Welcher Wert ist für DTLS Retries bei einem Cisco Switch sinnvoll?

**Einen pauschal „richtigen“ Wert gibt es nicht, aber für Cisco-Switches ist `dtls retries 15` in der Praxis der sinnvolle Standardwert, weil Cisco ihn in aktuellen RADIUS-over-DTLS-Beispielen selbst so zeigt und DTLS über UDP bewusst mehrere Wiederholungen braucht.** ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9500/software/release/17-12/configuration_guide/sec/b_1712_sec_9500_cg/configuring_radsec.pdf)) ## Was der Wert praktisch bedeutet `dtls retries` legt fest, wie oft der Switch einen DTLS-Verbindungsaufbau erneut versucht, wenn über UDP keine Antwort kommt. Das ist kein Performance-Tuning im engeren Sinn, sondern ein Stabilitätsparameter: zu niedrig führt eher zu unnötigen Verbindungsabbrüchen, zu hoch verlängert vor allem nur das Warten im Fehlerfall. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/sec-crypto/radius/radius-configuration-guide/radius.html)) ## Sinnvolle Einordnung Für normale LAN-Umgebungen ist **15 ein guter Ausgangswert**. Genau diesen Wert nutzt Cisco in der aktuellen RadSec-/RADIUS-DTLS-Dokumentation als Konfigurationsbeispiel. Das ist kein formaler „Muss-Wert“, aber ein starkes Indiz dafür, dass Cisco ihn als praxistauglich ansieht. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9500/software/release/17-12/configuration_guide/sec/b_1712_sec_9500_cg/configuring_radsec.pdf)) **Niedriger als nötig** solltest du den Wert nicht setzen, wenn Paketverlust, WAN-Strecken, Firewalls oder ausgelastete RADIUS-Server im Spiel sind. Dann scheitert der DTLS-Handshake eher, obwohl das Netz nicht komplett kaputt ist. **Deutlich höher als 15** bringt dagegen selten echten Nutzen; im Störungsfall wartest du meist nur länger, bis der Fehler sichtbar wird. Diese Schlussfolgerung ist eine technische Einordnung auf Basis der Cisco-Beschreibung des Retry-Verhaltens. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/sec-crypto/radius/radius-configuration-guide/radius.html)) ## Klare Empfehlung - **Standardfall im Campus/LAN:** `dtls retries 15` - **Sehr stabiles, lokales Netz und schnelleres Failover wichtiger als Toleranz:** eher etwas darunter testen - **Unzuverlässigere Strecke oder höherer Paketverlust:** 15 beibehalten, eher zuerst `connectiontimeout` und Erreichbarkeit prüfen statt Retries blind hochzudrehen. Cisco dokumentiert beide Parameter gemeinsam, was zeigt, dass sie zusammen betrachtet werden müssen. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/catalyst9300/software/release/16-10/command_reference/b_1610_9300_cr/security_commands.html)) Der wichtigste Punkt, den viele Anleitungen nicht sauber sagen: **Wenn DTLS-Probleme auftreten, ist ein höherer Retry-Wert meist nicht die eigentliche Lösung.** Häufiger sind Zertifikate, Server-Identität, Port/Firewall oder Timeout-Werte die Ursache. ([cisco.com](https://www.cisco.com/c/en/us/td/docs/switches/lan/c9000/sec-crypto/radius/radius-configuration-guide/radius.html))