Cisco Catalyst 2960-X: Syslog und SNMP einrichten
Auf einen Blick
| Gilt für | Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Syslog-Server bzw. SIEM (z. B. Wazuh), Monitoring per SNMPv3 (z. B. Zabbix, LibreNMS, PRTG) |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 30 Minuten |
| Rechte | Privileged EXEC (enable), Zugriff auf Syslog- und Monitoring-Server |
| Stand | Oktober 2026 |
Syslog und SNMP auf dem Cisco Catalyst 2960-X machen den Switch überwachbar: Syslog schickt Ereignisse wie Anmeldungen, Konfigurationsänderungen, Port-Ausfälle oder Sicherheitsverletzungen an einen zentralen Server bzw. ein SIEM. SNMP liefert dem Monitoring Messwerte wie Portauslastung, Fehlerzähler, Temperatur und PoE-Verbrauch. Dieser Artikel richtet beides sicher ein – Syslog mit genauen Zeitstempeln und SNMP ausschließlich in Version 3 mit Verschlüsselung.
Voraussetzungen
- Management-IP im eigenen VLAN und korrekte Uhrzeit per NTP – siehe Cisco Catalyst 2960-X: Erstkonfiguration und SSH-Zugang. Ohne NTP sind Zeitstempel wertlos.
- Ein Syslog-Empfänger (z. B. Wazuh-Manager, Graylog, rsyslog) und ein Monitoring-System mit SNMPv3-Unterstützung.
Syslog einrichten
Schweregrade
| Stufe | Name | Beispiel |
|---|---|---|
| 0 | emergencies | System unbrauchbar |
| 1 | alerts | sofortiges Handeln nötig |
| 2 | critical | kritischer Zustand, z. B. Port-Security-Verletzung (PSECURE_VIOLATION)
|
| 3 | errors | Fehler, z. B. Link down (%LINK-3-UPDOWN)
|
| 4 | warnings | Warnungen, z. B. Port err-disabled (%PM-4-ERR_DISABLE), Native-VLAN-Mismatch
|
| 5 | notifications | Konfigurationsänderung (%SYS-5-CONFIG_I), Anmeldungen (%SEC_LOGIN-5)
|
| 6 | informational | Informationen, z. B. Treffer von Zugriffslisten mit log
|
| 7 | debugging | nur zur Fehlersuche |
Ein Level schließt alle schwereren Stufen ein: informational sendet 0 bis 6.
Konfiguration
SW-EG-01# configure terminal
SW-EG-01(config)# service timestamps log datetime msec localtime show-timezone
SW-EG-01(config)# service sequence-numbers
SW-EG-01(config)# logging buffered 64000 informational
SW-EG-01(config)# logging console warnings
SW-EG-01(config)# logging source-interface vlan 99
SW-EG-01(config)# logging origin-id hostname
SW-EG-01(config)# logging trap informational
SW-EG-01(config)# logging host 192.168.99.40
- Zeitstempel mit Millisekunden erleichtern die Korrelation im SIEM; der Wazuh-Standarddecoder braucht dafür eine Anpassung, siehe Cisco-IOS-Syslog mit Millisekunden in Wazuh korrekt dekodieren.
logging buffered: lokaler Puffer fürshow logging; Standard sind nur 4096 Byte.logging console warnings: Die Konsole zeigt ab Werk alles bis debugging an – das bremst bei vielen Meldungen.logging source-interface: Meldungen kommen immer von der Management-IP, damit der Server sie zuordnen kann.- Mehrere Server sind möglich: weitere
logging host-Zeilen.
In einem Stack schreibt der aktive Switch Puffer und Datei; ein Wechsel des aktiven Switches löscht den Puffer. Der zentrale Server ist deshalb Pflicht.
Anmeldungen und Konfigurationsänderungen protokollieren
SW-EG-01(config)# login on-success log
SW-EG-01(config)# login on-failure log
SW-EG-01(config)# archive
SW-EG-01(config-archive)# log config
SW-EG-01(config-archive-log-cfg)# logging enable
SW-EG-01(config-archive-log-cfg)# notify syslog contenttype plaintext
SW-EG-01(config-archive-log-cfg)# hidekeys
SW-EG-01(config-archive-log-cfg)# end
SW-EG-01# write memory
Damit erzeugt jede Anmeldung eine Meldung (%SEC_LOGIN-5-LOGIN_SUCCESS bzw. LOGIN_FAILED) und jeder eingegebene Konfigurationsbefehl eine Zeile mit Benutzername – hidekeys blendet Passwörter aus. Für die Auswertung erfolgreicher Anmeldungen in Wazuh siehe Cisco IOS Login Success Logs in Wazuh korrekt parsen: Custom Decoder und Rule parallel zu den Standardregeln betreiben.
Kontrolle
show logging ! Einstellungen, Zähler und lokaler Puffer
show logging | include %SEC_LOGIN|%PARSER
Test: send log 6 Testmeldung von SW-EG-01 erzeugt eine Meldung, die am Server ankommen muss.
SNMPv3 einrichten
SNMP ist ab Werk aus; der erste snmp-server-Befehl schaltet es ein. SNMPv1 und v2c übertragen die Community als Klartext-Passwort und sollten nicht mehr genutzt werden. SNMPv3 mit Sicherheitsstufe priv authentisiert und verschlüsselt.
Zugriff einschränken
SW-EG-01(config)# ip access-list standard SNMP-MONITORING
SW-EG-01(config-std-nacl)# permit 192.168.99.50
SW-EG-01(config-std-nacl)# deny any log
SW-EG-01(config-std-nacl)# exit
Gruppe, Benutzer und Traps
SW-EG-01(config)# snmp-server view NUR-LESEN iso included
SW-EG-01(config)# snmp-server group MONITORING v3 priv read NUR-LESEN access SNMP-MONITORING
SW-EG-01(config)# snmp-server user zabbix MONITORING v3 auth sha <Auth-Passwort> priv aes 128 <Priv-Passwort>
SW-EG-01(config)# snmp-server location Gebäude A, EG, Technikraum 0.12
SW-EG-01(config)# snmp-server contact netzwerk@firma.de
SW-EG-01(config)# snmp-server trap-source vlan 99
SW-EG-01(config)# snmp-server enable traps snmp linkdown linkup coldstart
SW-EG-01(config)# snmp-server enable traps port-security
SW-EG-01(config)# snmp-server enable traps config
SW-EG-01(config)# snmp-server host 192.168.99.50 version 3 priv zabbix
SW-EG-01(config)# end
SW-EG-01# write memory
- Algorithmen: Der 2960-X unterstützt für die Authentisierung MD5 und SHA, für die Verschlüsselung DES, 3DES und AES (128/192/256). SHA und AES verwenden; ob das Monitoring-System AES-192/256 beherrscht, vorher prüfen – AES-128 funktioniert überall.
- Kein Schreibzugriff: Die Gruppe erhält nur eine Leseansicht. Schreibender SNMP-Zugriff ist für das Monitoring nicht nötig.
- Benutzer nicht in der Konfiguration: SNMPv3-Benutzer erscheinen nicht in
show running-configund damit auch nicht in Konfigurationssicherungen. Sie stehen nur inshow snmp user– beim Ersatzgerät neu anlegen. - Welche Trap-Typen der Switch kennt, zeigt
snmp-server enable traps ?. Nicht alles einschalten: Traps doppeln sich teils mit Syslog.
Kontrolle
show snmp user
show snmp group
show snmp host
show snmp ! Paketzähler, u. a. abgewiesene Anfragen
Test vom Monitoring-Server:
snmpwalk -v3 -l authPriv -u zabbix -a SHA -A '<Auth-Passwort>' -x AES -X '<Priv-Passwort>' 192.168.99.11 1.3.6.1.2.1.1
Was überwachen?
| Wert | Quelle | Warum |
|---|---|---|
| Port-Status und Auslastung | SNMP (IF-MIB) | Engpässe auf Uplinks, ausgefallene Verbindungen |
| Fehlerzähler (CRC, Input Errors) | SNMP (IF-MIB) | defekte Kabel, Duplex-Probleme |
| Temperatur, Lüfter, Netzteil | SNMP (Cisco-Environment-MIB) | Hardwareausfall früh erkennen |
| PoE-Verbrauch | SNMP (POWER-ETHERNET-MIB) | PoE-Budget bei Access Points und Kameras |
| Stack-Mitglieder | SNMP / Syslog | Ausfall eines Stack-Switches |
| Anmeldungen, Änderungen, Sicherheitsverletzungen | Syslog | Nachvollziehbarkeit, Angriffserkennung |
Zabbix und LibreNMS bringen fertige Vorlagen für Cisco-IOS-Switches mit.
Hinweise
- Firewall: Zwischen Switch und Servern müssen Syslog (UDP 514), SNMP (UDP 161) und Traps (UDP 162) erlaubt sein.
- Syslog ist unverschlüsselt: Die Meldungen nur im Management-Netz übertragen.
- Telnet und HTTP bleiben aus: Für die Überwachung genügen SSH, Syslog und SNMPv3.
- Die zentrale Auswertung von Switch-Logs im SIEM samt Alarmierung übernimmt auf Wunsch das Managed SIEM von m.a.x. it.
Siehe auch
- Cisco Catalyst 2960-X – Überblick und alle Artikel der Reihe
- Syslog-Daten zuverlässig in Wazuh integrieren: Formate, Architektur und Best Practices
- Cisco-IOS-Syslog mit Millisekunden in Wazuh korrekt dekodieren
- SNMP
Links und Quellen
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
