Cisco Catalyst 9200: Erstkonfiguration und Absicherung

Aus maxTechCorner

Auf einen Blick

Gilt fürCisco Catalyst 9200/9200L/9200CX mit IOS XE 17.15 und 17.18
BereichNetzwerk-Hardware
Dauerca. 30 Minuten
RechteKonsolenzugang zum Switch
StandOktober 2026

Die Erstkonfiguration des Cisco Catalyst 9200 unter IOS XE ähnelt der eines klassischen IOS-Switches – mit einigen Unterschieden, die man kennen muss: Der Switch sucht ab Werk per Plug-and-Play nach einem Verwaltungsserver, der Management-Port liegt in einer eigenen VRF, und die Web-Oberfläche kann aktiv sein. Diese Anleitung bringt einen neuen 9200 in einen sicheren Grundzustand mit SSH, NTP, Logging und abgeschalteten Diensten, die nicht gebraucht werden.

Erstkonfiguration des Catalyst 9200 unter IOS XE: Plug-and-Play beenden, Hostname und Passwörter, Management über VLAN oder Management-Port in der Mgmt-vrf, SSH mit eigenem RSA-Schlüssel, Web-Oberfläche abschalten, NTP und Logging, speichern.

Voraussetzungen

Schritt 1: Day-0 – Setup-Dialog und Plug-and-Play beenden

Ein neuer Switch fragt nach dem Start: 

Would you like to enter the initial configuration dialog? [yes/no]: no
Would you like to terminate autoinstall? [yes]: yes

Im Hintergrund versucht der Plug-and-Play-Agent (PnP), per DHCP einen Verwaltungsserver wie Catalyst Center zu finden. Wird der Switch manuell konfiguriert, die Suche beenden: 

Switch> enable
Switch# pnpa service discovery stop

Bei einem gebrauchten Gerät vorher auf Werkseinstellungen setzen – siehe Cisco Catalyst 9200: Passwort-Wiederherstellung und Factory Reset.

Schritt 2: Hostname und Passwörter

Switch# configure terminal
Switch(config)# hostname SW-OG-01
SW-OG-01(config)# no ip domain lookup
SW-OG-01(config)# enable algorithm-type scrypt secret <Enable-Passwort>
SW-OG-01(config)# username admin privilege 15 algorithm-type scrypt secret <Admin-Passwort>
SW-OG-01(config)# service password-encryption

Kontrolle: show running-config | include secret muss secret 9 zeigen.

Schritt 3: Management – VLAN oder Management-Port

Variante A: Management-VLAN (In-Band)

Wie beim 2960-X über ein eigenes VLAN: 

SW-OG-01(config)# vlan 99
SW-OG-01(config-vlan)# name MANAGEMENT
SW-OG-01(config-vlan)# exit
SW-OG-01(config)# interface vlan 99
SW-OG-01(config-if)# ip address 192.168.99.21 255.255.255.0
SW-OG-01(config-if)# no shutdown
SW-OG-01(config-if)# exit
SW-OG-01(config)# ip default-gateway 192.168.99.1

Ist auf dem Switch ip routing aktiv, statt ip default-gateway eine Standardroute setzen: ip route 0.0.0.0 0.0.0.0 192.168.99.1.

Variante B: Management-Port Gi0/0 (Out-of-Band)

Der Management-Port gehört fest zur VRF Mgmt-vrf und hat eine eigene Routing-Tabelle: 

SW-OG-01(config)# interface GigabitEthernet0/0
SW-OG-01(config-if)# ip address 10.10.0.21 255.255.255.0
SW-OG-01(config-if)# no shutdown
SW-OG-01(config-if)# exit
SW-OG-01(config)# ip route vrf Mgmt-vrf 0.0.0.0 0.0.0.0 10.10.0.1

Alles, was über diesen Port laufen soll, braucht die VRF-Angabe, z. B. ping vrf Mgmt-vrf 10.10.0.1, ntp server vrf Mgmt-vrf …, logging host … vrf Mgmt-vrf oder ip tftp source-interface GigabitEthernet0/0.

Schritt 4: SSH einrichten

SW-OG-01(config)# ip domain name firma.local
SW-OG-01(config)# crypto key generate rsa modulus 3072 label SSH-KEY
SW-OG-01(config)# ip ssh rsa keypair-name SSH-KEY
SW-OG-01(config)# ip ssh version 2
SW-OG-01(config)# ip ssh time-out 60
SW-OG-01(config)# ip ssh authentication-retries 3
SW-OG-01(config)# ip access-list standard MGMT-ZUGRIFF
SW-OG-01(config-std-nacl)# permit 192.168.99.0 0.0.0.255
SW-OG-01(config-std-nacl)# deny any log
SW-OG-01(config-std-nacl)# exit
SW-OG-01(config)# line vty 0 15
SW-OG-01(config-line)# login local
SW-OG-01(config-line)# transport input ssh
SW-OG-01(config-line)# exec-timeout 10 0
SW-OG-01(config-line)# access-class MGMT-ZUGRIFF in vrf-also
SW-OG-01(config-line)# exit
SW-OG-01(config)# line con 0
SW-OG-01(config-line)# login local
SW-OG-01(config-line)# exec-timeout 10 0
SW-OG-01(config-line)# logging synchronous
  • Ein benannter RSA-Schlüssel (label) erleichtert den späteren Austausch.
  • vrf-also lässt die Zugriffsliste auch für Verbindungen über den Management-Port gelten; bei Variante B das Management-Netz in der Liste ergänzen.

Schritt 5: Web-Oberfläche abschalten

SW-OG-01(config)# no ip http server
SW-OG-01(config)# no ip http secure-server
WarnungÜber die Web-Oberfläche von IOS XE wurde 2023 die Sicherheitslücke CVE-2023-20198 massenhaft ausgenutzt: Angreifer konnten ohne Anmeldung Administratorkonten anlegen. Cisco empfiehlt, den HTTP-Server abzuschalten oder auf vertrauenswürdige Adressen zu beschränken, und die Software aktuell zu halten. Wird die Oberfläche benötigt, nur HTTPS mit Zugriffsliste verwenden: ip http secure-server, ip http access-class ipv4 MGMT-ZUGRIFF.

Schritt 6: Zeit, Logging und Härtung

SW-OG-01(config)# clock timezone CET 1 0
SW-OG-01(config)# clock summer-time CEST recurring last Sun Mar 2:00 last Sun Oct 3:00
SW-OG-01(config)# ntp server 192.168.99.1
SW-OG-01(config)# service timestamps log datetime msec localtime show-timezone
SW-OG-01(config)# logging buffered 64000 informational
SW-OG-01(config)# logging host 192.168.99.40
SW-OG-01(config)# login block-for 120 attempts 5 within 60
SW-OG-01(config)# login on-failure log
SW-OG-01(config)# login on-success log
SW-OG-01(config)# banner motd ^
Zugriff nur für autorisierte Administratoren. Alle Aktivitäten werden protokolliert.
^
SW-OG-01(config)# end
SW-OG-01# write memory

Weitere Logging- und SNMPv3-Einstellungen sind wie beim 2960-X, siehe Cisco Catalyst 2960-X: Syslog und SNMP einrichten.

Schritt 7: Kontrolle

show version                       ! IOS-XE-Version, Lizenzstufe, Modus (INSTALL)
show ip interface brief
show ip ssh
show ip http server status         ! HTTP und HTTPS müssen "disabled" zeigen
show ntp associations
show license summary

Vom Admin-PC per SSH anmelden und erst dann die Konsole trennen.

Hinweise

Siehe auch

Links und Quellen


Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung? Kontakt aufnehmen

Abgerufen von „http://techcorner.max-it.de/index.php?title=Cisco_Catalyst_9200:_Erstkonfiguration_und_Absicherung&oldid=4406“