瞭解IOS XE裝置上的彈性基礎設施

下載選項

PDF (494.6 KB)
在多種裝置上使用 Adobe Reader 檢視

已更新: 2026 年 8 月 7 日

文件 ID:225978

無偏見用語

本產品的文件集力求使用無偏見用語。針對本文件集的目的，無偏見係定義為未根據年齡、身心障礙、性別、種族身分、民族身分、性別傾向、社會經濟地位及交織性表示歧視的用語。由於本產品軟體使用者介面中硬式編碼的語言、根據 RFP 文件使用的語言，或引用第三方產品的語言，因此本文件中可能會出現例外狀況。深入瞭解思科如何使用包容性用語。

關於此翻譯

思科已使用電腦和人工技術翻譯本文件，讓全世界的使用者能夠以自己的語言理解支援內容。請注意，即使是最佳機器翻譯，也不如專業譯者翻譯的內容準確。Cisco Systems, Inc. 對這些翻譯的準確度概不負責，並建議一律查看原始英文文件（提供連結）。

簡介

本文檔介紹思科的彈性基礎設施方法，該方法植根於預設的安全性和設計的安全性。

必要條件

需求

雖然本檔案沒有特定需求，但對Cisco IOS® XE軟體的基本瞭解是很有用的。

採用元件

本檔案中的資訊適用於可執行Cisco IOS XE 17.18.2和更新軟體的所有裝置。其中包括Cisco IOS XE路由器、交換機和WLC。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

目標

本檔案介紹思科如何透過安全的預設設定、移除不安全的舊技術和功能，以及增強產品安全性，來減少思科網路產品的攻擊面，並將安全漏洞降至最低。

如需其他背景資訊，請參閱彈性基礎架構檔案和Cisco IOS XE軟體加固指南。本文檔重點介紹分階段實施這些安全變更所導致的技術方面和注意事項。

分階段方法

思科採用分階段的方法來刪除安全性較低的功能和協定，以減少攻擊面，並支援採用關鍵的安全最佳實踐。這些配置的階段取決於功能或協定。一個功能可以繼續處於「警告」階段，而另一個功能進入「限制」階段。

第一階段：警告

當配置了關鍵的不安全功能時，CLI會顯示警告。本文檔描述了這些不安全的配置，以便可以開始遷移到更安全的選項。立即處理不安全警告消息。在警告階段的不安全配置不會觸發或要求不安全模式。

第二階段：限制

預設情況下禁用主要不安全功能，需要顯式操作才能通過不安全模式啟用。現有部署仍可繼續運行，但新安裝需要有意啟用這些不安全配置。Cisco IOS XE平台上的某些功能不能處於限制階段。在後續刪除之前，它們只顯示幾個版本的警告。

第三階段：移除

完全刪除過時的不安全功能。功能刪除的時間因影響和採用情況而異。例如，廣泛採用的功能（如SNMPv2）淘汰較不常用的功能更慢。

關鍵命令

這些命令在實施恢復能力更強的基礎設施時很有用。本文檔中會引用這些命令。

show system insecure configuration
此命令用於顯示當前應用的處於限制階段的不安全配置。它不會顯示處於警告階段或移除階段的不安全配置。此命令還顯示下一次不安全配置掃描的剩餘時間（在「計時器和不安全配置掃描」部分中進行了詳細說明）。

show system security mode
此命令提供顯示裝置處於安全模式還是不安全模式的簡要輸出。

show running-config all | include system mode insecure

此命令顯示運行配置（包括預設配置），按系統模式不安全關鍵字進行過濾。如需進一步的詳細資訊，請參閱變更安全模式。

測試系統secure all
此命令立即運行對不安全配置的掃描，並顯示show system insecure configuration輸出。這有助於在更改後刷新不安全標籤的配置，而無需等待掃描計時器過期。

show system insecure profile
此命令顯示限制階段的不安全配置，系統設計為在該版本的軟體上檢測這些配置。隨著安全最佳實踐的不斷發展，配置檔案中的不安全配置清單會隨著時間的推移而更新。這不能反映裝置上當前配置的不安全功能。它只是系統搜尋的所有限制階段不安全配置的清單。有關所有最佳安全實踐，請參閱「其他資源」部分中的「加強指南」。

注意事項和注意事項

計時器和不安全配置掃描

本文檔中詳細介紹的不安全的配置檢查和警告消息都安排在計時器上，以限制其運行頻率。更正不安全配置後，它不會立即從show system insecure configuration輸出中消失。由於組態掃描器以30分鐘的週期運作，因此延遲高達30分鐘。同樣，在應用不安全的配置與其對應的SYS-4-INSECURE_CONFIG系統日誌之間最多可能會出現兩分鐘的延遲。

使用show system insecure configuration命令可檢視下次掃描運行之前剩餘的時間。計時器顯示在輸出的第一部分中。

第一個示例顯示已進行配置更改，並且下次掃描不安全配置時可能在8分鐘內發生：

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 8 min 0 sec <<<----------
Database State: Update Scheduled
=============================================================

下一個示例顯示自上次掃描以來未檢測到任何配置更改，因此不需要對不安全的配置進行其他檢查：

Device# show system insecure configuration

=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates <<<----------
Database State: Stable
=============================================================

可以使用test system secure all命令強制進行立即重新掃描操作。除了提示立即重新掃描之外，此命令還會顯示show system insecure配置輸出。這有助於在更改後刷新不安全標籤的配置，而無需等待掃描計時器過期。

不安全配置警告

從17.18.2引入警告階段開始，裝置可以使用以下語法生成系統日誌消息：

%SYS-4-INSECURE_CONFIG: Module:  - Command:  - Reason:  - Remediation: 
%SYS-4-INSECURE_DYNAMIC_WARNING: Module:  - Command:  - Reason:  - Remediation:

這些消息包括：

模組：生成日誌消息的元件（例如LOGGING、HTTP或LINE）
指令:觸發警告消息的特定配置
原因：此配置標籤為不安全的原因
補救：遷移至更安全的替代方案所需的操作

這些警告消息不會影響裝置上的服務或功能。目的是提請注意這些不安全的配置，以便主動緩解這些配置。

附註：從Cisco IOS XE 26.1.1版開始，INSECURE_DYNAMIC_WARNING消息在警告階段指示不安全的配置，而INSECURE_CONFIG消息在限制階段指示不安全的配置。show system insecure configuration輸出中僅顯示限制階段配置。

在啟動期間或應用不安全的配置後會看到這些日誌。此外，它們可以定期重新出現在裝置上。有關這些消息及其語法的更多詳細資訊，請參閱彈性基礎設施Cisco IOS XE安全警告參考。

配置後不久出現的系統日誌示例

以下是應用不安全的配置後不久出現的系統日誌消息示例。如「計時器和不安全配置掃描」部分中所述，應用不安全配置後，可能需要最多兩分鐘時間才會顯示這些消息：

! Feature in the Warning phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_DYNAMIC_WARNING: Module: HTTP - Command: ip http server - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Use http secure server to ensure secure web access - Submode: configure - Parent CLI: Not Applicable

! Feature in the Restriction phase:
    *Jan 1 01:23:45.678: %SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

啟動時顯示的系統日誌示例

以下是啟動時顯示的示例消息。系統檢測到的每個不安全配置都會顯示一條消息：

! Feature in the Warning phase:
    INSECURE DYNAMIC WARNING - Module: HTTP, Command: ip http server , Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication, Remediation: Use http secure server to ensure secure web access, Submode: configure, Parent CLI: Not Applicable

! Feature in the Restriction phase:
    SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

不安全模式

Cisco IOS XE 26.1.1版引入了不安全模式。不安全模式有助於彌合現有的不安全部署與未來強化網路之間的差距。「不安全模式」配置允許使用現有的不安全功能繼續操作，同時標籤哪些配置會造成安全風險且必須加以緩解。它還可以用於在工廠預設裝置上應用不安全功能之前確認這些功能。不安全模式還允許在第3階段之前為已棄用的功能進行壽命終止規劃，這些功能將在第三階段被完全刪除。不安全模式的目標是支援遷移到基於設計的安全網路，同時最大限度地減少對功能的潛在中斷。

對於新部署和出廠預設安裝，預設情況下會設定安全模式(no system mode insecure)，這意味著裝置不允許應用限制階段的不安全配置。必須使用system mode insecure全域性配置顯式啟用不安全模式，才能應用Restriction-phase insecure功能和協定。處於警告階段的不安全功能和協定仍可以在安全模式下應用，但它們會生成警告消息。

檢查當前安全模式

可以使用show system security mode命令檢查裝置模式。show running-config all | include system mode命令還反映裝置處於安全模式還是不安全模式。all關鍵字告訴裝置在輸出中包括預設配置，因為安全模式是新部署的預設設定。

這些輸出反映了處於安全模式的裝置：

Device# show system security mode

System Security Mode : Secure

Device# show running-config all | include system mode

no system mode insecure

可以使用相同的命令檢查裝置是否處於不安全模式：

Device# show system security mode

System Security Mode : Insecure

Device# show running-config all | include system mode

system mode insecure

更改安全模式

啟用不安全模式

要啟用不安全模式，請執行以下操作：

進入全域性配置模式。
運行system mode insecure。

Device# configure terminal

Device(config)# system mode insecure

啟用安全模式

要啟用安全模式，請執行以下操作：

進入全域性配置模式。
運行no system mode insecure。

Device# configure terminal

Device(config)# no system mode insecure

啟用安全模式的要求

要移至安全模式，必須滿足以下要求：

任何不安全的配置掃描都必須完成。
必須從裝置中刪除所有不安全的配置。

如果未完成不安全的配置掃描，系統會在掃描計時器到期後提示重試：

Device# configure terminal

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure configuration scanning is in progress. Try after 4 min 0 sec.

可以使用test system secure all命令強制進行立即重新掃描操作。

如果計時器過期，配置掃描完成，並且系統仍檢測到不安全的配置，則系統不會進入安全模式。必須先刪除這些不安全的配置，然後系統才能進入安全模式：

Device(config)# no system mode insecure

System secure mode cannot be changed to secure as insecure cli(s) are present in system.

滿足這兩個要求後，即可啟用安全模式：

Device# configure terminal

Device(config)# no system mode insecure

%SYS-4-SYSTEM_SECURITY_MODE_CHANGE: System Security Mode Changed from INSECURE to SECURE

應用不安全的配置

在安全模式下，如果應用了Restriction-phase insecure配置，將顯示錯誤消息，且未應用該配置。舉例來說：

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

%Error:Insecure configurations are not permitted in secure mode. To proceed, set the system mode to insecure using the command system mode insecure, and then try again.
Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%ERROR: Security policy check failed, configuration cannot be applied
Device(config)#end

配置嘗試後立即顯示的消息表明裝置處於安全模式，因此無法應用不安全的配置，驗證方式為：

Device# show running-config | include ip ftp source-interface
Device#

要應用Restriction-phase insecure配置，請首先啟用Insecure Mode，並使用system mode insecure全局配置：

Device# configure terminal

Device(config)# system mode insecure

Device(config)# end

Device#show running-config all | include system mode

system mode insecure

一旦裝置處於不安全模式，可以應用限制階段的不安全配置。配置期間會顯示類似的安全警告消息；但是，應用了不安全的配置：

Device# configure terminal

Device(config)# ip ftp source-interface Gi0/0/0

SECURITY WARNING - Module: FTP, Command: ip ftp source-interface GigabitEthernet0/0/0 , Reason: No encryption is configured, Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception, Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

Device(config)# end

Device# show running-config | include ip ftp source-interface
ip ftp source-interface GigabitEthernet0/0/0
Device#

警告消息也會提醒您注意不安全的配置。由於計時器會將這些訊息排隊以限制其速率，因此此系統日誌在設定後最多可能需要兩分鐘才能顯示：

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

只有處於限制階段的功能和協定需要或觸發不安全模式。處於警告階段的功能和協定仍可以在安全模式下應用。

自動轉換到不安全模式

當Cisco IOS XE裝置升級到26.1.1或更高版本時，系統在引導期間檢測到任何限制階段不安全配置，並自動將裝置轉換到「不安全模式」。無需手動新增系統模式不安全全域性配置，而且在進入「限制」階段時不會對不安全功能造成影響。

此範例將介紹從17.18.2（其中沒有不安全模式上下文）升級到26.1.1（具有明確的不安全模式上下文）期間到不安全模式的自動轉換。裝置從應用的安全性較低的ip ftp源介面GigabitEthernet0/0/0配置開始。

最初，此裝置在Cisco IOS XE版本17.18.2上啟動：

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 17.18.02

檢測到一個不安全的配置：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------


+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1

此外，此版本中沒有「安全模式」或「不安全模式」的概念：

Device# show running-config all | include system mode
Device#

然後將該裝置升級到26.1.1，這引入了安全模式和不安全模式。

Device# show version | include Cisco IOS XE Software
Cisco IOS XE Software, Version 26.01.01

仍應用相同的不安全配置：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1 <<<----------


+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0 <<<----------
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1

由於存在此（或任何）限制階段不安全配置，系統將檢測到它並自動轉換到不安全模式：

Device# show system security mode 
System Security Mode : Insecure

系統模式的不安全配置會自動應用：

Device# show running-config all | include system mode
system mode insecure <<<----------
system mode warning periodicity 24
Device#

附註：如果存在「警告 — 階段」不安全配置，則不會觸發向「不安全模式」的轉換。只有限制階段的不安全配置才會觸發自動轉換。

加固裝置

在刪除階段（第三階段）之前，從不安全的功能和協定遷移到更安全的方法。思科具有整合的可維護性增強功能，可更輕鬆地識別不安全的配置並糾正它們。

確定應用的不安全配置

使用show system insecure configuration EXEC命令可檢視當前應用的限制階段不安全配置。此命令自動包含在26.1.1及更新版本的show tech-support輸出中。此示例輸出來自應用了三個限制階段不安全配置的裝置：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3 <<<---------- Number of insecure configurations identified
Database Type: Active (Current State)
Scan Status: Complete
Next Update: Pending in 10 min 0 sec <<<------- Time remaining until this output refreshes to reflect
Database State: Update Scheduled                any configuration changes applied.
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0


=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3

此輸出包括有關包含不安全功能的模組、父命令或配置（如果這是巢狀配置）、已標籤的特定CLI命令、標籤為不安全的原因以及更正該命令所必需的補救操作的關鍵資訊。

還可以使用show system insecure profile 命令檢視所有不安全的CLI模式的綜合清單。當show system insecure configuration顯示當前應用的限制階段不安全配置時，show system insecure profile顯示系統要檢測的所有限制階段不安全配置。隨著安全最佳實踐的不斷發展，配置檔案中的不安全配置清單會隨著時間的推移而更新。

常見不安全配置的補救示例

這些示例演示了如何檢測、識別並糾正幾個經常遇到的不安全配置。無論使用INSECURE_CONFIG系統日誌消息還是使用show system insecure configuration輸出，思科都實施了軟體來幫助使識別和緩解儘可能簡單。

不安全檔案傳輸方法

以下是在裝置上看到的警告訊息：

%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp source-interface GigabitEthernet0/0/0 - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp username  - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
%SYS-4-INSECURE_CONFIG: Module: FTP - Command: ip ftp password  - Reason: No encryption is configured - Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols

您可以運行show system insecure configuration來檢視有關這些不安全配置的其他資訊：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 3
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 3 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp source-interface GigabitEthernet0/0/0
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: ip ftp source-interface GigabitEthernet0/0/0

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [2/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp username 
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 2: ip ftp username 

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [3/3]
+-------------------------------------------------------------
|               Module: FTP
|       Parent Command: NA
|          CLI Command: ip ftp password 
|          Description: FTP service enabled - transmits credentials and data in plaintext, vulnerable to interception
|               Reason: No encryption is configured
|          Remediation: Transition to secure file transfer methods using SCP, SFTP, HTTPS protocols
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 3: ip ftp password 

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 3

Device#

這些日誌直接對映到以下配置：

Device# show running-config | include ip ftp
ip ftp source-interface GigabitEthernet0/0/0
ip ftp username 
ip ftp password

要緩解這些不安全配置，請執行以下操作：

進入全域性配置模式。
刪除不安全的FTP配置。

Device# configure terminal

Enter configuration commands, one per line. End with CNTL/Z.

Device(config)# no ip ftp source-interface GigabitEthernet0/0/0
Device(config)# no ip ftp username 
Device(config)# no ip ftp password

不安全舊版SNMP協定

這是裝置上顯示的警告消息：

%SYS-4-INSECURE_CONFIG: Module: SNMP - Command: snmp-server community * ro - Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication - Remediation: Configure SNMP v3 User

運行show system insecure configuration以檢視有關不安全配置的其他資訊：

Device# show system insecure configuration
=============================================================
          ACTIVE INSECURE CONFIGURATION DATABASE
=============================================================
Generated: Active Configuration Analysis
Total Active Insecure Commands: 1
Database Type: Active (Current State)
Scan Status: Complete
Next Update: No pending updates
Database State: Stable
=============================================================
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processing 1 active insecure CLI entries

+-------------------------------------------------------------
| ACTIVE INSECURE CONFIGURATION ENTRY [1/1]
+-------------------------------------------------------------
|               Module: SNMP
|       Parent Command: NA
|          CLI Command: snmp-server community  RO
|          Description: SNMP Community string configured - uses insecure SNMPv1/v2c protocol vulnerable to eavesdropping
|               Reason: Legacy protocol poses data confidentiality and integrity risks due to lack of encryption and authentication
|          Remediation: Configure SNMP v3 User
|          Config Mode: configure
|               Status: ACTIVE
|             Severity: HIGH
+-------------------------------------------------------------
SECURE_CONFIG_ACTIVE_INSECURE_CONFIG_DB_WALK: Processed entry 1: snmp-server community cisco RO

=============================================================
                    DATABASE SUMMARY
=============================================================
Total Active Entries Processed: 1


Device#

這些日誌直接對映到此配置：

Device# show running-config | include snmp-server
snmp-server community  RO

客戶可以使用具有驗證和加密(authPriv)的SNMPv3進行補救。

常見問題 (FAQ)

Q:思科為什麼進行這些更改？

答：思科正在進行這些更改，通過禁用不安全的傳統功能、引入更強大的保護和監控以及簡化安全操作，來增強其網路基礎設施的安全性和恢復能力。這些努力有助於保護客戶免受不斷演變的網路威脅、減少停機時間，並使網路做好應對未來挑戰（如量子計算）的準備。總體而言，該計畫的目標是為當前和未來技術構建一個現代、安全和可靠的基礎。

Q:當具有不安全配置的裝置在限制階段升級至該功能的發行版時，會發生什麼情況？

A:當裝置升級為給定功能的限制（第二階段）版本時，系統在引導過程中檢測不安全配置，並自動將裝置轉換到「不安全模式」。

Q:當具有不安全配置的裝置在刪除階段升級至該功能的發行版時，會發生什麼情況？

A:當裝置升級至給定功能的移除（第三階段）版本時，移除的配置將不再可用。遵守管理過時命令的標準遷移過程。

Q:在同一版本中是否刪除了所有不安全的功能？

答：同一版本中並未刪除所有不安全的功能。思科堅持分階段的方法，在以下三個階段淘汰不安全功能：首先在配置或檢測到不安全功能時發出警告，然後通過預設禁用這些功能或要求顯式管理員操作（通過引入不安全模式）來限制其使用，最後在未來的版本中完全刪除這些功能。某些功能可以跳過「限制」階段，直接從「警告」移至「刪除」。刪除的時間因功能和平台而異，警告、限制和刪除的版本號因作業系統而異，如Cisco IOS XE、Cisco IOS XR、Cisco NXOS、Cisco ISE和Cisco ASA/FTD。此分步流程可確保將中斷降至最低，並使客戶有時間過渡到安全的替代方案。

Q:我的不安全功能何時進入限制或刪除階段？

答：不安全功能進入「限制」或「刪除」階段的時間因功能和作業系統而異。有關詳細資訊，請參閱功能棄用和刪除詳細資訊文檔。

Q:我的特定不安全功能存在哪些替代方案？

A:請參閱功能刪除和建議替代方案文檔，確定各種不安全功能和協定的建議替代方案。

Q:如何檢視我目前應用了哪些不安全配置？

答：若要檢視當前應用了哪些限制階段不安全配置，請在Cisco IOS XE 26.1.1及更高版本上使用命令show system insecure configuration。此命令提供裝置上配置的限制階段不安全功能的綜合清單。此外，在Cisco SD-WAN Manager中，使用Monitor >Advisories並選擇Insecure Configurations頁籤，以檢視裝置、配置組和模板間的不安全配置，以及補救步驟連結。此檢視大約每30分鐘刷新一次，以確保獲得最新資訊。

Q:如何檢視給定軟體版本上所有可能的不安全配置的清單？

A:使用命令show system insecure profile檢視系統要檢測的所有限制階段不安全CLI模式的完整清單。與show system insecure configuration（僅顯示當前應用的不安全配置）不同，配置檔案輸出包括限制階段中所有已知的不安全配置，並會隨著安全最佳實踐的發展而更新。

Q:我更正了一個不安全的配置。 為什麼它仍然顯示在show system insecure配置輸出中？

答：在不安全的模式下，對不安全配置的掃描僅定期運行。這意味著在糾正不安全的配置後，系統不會立即反映更改，直到進行下一次計畫掃描（30分鐘間隔內進行）。此計畫可確保定期更新和顯示最新的不安全配置詳細資訊，同時最大限度地減少執行掃描所需的開銷。使用test system secure all命令強制立即重新掃描，以避免等待掃描計時器過期。

Q:如何主動檢查升級前應用了哪些不安全配置？

答：要主動檢查在升級之前應用了哪些不安全配置，請在Cisco IOS XE 17.18.2之前，使用Cisco Resilient Infrastructure頁面上提供的Cisco AI Assistant for Support bot，該頁面允許上傳配置以識別不安全功能。類似工具Cisco Config Resilient Infrastructure Tester是另一個選項。從Cisco IOS XE 17.18.2及更高版本開始，這些工具仍然可用，但也可以選擇在裝置上運行命令show system insecure configuration，以檢視當前應用的不安全配置。但是，使用AI Assistant for Support bot和Resilient Infrastructure Tester提供除直接CLI命令之外的額外的AI驅動增強功能。

其他資源

閱讀本文檔，補充瞭解最佳安全實踐以及任何現有、不安全配置的替代方案。

思科彈性基礎架構 — 提供跨思科裝置向增強的安全狀態過渡的基本背景，使用者可利用此頁右下角的Cisco AI Assistant for Support Bot逐步執行指導式工作流程，從各種輸出中識別不安全配置。

Cisco Config Resilient Infrastructure Tester — 一種工具，可用於根據提供的運行配置檢查不安全的配置。

Cisco IOS XE軟體加固指南 — 詳細介紹強化Cisco IOS XE裝置並提高網路整體安全性的最佳實踐。

功能刪除和建議備選方案 — 記錄計畫最終刪除的不安全功能和協定以及建議替代方案的清單。

功能棄用和刪除詳細資訊 — 當特定不安全功能和協定進入基於Cisco IOS XE軟體版本的警告和/或限制階段時的文檔。

SD-WAN監控和維護指南 — Insecure Configuration Management章節 — 介紹對Cisco Catalyst SD-WAN中的不安全功能配置的集中可視性和可操作的補救，幫助管理員識別和修復漏洞，以增強網路安全並保持合規性。

可復原的基礎設施：Cisco Catalyst SD-WAN和路由技術參考 — Cisco Catalyst SD-WAN和路由的安全加固和恢復手冊。它提供規範指導，以跨基於CLI和UI的管理模型識別、修復和替換不安全的配置，旨在通過從不安全的替代方案過渡到安全、彈性的替代方案，加強安全性、減少攻擊面，並保護資料，同時確保跨操作模型的一致性。

Cisco C9000交換Cisco IOS XE — 彈性基礎設施手冊 — 專注於識別不安全配置，並用安全、彈性的替代方案替代它們，以增強安全狀態、減少攻擊面和保護資料。該攻略旨在確保CLI和UI操作模型的一致性，同時增強Catalyst 9000系列的網路恢復能力和操作簡便性。

思科9800無線彈性基礎設施 — 概述思科分階段採取的策略，以淘汰不安全的功能和協定，提供全面的遷移路徑以確保替代方案，防止軟體升級期間服務中斷。它包括跨行傳輸、檔案傳輸和管理協定受影響配置的詳細參考表，以及關於未能遷移的潛在操作影響的指導

修訂記錄

修訂	發佈日期	意見
2.0	07-Aug-2026	重新認證 — 更新的格式和法律免責宣告。
1.0	27-May-2026	初始版本

由思科工程師貢獻

Daniel Monazah
Technical Consulting Engineer

這份文件是否有所幫助？

意見

讓思科協助您

開啟支援問題單
(需有思科服務合約)

本文件適用於這些產品

IOS XE 17.18.1