure log
SW-OG-01(config)# login on-success log
SW-OG-01(config)# banner motd ^
Zugriff nur für autorisierte Administratoren. Alle Aktivitäten werden protokolliert.
^
SW-OG-01(config)# end
SW-OG-01# write memory
</syntaxhighlight>
Weitere Logging- und SNMPv3-Einstellungen sind wie beim 2960-X, siehe [[Cisco Catalyst 2960-X: Syslog und SNMP einrichten]].

== Schritt 7: Kontrolle ==
<syntaxhighlight lang="text">
show version ! IOS-XE-Version, Lizenzstufe, Modus (INSTALL)
show ip interface brief
show ip ssh
show ip http server status ! HTTP und HTTPS müssen "disabled" zeigen
show ntp associations
show license summary
</syntaxhighlight>
Vom Admin-PC per SSH anmelden und erst dann die Konsole trennen.

== Hinweise ==
* '''Ports und VLANs''' werden wie beim 2960-X konfiguriert, siehe [[Cisco Catalyst 2960-X: VLANs und Access-Ports konfigurieren]] – nur die Uplinks heißen <code>Te1/1/x</code> bzw. <code>Gi1/1/x</code>.
* '''Zentrale Anmeldung:''' Ab mehreren Switches Administratoren per TACACS+ anmelden, der lokale Benutzer bleibt Notzugang – siehe [[Cisco Catalyst 9200: Administratoren mit TACACS+ anmelden]].
* '''Konfigurationsvorlage:''' Die Befehle eignen sich als Baustein für alle 9200 eines Standorts.
* '''Software:''' Vor dem produktiven Einsatz auf die empfohlene Version aktualisieren – ältere Versionen enthalten bekannte Sicherheitslücken.
* Bei Härtung, Betrieb und Überwachung Ihrer Switches unterstützen Sie die [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it].

== Siehe auch ==
* [[Cisco Catalyst 9200]] – Überblick und alle Artikel der Reihe
* [[Cisco Catalyst 9200: Software-Update im Install-Modus]]
* [[Cisco Catalyst 9200: Smart Licensing Using Policy]]
* [[Cisco Catalyst 2960-X: Erstkonfiguration und SSH-Zugang]]

== Links und Quellen ==
* [https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9200/software/release/17-18/configuration_guide/sys_mgmt/b_1718_sys_mgmt_9200_cg/performing_device_setup_configuration.html Cisco: Performing Device Setup Configuration (Catalyst 9200, IOS XE 17.18.x)]
* [https://www.max-it.de/it-services/managed-services/ Managed Services von m.a.x. it]

{{Uebermax}}
[[Kategorie:Netzwerk-Hardware]]

Cisco Catalyst 9200: Erstkonfiguration und Absicherung - Versionsgeschichte

imported>TechCorner-Redaktion: Neuer Artikel: Day-0, PnP, Mgmt-vrf, SSH, Web-UI abschalten (CVE-2023-20198), Härtung