Tutorials

Schritt-für-Schritt-Anleitung: SSH auf einem Cisco Switch oder Router konfigurieren

Melden

Diese Anleitung zeigt dir, wie du den sicheren Fernzugriff über SSH (Secure Shell) auf einem Cisco-Router oder -Switch einrichtest und den unsicheren Telnet-Zugriff deaktivierst.

Für SSH werden ein eindeutiger Gerätename, ein Domain-Name, kryptografische Schlüssel sowie ein lokaler Benutzer mit Passwort benötigt.

Voraussetzungen

  • Du hast Zugriff auf die Konsole des Cisco-Geräts (z. B. via Konsolenkabel).
  • Das Gerät besitzt bereits eine funktionierende IP-Adresse im Netzwerk (z. B. auf dem interface Vlan 1 beim Switch oder auf einem physischen Interface beim Router).

Schritt 1: In den privilegierten Konfigurationsmodus wechseln

Melde dich am Gerät an und wechsle in den globalen Konfigurationsmodus:

Router> enable
Router# configure terminal
Router(config)#

Schritt 2: Hostnamen und Domain-Namen vergeben

SSH benötigt einen eindeutigen Gerätenamen (Hostname) und einen Domain-Namen, um den kryptografischen Schlüssel zu erstellen. Der Standardname (z. B. "Router" oder "Switch") reicht nicht aus.

Router(config)# hostname MeinCiscoGerät
MeinCiscoGerät(config)# ip domain-name meinedomain.local

Schritt 3: RSA-Schlüsselpaar generieren

Jetzt wird das kryptografische Schlüsselpaar für die Verschlüsselung generiert. Es wird empfohlen, eine Schlüssellänge von mindestens 2048 Bit zu verwenden.

MeinCiscoGerät(config)# crypto key generate rsa

Das System fragt nach der Schlüssellänge:

How many bits in the modulus [512]: 2048

(Tippe hier 2048 ein und bestätige mit Enter.)

Schritt 4: Lokalen Benutzer mit sicherem Passwort erstellen

Erstelle einen Benutzernamen und ein sicheres Passwort. Mit dem Befehl secret (statt password) wird das Passwort in der Konfiguration stark verschlüsselt gespeichert. privilege 15 gibt dem Benutzer direkt volle Administratorrechte.

MeinCiscoGerät(config)# username admin privilege 15 secret MeinSuperSicheresPasswort123!

Schritt 5: SSH-Version und Parameter optimieren (Best Practice)

SSH Version 1 gilt als unsicher. Konfiguriere das Gerät so, dass nur SSH Version 2 erlaubt ist:

MeinCiscoGerät(config)# ip ssh version 2
MeinCiscoGerät(config)# ip ssh time-out 60
MeinCiscoGerät(config)# ip ssh authentication-retries 3

Schritt 6: VTY-Leitungen für SSH konfigurieren

Jetzt müssen die virtuellen Leitungen (VTY = Virtual Terminal), über die der Fernzugriff läuft, abgesichert werden. Wir erzwingen SSH und verknüpfen den Login mit der lokalen Benutzerdatenbank.

MeinCiscoGerät(config)# line vty 0 4
MeinCiscoGerät(config-line)# transport input ssh
MeinCiscoGerät(config-line)# login local
MeinCiscoGerät(config-line)# exit

(Hinweis für Switches: Oft gibt es mehr Leitungen. Du kannst stattdessen auch line vty 0 15 eingeben).

  • transport input ssh: Erlaubt nur SSH-Verbindungen und blockiert Telnet.
  • login local: Weist das Gerät an, den in Schritt 4 erstellten lokalen Benutzer abzufragen.

Schritt 7: Konfiguration dauerhaft speichern

Damit die Einstellungen nach einem Neustart nicht verloren gehen, speichere die Konfiguration ab:

MeinCiscoGerät(config)# exit
MeinCiscoGerät# write memory

(Alternativ: copy running-config startup-config)

Überprüfung und Verbindungstest

SSH-Status auf dem Cisco-Gerät prüfen:

Mit folgendem Befehl kannst du sehen, ob SSH aktiv ist:

MeinCiscoGerät# show ip ssh

Verbindung von einem PC testen:

Verwende ein Terminal (wie PuTTY unter Windows oder das Terminal unter Linux/macOS):

ssh -l admin <IP-Adresse-des-Cisco-Geräts>
# oder
ssh admin@<IP-Adresse-des-Cisco-Geräts>

Gib nach der Aufforderung dein zuvor konfiguriertes Passwort ein. Wenn der Login klappt, ist SSH erfolgreich und sicher eingerichtet!

0