了解IOS XE设备上的弹性基础设施

下载选项

PDF (469.6 KB)
在各种设备上使用 Adobe Reader 查看

已更新: 2026 年 8 月 7 日

文档 ID:225978

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档介绍思科的弹性基础设施方法，该方法植根于默认安全方法和设计安全方法。

先决条件

要求

虽然本文档没有特定要求，但对Cisco IOS® XE软件的基本了解会有所帮助。

使用的组件

本文档中的信息适用于可以运行Cisco IOS XE 17.18.2及更高版本软件的所有设备。其中包括Cisco IOS XE路由器、交换机和WLC。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

目标

本文档介绍思科如何通过安全默认设置、删除不安全的传统技术和功能以及增强产品安全性，来减少思科网络产品的攻击面，并最大限度地减少安全漏洞。

有关其他背景信息，请参阅弹性基础设施文档和Cisco IOS XE软件加固指南。本文档重点介绍分阶段实施这些安全更改所导致的技术方面和注意事项。

分阶段方法

思科采用分阶段的方法来删除安全性较低的功能和协议，以减少攻击面，并支持采用关键的安全最佳实践。这些配置的阶段取决于功能或协议。一个功能可以保留在“警告”阶段，而另一个功能进入“限制”阶段。

第一阶段：警告

当配置了关键的不安全功能时，CLI会显示警告。本文档介绍这些不安全的配置，以便可以开始迁移到更安全的选项。立即处理不安全警告消息。处于警告阶段的不安全配置不会触发或需要不安全模式。

第二阶段：限制

默认情况下，主要的不安全功能处于禁用状态，需要通过显式操作通过不安全模式启用。现有部署将继续运行，但新安装需要特意启用这些不安全的配置。Cisco IOS XE平台上的某些功能不能处于限制阶段。在后续移除之前，它们只显示几个版本的警告。

第三阶段：删除

完全删除过时的不安全功能。功能删除的时间取决于影响和采用情况。例如，广泛采用的功能（如SNMPv2）的淘汰速度比不常用的功能慢。

关键命令

在实施恢复力更强的基础设施时，这些命令非常有用。本文档中会引用这些命令。

show system insecure configuration
此命令用于显示处于限制阶段的当前应用的不安全配置。它不会显示处于警告阶段或移除阶段的不安全配置。此命令还显示下一次不安全的配置扫描的剩余时间（在“计时器和不安全的配置扫描”部分中详细介绍）。

show system security mode
此命令提供显示设备处于安全模式或不安全模式的简短输出。

show running-config all | include system mode insecure

此命令显示按系统模式不安全关键字过滤的运行配置（包括默认配置）。有关详细信息，请参阅更改安全模式。

test system secure all
此命令立即运行对不安全配置的扫描，并显示show system insecure configuration输出。这有助于在更改后刷新不安全标记的配置，而无需等待扫描计时器过期。

show system insecure profile
此命令显示系统在该软件版本上用于检测的Restriction-phase insecure配置。随着安全最佳实践的持续发展，配置文件中的不安全配置列表会不断更新。这并不能反映设备上当前配置的不安全功能。它只是系统搜索的所有限制阶段不安全配置的列表。有关所有最佳安全实践，请参阅“其他资源”部分中的“强化指南”。

注意事项和注意事项

计时器和不安全的配置扫描

本文档中详细介绍的不安全配置检查和警告消息都安排在计时器上，以限制其运行频率。更正不安全的配置后，它不会立即从show system insecure configuration输出中消失。配置扫描仪以30分钟的周期运行，因此存在长达30分钟的延迟。同样，应用不安全的配置与其对应的SYS-4-INSECURE_CONFIG系统日志之间可能最多有两分钟的延迟。

使用show system insecure配置命令可查看下次扫描运行之前剩余的时间。计时器显示在输出的第一部分中。

第一个示例显示已进行配置更改，在8分钟内可再次扫描不安全的配置：

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 8 min 0 sec <<<----------
Database State: Update Scheduled
=============================================================

下一个示例显示自上次扫描以来未检测到任何配置更改，因此无需对不安全的配置进行其他检查：

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates <<<----------
Database State: Stable
=============================================================

使用test system secure all命令可强制立即重新扫描。除了提示立即重新扫描之外，此命令还显示show system insecure配置输出。这有助于在更改后刷新不安全标记的配置，而无需等待扫描计时器过期。

不安全的配置警告

从17.18.2开始引入警告阶段，设备可以使用以下语法生成系统日志消息：

%SYS-4-INSECURE_CONFIG: Module:  - Command:  - Reason:  - Remediation: 
%SYS-4-INSECURE_DYNAMIC_WARNING: Module:  - Command:  - Reason:  - Remediation:

这些消息包括：

模块：生成日志消息的组件（例如LOGGING、HTTP或LINE）
命令:触发警告消息的特定配置
理由：此配置标记为不安全的原因
补救：迁移至更安全的替代方案所需的操作

这些警告消息不会影响设备上的服务或功能。目的是提请注意这些不安全的配置，以便主动缓解这些配置。

注意：从Cisco IOS XE版本26.1.1开始，INSECURE_DYNAMIC_WARNING消息在警告阶段指示不安全的配置，而INSECURE_CONFIG消息在限制阶段指示不安全的配置。show system insecure configuration输出中仅显示Restriction-phase配置。

这些日志在启动期间或在应用不安全的配置后显示。此外，它们可以定期重新出现在设备上。有关这些消息及其语法的更多详细信息，请参阅弹性基础设施Cisco IOS XE安全警告参考。

配置后不久出现的系统日志示例

以下是应用不安全的配置后不久出现的系统日志消息示例。如“计时器和不安全配置扫描”部分中所述，应用不安全配置后，可能需要最多两分钟才会显示以下消息：

! Feature in the Warning phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_DYNAMIC_WARNING: Module: HTTP - Command: ip http server - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Use http secure server to ensure secure web access - Submode: configure - Parent CLI: Not Applicable

! Feature in the Restriction phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

启动时看到的系统日志示例

这些是启动时显示的示例消息。对于系统检测到的每个不安全配置，系统都会显示一条消息：

! Feature in the Warning phase:
    INSECURE DYNAMIC WARNING - Module: HTTP, Command: ip http server , Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication, Remediation: Use http secure server to ensure secure web access, Submode: configure, Parent CLI: Not Applicable

! Feature in the Restriction phase:
    SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

不安全模式

Cisco IOS XE版本26.1.1中引入了不安全模式。不安全模式有助于弥合现有的不安全部署与未来强化网络之间的差距。不安全模式配置允许继续使用现有的不安全功能操作，同时标记哪些配置会带来安全风险且必须加以缓解。它还充当在不安全功能应用于出厂默认设备之前对其的确认。不安全模式还允许在第3阶段之前对已弃用的功能进行寿命终止规划，这些功能将在第三阶段被完全删除。不安全模式的目的是支持迁移到按设计提供保护的网络，同时最大限度地减少可能出现的功能中断。

对于新部署和出厂默认安装，默认情况下会设置安全模式(no system mode insecure)，这意味着设备不允许应用限制阶段的不安全配置。必须使用system mode insecure全局配置显式启用不安全模式，才能应用限制阶段不安全的功能和协议。处于警告阶段的不安全功能和协议仍可在安全模式下应用，但它们会生成警告消息。

检查当前安全模式

可以使用show system security mode命令检查设备模式。show running-config all | include system mode命令还反映设备处于安全模式或不安全模式。all关键字告知设备在输出中包含默认配置，因为安全模式是新部署的默认设置。

以下输出反映了处于安全模式的设备：

Device# show system security mode

System Security Mode : Secure

Device# show running-config all | include system mode

no system mode insecure

相同的命令可用于检查设备是否处于不安全模式：

Device# show system security mode

System Security Mode : Insecure

Device# show running-config all | include system mode

system mode insecure

更改安全模式

启用不安全模式

要启用不安全模式，请执行以下操作：

进入全局配置模式。
运行system mode insecure。

Device# configure terminal

Device(config)# system mode insecure

启用安全模式

要启用安全模式，请执行以下操作：

进入全局配置模式。
运行no system mode insecure。

Device# configure terminal

Device(config)# no system mode insecure

启用安全模式的要求

要进入安全模式，必须满足以下要求：

任何不安全的配置扫描都必须完成。
必须从设备中删除所有不安全的配置。

如果不完成不安全的配置扫描，系统会在扫描计时器到期后提示重试：

Device# configure terminal

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure configuration scanning is in progress. Try after 4 min 0 sec.

使用test system secure all命令可强制立即重新扫描。

如果计时器过期，配置扫描完成，并且系统仍然检测不安全的配置，则系统不会进入安全模式。必须删除这些不安全的配置，系统才能进入安全模式：

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure cli(s) are present in system.

满足这两个要求后，即可启用安全模式：

Device# configure terminal

Device(config)# no system mode insecure

%SYS-4-SYSTEM_SECURITY_MODE_CHANGE: System Security Mode Changed from INSECURE to SECURE

应用不安全的配置

在安全模式下，如果应用了Restriction-phase insecure配置，则会显示错误消息，并且不会应用配置。例如：

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

%Error:Insecure configurations are not permitted in secure mode. To proceed, set the system mode to insecure using the command system mode insecure, and then try again.
Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%ERROR: Security policy check failed, configuration cannot be applied
Device(config)#end

配置尝试后立即显示的消息表明设备处于安全模式，因此无法应用不安全的配置，验证结果为：

Device# show running-config | include ip ftp source-interface
Device#

要应用限制阶段不安全的配置，请首先启用不安全的模式，然后使用系统模式不安全的全局配置：

Device# configure terminal

Device(config)# system mode insecure

Device(config)# end

Device#show running-config all | include system mode

system mode insecure

一旦设备处于不安全模式，就可以应用限制阶段的不安全配置。配置期间会显示类似的安全警告消息；但是，应用了不安全的配置：

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Device(config)# end

Device# show running-config | include ip ftp source-interface
ip ftp source-interface GigabitEthernet0/0/0
Device#

警告消息还会提醒您注意不安全的配置。由于计时器会将这些消息排队以限制其速率，因此配置后最多可能需要两分钟才会显示此系统日志：

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

只有处于限制阶段的功能和协议需要或触发不安全模式。处于警告阶段的功能和协议仍可以在安全模式下应用。

自动转换到不安全模式

当Cisco IOS XE设备升级到26.1.1或更高版本时，系统在引导期间检测到任何限制阶段的不安全配置，并自动将设备转换到不安全模式。无需手动添加system mode insecure全局配置，在进入Restriction阶段时也不会对不安全功能产生影响。

此示例介绍从17.18.2（其中没有不安全模式情景）升级到26.1.1（具有显式不安全模式情景）的过程中自动转换到不安全模式。设备从应用的安全性较低的ip ftp source-interface GigabitEthernet0/0/0配置开始。

最初，此设备从Cisco IOS XE版本17.18.2开始：

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 17.18.02

检测到一个不安全的配置：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------


+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1

此外，此版本中没有“安全模式”或“不安全模式”的概念：

Device# show running-config all | include system mode
Device#

设备随后升级到26.1.1，引入了安全模式和不安全模式。

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 26.01.01

仍然应用相同的不安全配置：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------


+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1

由于存在此（或任何）限制阶段不安全配置，系统检测到它并自动转换到不安全模式：

Device# show system security mode 
System Security Mode : Insecure

系统模式不安全配置自动应用：

Device# show running-config all | include system mode
system mode insecure <<<----------
system mode warning periodicity 24
Device#

注意：存在警告阶段的不安全配置不会触发向不安全模式的转换。只有存在限制阶段的不安全配置才会触发自动转换。

加固设备

在删除阶段（第三阶段）之前，从不安全的功能和协议迁移到更安全的方法。思科集成了可维护性增强功能，可更轻松地识别不安全的配置并进行纠正。

确定应用的不安全配置

可使用show system insecure configuration EXEC命令查看当前应用的限制阶段不安全配置。此命令自动包含在26.1.1及更高版本中的show tech-support输出中。此示例输出来自应用了三个限制阶段不安全配置的设备：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3 <<<---------- Number of insecure configurations identified
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 10 min 0 sec <<<------- Time remaining until this output refreshes to reflect
Database State: Update Scheduled                any configuration changes applied.
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3

此输出包括有关包含不安全功能的模块的关键信息、父命令或配置（如果这是嵌套配置）、标记的特定CLI命令、标记为不安全的原因以及更正该命令所需的补救操作。

还可以使用show system insecure profile命令查看所有不安全的CLI模式的综合列表。当show system insecure configuration显示当前应用的限制阶段不安全配置时，show system insecure profile显示系统要检测的所有Restriction-phase insecure配置。随着安全最佳实践的持续发展，配置文件中的不安全配置列表会不断更新。

常见不安全配置的补救示例

这些示例演示了如何检测、识别和补救几种常见的不安全配置。无论使用INSECURE_CONFIG系统日志消息还是使用show system insecure configuration输出，思科都实施了软件来帮助尽可能直接地识别和缓解。

不安全的文件传输方法

以下是在设备上看到的警告消息：

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp username  - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp password  - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

您可以运行show system insecure configuration来查看有关这些不安全配置的其他信息：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [2/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp username 
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 2: ip ftp username 

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [3/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp password 
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 3: ip ftp password 

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3

Device#

这些日志直接映射到以下配置：

Device# show running-config | include ip ftp
ip ftp source-interface GigabitEthernet0/0/0
ip ftp username 
ip ftp password

要缓解这些不安全的配置，请执行以下操作：

进入全局配置模式。
删除不安全的FTP配置。

Device# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Device(config)# no ip ftp source-interface GigabitEthernet0/0/0
Device(config)# no ip ftp username 
Device(config)# no ip ftp password

不安全传统SNMP协议

这是设备上显示的警告消息：

%SYS-4-INSECURE_CONFIG: Module: SNMP - Command: snmp-server community * ro - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Configure SNMP v3 User

运行show system insecure configuration以查看有关不安全配置的其他信息：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 1 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: SNMP
|       Parent Command: NA
|          CLI Command: snmp-server community  RO
|          Description: SNMP Community string configured - uses insecure SNMPv1/v2c protocol vulnerable to eavesdropping
|               Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication
|          Remediation: Configure SNMP v3 User
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: snmp-server community cisco RO

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1


Device#

这些日志直接映射到此配置：

Device# show running-config | include snmp-server
snmp-server community  RO

客户可以使用SNMPv3进行身份验证和加密(authPriv)进行补救。

常见问题解答 (FAQ)

问:思科为什么要进行这些更改？

答：思科正在进行这些更改，通过禁用不安全的传统功能、引入更强大的保护和监控，以及简化安全操作，来增强其网络基础设施的安全性和弹性。这些努力有助于保护客户免受不断演变的网络威胁、减少停机时间，并使网络为量子计算等未来挑战做好准备。总体来说，该计划的目的是为当前和未来的技术构建一个现代、安全且可靠的基础。

问:当具有不安全配置的设备在限制阶段升级至该功能的版本时，会发生什么情况？

A：当设备升级到给定功能的限制（第二阶段）版本时，系统在引导过程中检测不安全的配置，并自动将设备转换到不安全的模式。

问:当具有不安全配置的设备在移除阶段升级至该功能的版本时，会发生什么情况？

A：当设备升级到给定功能的移除（第三阶段）版本时，移除的配置不再可用。遵守管理过时命令的标准迁移程序。

问:在同一版本中是否删除了所有不安全的功能？

答：并非所有不安全的功能都会在同一版本中移除。思科坚持采用分阶段方法，在以下三个阶段淘汰不安全功能：首先在配置或检测到不安全功能时发出警告，然后通过默认禁用这些功能或要求管理员采取明确操作（通过引入不安全模式）来限制其使用，最后在未来的版本中完全删除这些功能。某些功能可以跳过“限制”阶段，直接从“警告”移至“删除”。删除时间因功能和平台而异，警告、限制和删除的版本号因操作系统而异，如Cisco IOS XE、Cisco IOS XR、Cisco NXOS、Cisco ISE和Cisco ASA/FTD。此分步流程可确保将中断降至最低，并使客户有时间过渡到安全的替代方案。

问:我的不安全功能何时进入“限制”或“删除”阶段？

答：不安全功能进入“限制”或“删除”阶段的时间因功能和操作系统而异。有关详细信息，请参阅功能弃用和删除详细信息文档。

问:我的特定不安全功能存在哪些替代方案？

A：请参阅功能删除和建议替代方案文档，确定各种不安全功能和协议的建议替代方案。

问:如何查看我当前应用了哪些不安全的配置？

答：要查看当前应用了哪些限制阶段不安全配置，请在Cisco IOS XE 26.1.1及更高版本上使用show system insecure configuration命令。此命令提供设备上配置的限制阶段不安全功能的综合列表。此外，在Cisco SD-WAN Manager中，使用Monitor > Advisories并选择Insecure Configurations选项卡，以查看设备、配置组和模板之间的不安全配置，以及补救步骤链接。此视图大约每30分钟刷新一次，以确保获得最新信息。

问:如何查看给定软件版本上所有可能的不安全配置的列表？

A：使用命令show system insecure profile查看系统要检测的所有Restriction-phase insecure CLI模式的完整列表。与show system insecure configuration（仅显示当前应用的不安全配置）不同，配置文件输出在限制阶段包括所有已知的不安全配置，并随着安全最佳实践的发展而不断更新。

问:我纠正了一个不安全的配置。 为什么它仍然显示在show system insecure配置输出中？

答：不安全的配置的扫描仅在处于不安全的模式下定期运行。这意味着在更正不安全的配置后，系统不会立即反映更改，直到进行下一次计划扫描（30分钟间隔）为止。此计划可确保定期更新和显示最新的不安全配置详细信息，同时最大限度地减少执行扫描所需的开销。使用test system secure all命令强制立即重新扫描，以避免等待扫描计时器过期。

问:如何在升级之前主动检查已应用的不安全配置？

答：要主动检查在升级之前应用了哪些不安全的配置，请在Cisco IOS XE 17.18.2之前使用Cisco Resilient Infrastructure页面上提供的Cisco AI Assistant for Support bot，该页面允许上传配置以识别不安全的功能。类似工具，Cisco Config Resilient Infrastructure Tester是另一种选择。从Cisco IOS XE 17.18.2及更高版本开始，这些工具仍然可用，但还可以在设备上运行show system insecure configuration命令以查看当前应用的不安全配置。但是，使用AI Assistant for Support bot和Resilient Infrastructure Tester提供除直接CLI命令之外的其他AI驱动的扩充。

其它资源

阅读本文档，以补充您对安全最佳实践的理解以及任何现有、不安全配置的替代方案。

思科弹性基础设施 — 提供跨思科设备向增强安全状态过渡的基本背景，用户可利用此页右下角的Cisco AI Assistant for Support Bot逐步执行指导式工作流程，从各种输出中识别不安全的配置。

Cisco Config Resilient Infrastructure Tester — 可用于根据提供的运行配置检查不安全的配置的工具。

Cisco IOS XE软件加固指南 — 详细介绍强化Cisco IOS XE设备并提高网络整体安全性的最佳实践。

功能删除和建议替代方案 — 记录计划最终删除的不安全功能和协议以及建议替代方案的列表。

功能弃用和删除详细信息 — 当特定不安全的功能和协议根据Cisco IOS XE软件版本进入警告和/或限制阶段时的文档。

SD-WAN Monitor and Maintain Guide - Insecure Configuration Management章 — 涵盖对Cisco Catalyst SD-WAN中不安全的功能配置的集中式可视性和可行的补救，可帮助管理员识别和修复漏洞，从而增强网络安全性并保持合规性。

可恢复的基础设施：Cisco Catalyst SD-WAN和路由技术参考 — Cisco Catalyst SD-WAN和路由的安全加固和恢复能力手册。它提供规范性的指导，以跨基于CLI和UI的管理模式识别、修复和替换不安全的配置，旨在通过从不安全替代方案过渡到安全、弹性的替代方案，加强安全性、减少攻击面，并保护数据，同时确保运营模式的一致性。

Cisco C9000交换Cisco IOS XE — 弹性基础设施手册 — 专注于识别不安全的配置，并使用安全、弹性的替代方案替换这些配置，以增强安全状态、减少攻击面，并保护数据。本攻略旨在确保CLI和UI操作模型的一致性，同时提高Catalyst 9000系列的网络恢复能力和操作简便性。

思科9800无线弹性基础设施 — 概述思科分阶段采取的策略，以淘汰不安全的功能和协议，提供全面的迁移路径以保护替代方案，防止软件升级期间服务中断。它包括详细的参考表，用于跨行传输、文件传输和管理协议进行受影响的配置，并包括未能迁移的潜在操作影响的指导

修订历史记录

版本	发布日期	备注
2.0	07-Aug-2026	重新认证 — 更新的格式和法律免责声明。
1.0	27-May-2026	初始版本

由思科工程师提供

丹尼尔·莫纳扎
技术咨询工程师

此文档是否有帮助?

反馈

联系我们

提交支持案例
(需要思科服务合同)

本文档适用于以下产品

IOS XE 17.18.1