Cisco Catalyst 2960-X: Erstkonfiguration und SSH-Zugang

Aus maxTechCorner

Auf einen Blick

Gilt fürCisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Befehle weitgehend identisch auf anderen IOS-Switches
BereichNetzwerk-Hardware
Dauerca. 30 Minuten
RechteKonsolenzugang zum Switch
StandOktober 2026

Die Erstkonfiguration des Cisco Catalyst 2960-X bringt einen fabrikneuen oder zurückgesetzten Switch in einen sicheren Grundzustand: Hostname, verschlüsselte Passwörter, eine Management-IP im eigenen VLAN, Zugriff nur noch per SSH, korrekte Uhrzeit per NTP und abgeschaltete Dienste, die niemand braucht. Danach lässt sich der Switch bequem aus der Ferne verwalten.

Erstkonfiguration des Catalyst 2960-X in sechs Schritten: Konsole, Hostname und Passwörter, Management-VLAN mit IP, SSH-Zugang, NTP und Logging, Härtung und Speichern.

Voraussetzungen

  • Konsolenzugang mit 9600 8N1 (siehe Cisco IOS: CLI-Grundlagen auf dem Catalyst 2960-X).
  • Geplante Werte: Hostname, Management-VLAN (im Beispiel 99), IP-Adresse 192.168.99.11/24, Gateway 192.168.99.1, NTP-Server, Domänenname.
  • Den Setup-Dialog beim ersten Start mit no beenden.


HinweisEin gebrauchter Switch sollte vorher auf Werkseinstellungen gesetzt werden (ohne bekanntes Passwort siehe Cisco Catalyst 2960-X: Passwort-Wiederherstellung und Werksreset): write erase, delete flash:vlan.dat, dann reload und beim Speichern-Dialog no wählen.

Schritt 1: Hostname und Passwörter

Switch> enable
Switch# configure terminal
Switch(config)# hostname SW-EG-01
SW-EG-01(config)# no ip domain-lookup
SW-EG-01(config)# enable algorithm-type scrypt secret <Enable-Passwort>
SW-EG-01(config)# username admin privilege 15 algorithm-type scrypt secret <Admin-Passwort>
SW-EG-01(config)# service password-encryption

algorithm-type scrypt speichert die Passwörter als Typ-9-Hash; Cisco empfiehlt, Typ-5-Hashes (MD5) auf Typ 8 oder 9 umzustellen. Kontrolle mit show running-config | include secret – die Zeilen müssen secret 9 $9$… enthalten. Nimmt eine ältere IOS-Version den Parameter nicht an, zuerst auf 15.2(7)E aktualisieren (siehe Cisco Catalyst 2960-X: IOS-Update durchführen).


WarnungNeue Anmeldedaten immer in einer zweiten Sitzung testen, bevor die aktuelle geschlossen wird – sonst bleibt nur die Passwort-Wiederherstellung über die Konsole.

Schritt 2: Management-VLAN und IP-Adresse

Der Switch wird nicht über VLAN 1, sondern über ein eigenes Management-VLAN verwaltet: 

SW-EG-01(config)# vlan 99
SW-EG-01(config-vlan)# name MANAGEMENT
SW-EG-01(config-vlan)# exit
SW-EG-01(config)# interface vlan 99
SW-EG-01(config-if)# description Management
SW-EG-01(config-if)# ip address 192.168.99.11 255.255.255.0
SW-EG-01(config-if)# no shutdown
SW-EG-01(config-if)# exit
SW-EG-01(config)# interface vlan 1
SW-EG-01(config-if)# no ip address
SW-EG-01(config-if)# shutdown
SW-EG-01(config-if)# exit
SW-EG-01(config)# ip default-gateway 192.168.99.1

Das VLAN 99 muss auf dem Uplink zum Core-Switch bzw. zur Firewall erlaubt sein – siehe Cisco Catalyst 2960-X: Trunk-Ports (802.1Q) konfigurieren. ip default-gateway gilt, solange auf dem Switch kein ip routing aktiv ist.

Der separate Port FastEthernet0 eignet sich nur, wenn es ein eigenes Out-of-Band-Managementnetz gibt; er darf nicht im selben Netz liegen wie die Management-VLAN-Schnittstelle.

Schritt 3: SSH-Zugang einrichten

SW-EG-01(config)# ip domain-name firma.local
SW-EG-01(config)# crypto key generate rsa modulus 2048
SW-EG-01(config)# ip ssh version 2
SW-EG-01(config)# ip ssh time-out 60
SW-EG-01(config)# ip ssh authentication-retries 3
SW-EG-01(config)# ip access-list standard MGMT-ZUGRIFF
SW-EG-01(config-std-nacl)# permit 192.168.99.0 0.0.0.255
SW-EG-01(config-std-nacl)# deny any log
SW-EG-01(config-std-nacl)# exit
SW-EG-01(config)# line vty 0 15
SW-EG-01(config-line)# login local
SW-EG-01(config-line)# transport input ssh
SW-EG-01(config-line)# exec-timeout 10 0
SW-EG-01(config-line)# access-class MGMT-ZUGRIFF in
SW-EG-01(config-line)# exit
SW-EG-01(config)# line con 0
SW-EG-01(config-line)# login local
SW-EG-01(config-line)# exec-timeout 10 0
SW-EG-01(config-line)# logging synchronous

Hostname und Domänenname müssen vor dem Erzeugen des RSA-Schlüssels gesetzt sein. transport input ssh schaltet Telnet ab; die Zugriffsliste lässt SSH nur aus dem Management-Netz zu.

Schritt 4: Uhrzeit und Logging

SW-EG-01(config)# clock timezone CET 1 0
SW-EG-01(config)# clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
SW-EG-01(config)# ntp server 192.168.99.1
SW-EG-01(config)# service timestamps log datetime msec localtime show-timezone
SW-EG-01(config)# service timestamps debug datetime msec localtime show-timezone
SW-EG-01(config)# logging buffered 64000 informational

Korrekte Zeitstempel sind die Voraussetzung, um Meldungen später in einem Syslog-Server oder SIEM auszuwerten (siehe Cisco Catalyst 2960-X: Syslog und SNMP einrichten). Ob die Zeit stimmt, zeigt show ntp status.

Schritt 5: Härtung

SW-EG-01(config)# no ip http server
SW-EG-01(config)# no ip http secure-server
SW-EG-01(config)# banner motd ^
Zugriff nur für autorisierte Administratoren. Alle Aktivitäten werden protokolliert.
^
SW-EG-01(config)# login block-for 120 attempts 5 within 60

Schritt 6: Speichern und testen

SW-EG-01(config)# end
SW-EG-01# write memory
SW-EG-01# show ip interface brief
SW-EG-01# show ip ssh

Vom Admin-PC im Management-Netz testen: ssh admin@192.168.99.11. Erst wenn das klappt, das Konsolenkabel abziehen.

Hinweise

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=Cisco_Catalyst_2960-X:_Erstkonfiguration_und_SSH-Zugang&oldid=4361“