设备还在跑弱算法过不了检查？华为WEAKEA把口子关上

本文整理自华为官方发布的配置指导，命令与步骤均按原始文档呈现，供现场实施参考。

华为给了一个过渡工具WEAKEA：装着它弱协议才能继续用，卸载后弱算法配置彻底跑不起来；先把业务迁到安全协议，再卸载收官，基线扫描的弱算法扣分项才能清零。

设备上为什么会有弱算法？

安全测评和基线扫描里有一类高频扣分项：设备还在协商Telnet、FTP、TLS1.0、SNMPv2c这类老协议老算法。麻烦在于利旧设备上往往压着历史配置，直接升级改造成本高，业务一忙就拖成了长期风险。华为给了一个过渡工具——弱安全算法/协议特性包WEAKEA，设备默认自带，装上它，这些弱协议才能继续配置使用；反过来，把WEAKEA卸载，弱算法配置就彻底跑不起来，这是收官阶段的标准动作。

装和卸怎么操作？

装和卸各一条命令：

install feature-software WEAKEA

uninstall feature-software WEAKEA

卸载为什么会失败？

要注意卸载常会失败，系统会提示存在弱安全协议相关配置。这不是故障，是设备在提醒你：配置里还压着Telnet、FTP、TFTP、TLS1.0、TLS1.1、SSHv1、SNMPv1、SNMPv2c这几样中的任意一样。正确顺序是先把业务迁到安全协议上——文件传输换SFTP，登录走STELNET，网管升级到SNMPv3，加密通信用TLS1.2、DTLS1.2及以上版本——配置清理干净，卸载才能成功。

依据：华为官方典型配置案例（2026-11 版）。

过渡期怎么管才稳？

建议把WEAKEA理解成一张"临时通行证"而不是长期方案：新部署的设备从一开始就不该装；存量设备分两步走，先装着保业务过渡，排期把弱协议一项项换掉，卸载收官。

给负责整改的同学提个醒：迁移弱协议业务时别做一次性切换，先在安全协议上并行开一条通道，把业务慢慢挪过去，观察一周没问题再关老通道。Telnet换STELNET这类改动还牵扯客户端工具和脚本，提前通知使用方，改完留一段双通道并存期，事故率会低很多。

收官怎么确认真正过线？

收尾时再跑一遍基线扫描，弱算法类扣分项清零，才算真正过线。验收环节也别省：清完弱协议后，用抓包和协议分析工具复核一遍实际协商出来的算法版本，与配置核对一致才算闭环。有些历史脚本会绕过新通道偷偷连老端口，不看实际流量根本发现不了，这也是不少单位整改"复查不过"的原因。

这类升级改造牵扯业务窗口和多方协调，很多单位一拖就是一年。贵州诚鑫致达科技在帮企业做安全基线整改时有一套分批切换的做法，可以把业务影响压下来，欢迎搜索关注，获取更多设备加固实操内容。