Sicherheit - Robuste Infrastruktur

Release Notes für Cisco Catalyst IE3x00, IE3400 Heavy Duty und ESS3300 Series Switches, Release 26.1.x

IOS-XE 26.1.1
Neue Softwarefunktionen in Version 26.1.1

Funktion: Sicherheit - Widerstandsfähige Infrastruktur
Im Rahmen des kontinuierlichen Engagements für die Netzwerksicherheit werden mit dieser Version sichere Alternativen zu den alten Befehlen eingeführt. Diese Aktualisierungen sollen potenzielle Risiken verringern und eine stärkere, sicherere Betriebsgrundlage schaffen.

Die identifizierten unsicheren Befehle sind wie folgt kategorisiert:

• Leitungstransport: Aktualisierungen für sichere Fernzugriffsmethoden
• Geräteserver-Konfiguration: Härtung der serverseitigen Einstellungen
• Dateiübertragungsprotokolle: Umstellung auf verschlüsselte Übertragungsmethoden
• SNMP: Verbesserungen zur Sicherung des Management-Datenverkehrs
• Passwörter: Verstärkung der Authentifizierung und der Verwaltung von Anmeldeinformationen
• Sonstiges: Allgemeine Sicherheitsverbesserungen bei allen Systemfunktionen

Der Befehl "show system insecure configuration" (eingeführt in Cisco IOS XE 17.18.2) listet alle auf dem Gerät konfigurierten unsicheren Befehle auf. Während des Bootens oder Upgrades werden bei allen erkannten unsicheren Konfigurationen Fehlermeldungen erzeugt.

In Cisco IOS XE 26.1.1 werden alle unsicheren CLI-Befehle standardmäßig blockiert, um die Netzwerksicherheit zu erhöhen. Wenn ein Legacy-Befehl erforderlich ist, müssen Administratoren im globalen Konfigurationsmodus die Option "system mode insecure" aktivieren.

Empfehlungen:

• Vermeiden Sie die Verwendung des unsicheren Modus. Er ist temporär und wird in einer zukünftigen Version entfernt werden.
• Ersetzen Sie alle unsicheren Befehle durch sichere Alternativen.

Upgrade-Verhalten:
Bei einem Upgrade auf Cisco IOS XE 26.1.1 mit unsicheren Befehlen, die sich bereits in der laufenden Konfiguration befinden, fügt das System automatisch den Befehl "system mode insecure" hinzu, um eine Unterbrechung des Dienstes zu verhindern.

Weitere Informationen finden Sie unter: Resilient Infrastructure IOS XE Sicherheitswarnungen Referenz

Funktion: Upgrade - PROFINET-Systemredundanz

Mit dieser Funktion können Cisco Industrial Ethernet (IE)-Switches mit bestehenden Hochverfügbarkeitssystemen interagieren, indem sie den PROFINET S2-Controller-Redundanzmodus unterstützen. Sie trägt dazu bei, Ausfallzeiten und betriebliche Probleme im Falle von Netzwerk- oder Controller-Ausfällen zu minimieren.

Feature: Software-Zuverlässigkeit - Nur-Lese-PROFINET
Diese Funktion erhöht die Gerätesicherheit und die Netzwerkstabilität, indem Discovery and Configuration Protocol (DCP)-Operationen in den Nur-Lese-Modus versetzt werden.

Es bietet folgende Vorteile:

• Schützt IP-Adresse, Gateway und Gerätename vor unbefugten Änderungen
• Verhindert unerwarteten Verbindungsverlust durch Sicherung kritischer Netzwerkeinstellungen
• Bewahrt die Kompatibilität mit LLDP, SNMP und CDP
• Ermöglicht grundlegende Geräteidentifikation und Netzwerkerkennung

Funktion: Benutzerfreundlichkeit - Vervollständigung der Erkennung von Industrieanlagen
Die Funktion Industrial Asset Auto-Discovery identifiziert und katalogisiert automatisch direkt angeschlossene Industriegeräte, ohne die Netzwerkleistung zu beeinträchtigen.

Schlüsselfunktionen:

• Automatische Erkennung angeschlossener Industrieanlagen
• Exportiert Bestandsdaten an einen Syslog-Server im JSON-Format
• Verbessert die Nachverfolgung von Anlagen und die Durchsetzung der Sicherheit
• Hilft bei der Erkennung nicht autorisierter oder unbekannter Hardware im Netzwerk

Neue Hardware-Funktionen

• Dieser Abschnitt enthält eine kurze Beschreibung der neuen Hardware-Funktionen, die in dieser Version eingeführt wurden.

IOS-XE 26.1.1

• In dieser Version gibt es keine neuen Hardware-Funktionen.

IOS-XE 26.1.1
Behobene Probleme in Version 26.1.1

• CSCwo96008: PTP wird auf dem ESS3300 mit 17.12.04 nicht verarbeitet/weitergeleitet
• CSCwp24973: Unterstützung für SFP 10G-SR-S im Profinet-Modul
• CSCwq73986: Konnektivitätsproblem zwischen ccv-sensor-app und Standard-Gateway
• CSCwr62046: ICMPv6-Pakete werden dupliziert, wenn die Geräteverfolgung auf der Schnittstelle aktiviert ist
• CSCwr81607: IE3400 SNMP Multicast-Zähler funktionieren nicht - ifOutMulticastPkts
• CSCwr90222: IE3400:Padding funktioniert nicht korrekt mit vlan tag, wenn PRP aktiviert ist
• CSCws17503: Broadcast-Verkehr geht über einen gerouteten Port verloren
• CSCwt13348: switchport block multicast funktioniert nicht nach Neuladen des Switches oder shut/no shut auf der Schnittstelle
• CSCwp05951: IE3400 erhöht input/CRC/L2nat discards/Ethernet-controller stats unerwartet mit L2nat config.
• CSCwp38345: DHCP-Snooping verwirft DHCP-Erkennungsnachricht für Nicht-CDP-Geräte
• CSCwp38501: IE-3300-8T2S-E-Switch leitet STCN-Pakete gelegentlich nicht weiter
• CSCwp84508: Gerät mit IPv6 ACL, die auf 13 oder mehr Schnittstellen angewendet wird, stürzt beim Neuladen ab
• CSCwq21589: IE3400H: FTP schlägt zwischen Port G1/1 und G1/2 mit L2NAT fehl
• CSCwq80434: Mit dem "reload"-Befehl bleiben Switchports für eine längere Zeit aktiv, nachdem der Switch die Weiterleitung des Datenverkehrs beendet hat.
• CSCwr05475: IE3400 - 17.12.3 - Speicherleck in SNMP ENGINE beobachtet
• CSCwr42830: IE3300 - MKA-Sitzung kann nach Upgrade oder Stromausfall nicht aufgebaut werden
• CSCws18543: Die Ratenbegrenzung schlägt fehl, wenn eine L2-Schleife vorhanden ist
• CSCws31153: Entfernung des IP-Standardgateways durch Härtung

IOS-XE 26.1.1
Offene Probleme in Version 26.1.1

• CSCwt38298: IE3200 Speicherleck im Pool Manager und mögliche Abstürze
• CSCwt65703: IOS-Image auf sdflash beschädigt
• CSCwt68784: [ESS-3300]: RADIUS-Pakete werden über Mgmt-vrf weitergeleitet, wenn "ip vrf forwarding" und "source-interface" in der Servergruppe konfiguriert ist