Welcher dtls idletimeout ist bei einem Cisco Switch mit IOS-XE sinnvoll?

**Sinnvoll ist in der Praxis meist `dtls idletimeout 60` bis `120` Sekunden; `60` ist der sichere Standard, `120` lohnt sich bei häufigen AAA-Anfragen, damit die DTLS-Session nicht unnötig ständig neu aufgebaut wird.** Cisco dokumentiert für IOS XE einen Default von **60 Sekunden**; wenn der Timer abläuft und seitdem keine Transaktionen mehr kamen, wird die DTLS-Session geschlossen. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9500/software/release/17-14/command_reference/b_1714_9500_cr/security_commands.html)) ## Was der Wert praktisch bedeutet `dtls idletimeout` ist kein Sicherheits-Hardening-Wert im engeren Sinn, sondern vor allem ein **Trade-off zwischen Ressourcen und Reconnects**. Ein zu niedriger Wert führt dazu, dass der Switch die DTLS-Verbindung zum RADIUS-Server ständig abbaut und bei der nächsten 802.1X-, MAB- oder Accounting-Anfrage neu aufbauen muss. Das erhöht Latenz und kann bei Last oder instabilen Netzen unnötig Fehler provozieren. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/sec-crypto/radius/radius-configuration-guide/radius.html)) Ein zu hoher Wert hält Sessions länger offen, spart Handshakes, bringt aber meist **kaum zusätzlichen Nutzen**, wenn auf dem Switch nur sporadisch AAA-Traffic anfällt. Genau deshalb ist `60` Sekunden oft der beste Ausgangspunkt. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9500/software/release/17-14/command_reference/b_1714_9500_cr/security_commands.html)) ## Konkrete Empfehlung - **Normale Campus-Umgebung:** `60` - **Viele 802.1X-/MAB-Events oder häufiges Accounting:** `120` - **Sehr ruhige Umgebung / möglichst konservativ:** `60` - **Unter `30` Sekunden:** meist keine gute Idee, weil du Re-Handshakes provozierst - **Deutlich über `300` Sekunden:** selten sinnvoll, außer du hast einen klaren Grund dafür Der wichtige Unterschied: **Nicht der höchste Wert ist der beste, sondern der Wert, der unnötige Neuaufbauten vermeidet.** Bei den meisten Catalyst-Setups ist das schon mit `60` oder `120` erreicht. ## Warum viele Beispiele verwirren Cisco-Beispiele zeigen je nach Dokumentation unterschiedliche Beispielwerte wie `5` oder `75`. Das sind **Beispielkonfigurationen, keine generelle Empfehlung**. Maßgeblich ist die Command-Reference bzw. aktuelle RADIUS/DTLS-Dokumentation; dort ist der Default mit **60 Sekunden** beschrieben. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst3850/software/release/16-3/configuration_guide/b_163_consolidated_3850_cg/b_163_consolidated_3850_cg_chapter_01100010.pdf)) ## Klare Einschätzung Wenn du keinen speziellen Messwert oder Fehlerfall hast, nimm **`dtls idletimeout 60`**. Wenn du in einer stark authentifizierenden Umgebung unnötige DTLS-Neuaufbauten siehst, erhöhe auf **`120`**. Mehr braucht man in der Regel nicht.