Was bedeutet die Meldung „%RADSEC_AUDIT_MESSAGE-3-FIPS_AUDIT_FCS_DTLSC_DTLS_REPLAY_ATTACK“ auf einem Switch?

**Die Meldung bedeutet nicht automatisch, dass dein Switch kompromittiert ist, sondern dass der Switch bei einer DTLS-gesicherten RADIUS/RadSec-Verbindung ein Paket als Wiederholung erkannt und verworfen hat.** Cisco dokumentiert RadSec über DTLS auf IOS XE, und die Syslog-Bezeichnung selbst ordnet das Ereignis als „DTLS replay attack“ im `sessmgrd`-Prozess ein. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9200/software/release/17-4/configuration_guide/sec/b_174_sec_9200_cg/configuring_radsec.pdf)) ## Was dahinter steckt DTLS ist die UDP-Variante von TLS. Weil UDP keine eingebaute Sitzungsreihenfolge garantiert, nutzt DTLS Replay-Schutz: Pakete mit bereits gesehenen Sequenznummern werden verworfen. Genau das meldet dein Switch hier. Der Begriff „attack“ ist dabei technisch formuliert; oft ist die Ursache kein echter Angriff, sondern ein doppeltes, verspätetes oder falsch zugeordnetes Paket. ([commoncriteriaportal.org](https://www.commoncriteriaportal.org/nfs/ccpfiles/files/epfiles/st_vid11456-st.pdf)) `%RADSEC_AUDIT_MESSAGE-3-...` zeigt außerdem, dass es aus dem RadSec/RADIUS-over-DTLS-Kontext kommt, nicht aus dem normalen Switching-Datenverkehr. Der relevante Prozess ist `sessmgrd`, also die Session-Verwaltung für diese gesicherte Authentifizierungsverbindung. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9200/software/release/17-4/configuration_guide/sec/b_174_sec_9200_cg/configuring_radsec.pdf)) ## Was das praktisch bedeutet Wenn die Meldung vereinzelt auftaucht, ist das meist unkritisch. Dann hat der Switch ein verdächtiges oder dupliziertes DTLS-Paket korrekt blockiert. Wenn die Meldung häufig kommt, ist das ein Betriebsproblem: Dann kann die RadSec-/RADIUS-Kommunikation instabil sein, was sich in Authentifizierungsfehlern, Timeouts oder abreißenden Sessions zeigen kann. Genau dann ist die Meldung relevant. ([cisco.com](https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/222537-configure-radius-dtls-on-ise-and-9800-wl.html)) ## Häufige Ursachen - Paketduplikate oder verspätete UDP-Pakete im Netz - NAT, Load-Balancing oder asymmetrisches Routing zwischen Switch und RADIUS/ISE - mehrere Systeme mit derselben Identität bzw. demselben Hostnamen/Zertifikatsbezug - Session-Neuaufbau, bei dem alte DTLS-Pakete noch eintreffen - seltener: tatsächlich manipulierte oder wieder eingespielte Pakete Ein wichtiger Unterschied zu typischen Standardantworten: Die Meldung sagt **nicht**, dass ein Replay-Angriff erfolgreich war. Sie sagt nur, dass der Replay-Schutz ausgelöst hat und das Paket erkannt wurde. Das ist eher ein Schutzereignis als ein Schadensnachweis. ([commoncriteriaportal.org](https://www.commoncriteriaportal.org/nfs/ccpfiles/files/epfiles/st_vid11456-st.pdf)) ## Was du prüfen solltest 1. Prüfe, ob auf dem Switch überhaupt RadSec/DTLS gegen Cisco ISE oder einen anderen RADIUS-Server aktiv ist. Cisco beschreibt dafür die RadSec-over-DTLS-Konfiguration in der [RadSec-Dokumentation](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9200/software/release/17-4/configuration_guide/sec/b_174_sec_9200_cg/configuring_radsec.pdf). ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9200/software/release/17-4/configuration_guide/sec/b_174_sec_9200_cg/configuring_radsec.pdf)) 2. Prüfe zeitgleich im Log, ob zusätzlich „DTLS session closed“, Zertifikatsfehler oder RADIUS-Timeouts auftauchen. Solche Begleitmeldungen sind meist aussagekräftiger als die Replay-Meldung allein. Cisco zeigt genau solche zusammenhängenden RadSec-/DTLS-Logs in der [ISE/9800-Anleitung](https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/222537-configure-radius-dtls-on-ise-and-9800-wl.html). ([cisco.com](https://www.cisco.com/c/en/us/support/docs/wireless/catalyst-9800-series-wireless-controllers/222537-configure-radius-dtls-on-ise-and-9800-wl.html)) 3. Prüfe Netzwerkpfad und Zeitbezug: keine instabile UDP-Strecke, kein NAT dazwischen, keine doppelten Peers, korrekte Zertifikats-/Hostname-Zuordnung. ## Klare Einordnung **Kurz gesagt: Dein Switch meldet, dass er in einer DTLS-gesicherten RADIUS-Verbindung ein wiederholtes Paket erkannt hat. Einzelne Treffer sind meist harmlos, viele Treffer deuten auf eine fehlerhafte oder instabile RadSec-/DTLS-Kommunikation hin.**