Cisco Anomaly Guard Module コンフィギュレーション ガイド (Software Release 5.1)

Supervisor エンジン 2 または Supervisor エンジン 720 を使用する IOS ソフトウェア

1 つ目のソフトウェア コンポーネントは、Catalyst 6500 Supervisor エンジン 2 または Supervisor エンジン 720 を使用する Cisco IOS ソフトウェア イメージです。スーパーバイザ エンジン上のイメージは、Guard モジュールおよびそのプロセッサを認識して初期化します。Guard モジュールをサポートする Cisco IOS ソフトウェア リリースを使用する必要があります。

Guard モジュール ソフトウェア

Guard モジュール ソフトウェアは、プロセッサ制御複合体に統合された Compact Flash（CF; コンパクト フラッシュ）カードに常駐します。コンパクト フラッシュには、ソフトウェア イメージのパーティションが 2 つあります。それぞれには独自のオペレーティング システム（イメージ）が用意されています。

• メンテナンス パーティション（MP）：基本モジュールの初期化およびドーター カードの制御の機能のために必要なソフトウェア（cf:1 と呼ばれる）

• アプリケーション パーティション（AP）：Guard モジュール アプリケーションに付属するイメージ（cf:4 と呼ばれる）

コンパクト フラッシュ カード上の Guard モジュール ソフトウェアは、スーパーバイザ エンジン コンソールを使用してアップグレードできます。このアップグレード プロセスでは、最新バージョンの AP イメージや MP イメージを Cisco Software Center から FTP サーバまたは TFTP サーバにダウンロードし、コンパクト フラッシュ カードにインストールします。

Guard モジュールでは、次の 3 つのアップグレード手順を使用できます。

• AP のアップグレード手順：アプリケーション イメージを使用可能な最新バージョンにアップグレードします。この手順は MP から実行し、モジュールをリセットする必要があります。「AP イメージのアップグレード」を参照してください。

• MP のアップグレード手順：メンテナンス パーティションをアップグレードします。MP イメージは、アップグレードの必要がほとんどありません。この手順は、ソフトウェア リリースに付属のリリース ノートで指示されている場合にのみ使用してください。「AP イメージのアップグレード」を参照してください。

• インライン イメージのアップグレード手順：アプリケーション イメージまたはメンテナンス イメージをアップグレードします。この手順は MP から実行します。「AP および MP イメージをインラインにアップグレード」を参照してください。

アップグレード時の注意事項

この項では、AP および MP のバージョンをアップグレードする際のガイドラインを示します。

• AP および MP のバージョンをアップグレードするには、スーパーバイザ エンジンにログインします。Guard モジュールのフラッシュ（CFE）をアップグレードするには、Guard モジュールにログインします。

• AP イメージと MP イメージの両方をアップグレードする場合は、MP イメージを先にアップグレードする必要があります。

• MP に切り替えるには、 hw-module module slot_number reset cf:1 コマンドを使用します。MP モードで操作する主な目的は、AP イメージをアップグレードすることです。

• AP に切り替えるには、 hw-module module slot_number reset cf:4 コマンドを使用します。AP が通常の動作モードです。

• show module コマンドを使用すると、実行しているパーティション イメージのソフトウェア バージョンを表示できます。AP イメージを実行している場合、 show module コマンド を使用すると AP イメージのバージョンが表示されます。AP イメージ バージョンのサンプル形式は、5.1（0.12）です。MP イメージを実行している場合は、MP イメージのバージョンが表示されます。MP イメージ バージョンのサンプル形式は、5.1（0.0）m です。

• MP イメージ ファイル名は、c6svc-mp.5-0-3.bin 形式です。

• AP イメージ ファイル名は、c6svc-agm-k9.5-0-3.bin 形式です。

• MP は Guard モジュールと同じネットワーク設定を使用します。Guard モジュールのイメージをアップグレードする前に、ネットワークの設定を行う必要があります。詳細については、 第 2 章「スーパーバイザ エンジンへの Guard モジュールの設定」 および 第 3 章「Guard モジュールの初期化」 を参照してください。

• AP をアップグレードするときに、Guard モジュールは自己保護設定を新しい設定で更新します。自己保護設定を古い設定で上書きしないでください。古い設定は現在の設定と互換性がない場合があります。

（注） スーパーバイザ エンジンで logging console コマンドをグローバルに設定して、アップグレード手順の詳細な出力を表示することを強くお勧めします。コンソールではなく Telnet セッションから接続している場合、コンソール メッセージを表示するには terminal monitor コマンドを使用します。

AP イメージのアップグレード

アプリケーション イメージをアップグレードするには、次の手順を実行します。

ステップ 1 アップグレード プロセスを開始する前に、 copy running-config コマンドを使用して、Guard モジュールの設定をバックアップします。バックアップすることにより既存の設定を保存できるため、必要な場合は、設定を現在の状態に迅速に復元できます。詳細については、「設定のエクスポート」を参照してください。

ステップ 2 保存するファイルをエクスポートします。次のファイルをエクスポートできます。

• copy reports コマンドまたは copy zone zone-name reports コマンドを使用することで、保存したい攻撃レポートをエクスポートできます。詳細については、「すべてのゾーンの攻撃レポートのエクスポート」および 「ゾーン レポートのエクスポート」を参照してください。

• copy log コマンドを使用して、保存するログをエクスポートします。詳細については、「ログ ファイルのエクスポート」を参照してください。

• copy zone zone-name packet-dump captures コマンドを使用して、保存するパケットダンプ キャプチャ ファイルをエクスポートします。詳細については、「パケットダンプ キャプチャ ファイルの手動エクスポート」を参照してください。

ステップ 3 アプリケーション イメージを使用可能な最新のソフトウェア リリースにアップグレードするには、まず、次の場所にある Cisco.com の Software Center でイメージを見つけます。

http://www.cisco.com/public/sw-center/

FTP または TFTP にアクセス可能なディレクトリにソフトウェア イメージをコピーします。

ステップ 4 Guard モジュールをリセットし、MP イメージをロードします（この処理には約 3 分かかります）。すでに MP イメージを実行している場合は、このステップを省略します。

スーパーバイザ エンジンで次のコマンドを入力します。

slot_number 引数は、モジュールをシャーシに装着するためのスロットの番号です。

ステップ 5 MP がブートされ、Guard モジュールのステータスが OK であることを確認します。次のコマンドを入力します。

ステップ 6 AP イメージをコンパクト フラッシュにインストールします。この処理には数分かかる場合があります。次のコマンドを入力します。

path/filename 引数には、FTP の場所とイメージ ファイルの名前を指定します。FTP サーバが匿名ユーザを許可しない場合は、ftp-url の値に
ftp://user@host/absolute-path/filename という構文を使用します。パスワードを要求されたら入力します。

FTP サーバから目的のバージョンをダウンロードすることもできます。

アプリケーション イメージのダウンロードの所要時間は、接続の速度によって異なりますが、最大で約 30 分です。

ステップ 7 Guard モジュールを AP にリセットするには、次のコマンドを入力します。

ステップ 8 次のコマンドを入力して、コピーした AP イメージが show module コマンドの出力に表示されることを確認します。

（注） 新しいバージョンで Common Firmware Environment（CFE）のアップデートが必要になることがあります。詳細については、各ソフトウェア リリースに対応するリリース ノートを参照してください。CFE が適合していない場合、AP イメージのアップグレードの後でユーザが最初に Guard モジュールへのセッションを確立すると、Guard モジュールは次のメッセージを表示します。「Bad CFE version (X).This version requires version Y.」

詳細については、「新しいフラッシュ バージョンの焼き付け」を参照してください。

次の例は、AP イメージをアップグレードする方法を示しています。

AP イメージのアップグレード

MP イメージは、アップグレードの必要がほとんどありません。MP ソフトウェアをアップデートするようソフトウェア リリースに付属のリリース ノートで指示されている場合、次の手順を実行します。

ステップ 1 最新のソフトウェア リリースにアップグレードするには、次の URL にある Cisco.com のソフトウェア センターにあるソフトウェア イメージを確認します。

http://www.cisco.com/public/sw-center/

FTP または TFTP にアクセス可能なディレクトリにソフトウェア イメージをコピーします。

Guard モジュールをリセットし、MP イメージをロードするには（この処理には約 3 分かかります）、スーパーバイザ エンジンで次のコマンドを入力します。

すでに MP イメージを実行している場合は、このステップを省略します。

slot_number 引数は、モジュールをシャーシに装着するためのスロットの番号です。

ステップ 2 次のコマンドを入力して、MP がブートされ、Guard モジュールのステータスが OK であることを確認します。

ステップ 3 MP イメージをコンパクト フラッシュにコピーします。スーパーバイザ エンジンで次のコマンドを入力することにより、Guard モジュールが MP または AP にリセットされているときに、MP イメージをコピーできます。

path/filename 引数には、FTP の場所とイメージ ファイルの名前を指定します。

FTP サーバが匿名ユーザを許可しない場合は、ftp-url の値に ftp://user@host/absolute-path/filename という構文を使用します。パスワードを要求されたら入力します。

アプリケーション イメージのダウンロードの所要時間は、接続の速度によって異なりますが、最大で約 30 分です。

FTP サーバから目的のバージョンをダウンロードすることもできます。

MP コマンドの詳細については、「MP コマンドの使用」を参照してください。

ステップ 4 次のコマンドを入力して、コピーした MP イメージが show module コマンドの出力に表示されることを確認します。

ステップ 5 Guard モジュールを AP にリセットするには、次のコマンドを入力します。

次の例は、MP イメージをアップグレードする方法を示しています。

AP および MP イメージをインラインにアップグレード

インライン イメージのアップグレード手順は、AP イメージおよび MP イメージをアップグレードする代替の方法です。

ソフトウェア イメージをアップグレードするには、次の手順を実行します。

ステップ 1 アップグレード プロセスを開始する前に、 copy running-config コマンドを使用して、Guard モジュールの設定をバックアップします。バックアップすることにより既存の設定を保存できるため、必要な場合は、設定を現在の状態に迅速に復元できます。詳細については、「設定のエクスポート」を参照してください。

ステップ 2 保存するファイルをエクスポートします。次のファイルをエクスポートできます。

• copy reports コマンドまたは copy zone zone-name reports コマンドを使用することで、保存したい攻撃レポートをエクスポートできます。詳細については、「すべてのゾーンの攻撃レポートのエクスポート」および 「ゾーン レポートのエクスポート」を参照してください。

• copy log コマンドを使用して、保存するログをエクスポートします。詳細については、「ログ ファイルのエクスポート」を参照してください。

• copy zone zone-name packet-dump captures コマンドを使用して、保存するパケットダンプ キャプチャ ファイルをエクスポートします。詳細については、「パケットダンプ キャプチャ ファイルの手動エクスポート」を参照してください。

ステップ 3 イメージを使用可能な最新バージョンにアップグレードするには、次の場所にある Cisco.com の Software Center でイメージを見つけます。

http://www.cisco.com/public/sw-center/

FTP にアクセス可能なディレクトリにソフトウェア イメージをコピーします。

MP コマンドの詳細については、「新しいフラッシュ バージョンの焼き付け」を参照してください。

ステップ 4 コンソール ポートまたは Telnet セッションを介してスーパーバイザ エンジンにログインします。

ステップ 5 Guard モジュールをメンテナンス イメージで実行している場合は、ステップ 7 に進みます。Guard モジュールをメンテナンス イメージで実行していない場合は、スーパーバイザ エンジンで次のコマンドを入力します。

slot_number 引数は、モジュールをシャーシに装着するためのスロットの番号です。

ステップ 6 Guard モジュールがオンラインに戻ったら、Guard モジュールとのコンソール セッションを確立し、ルート アカウントにログインします。アカウントのデフォルト パスワードは cisco です。

ステップ 7 次のコマンドを入力することで、ソフトウェア イメージをアップグレードします。

path/filename 引数には、FTP の場所とイメージ ファイルの名前を指定します。

FTP サーバが匿名ユーザを許可しない場合は、ftp-url の値に
ftp://user@host/absolute-path/filename という構文を使用します。パスワードを要求されたら入力します。

AP ソフトウェア イメージをアップグレードするには、AP ソフトウェア イメージのファイル名を入力します。MP ソフトウェア イメージをアップグレードするには、MP ソフトウェア イメージのファイル名を入力します。詳細については、「アップグレード時の注意事項」を参照してください。

ステップ 8 アップグレードが完了したら、 exit コマンドを入力して、Guard モジュールからログアウトします。

ステップ 9 Guard モジュールを AP ソフトウェア イメージにリセットするには、次のコマンドを入力します。

（注） 新しいソフトウェア リリースにアップグレードすることで Common Firmware Environment（CFE）のアップデートが必要になることがあります。詳細については、各ソフトウェア リリースに対応するリリース ノートを参照してください。CFE が適合していない場合、AP イメージのアップグレードの後でユーザが最初に Guard モジュールへのセッションを確立すると、Guard モジュールは次のメッセージを表示します。「Bad CFE version (X).This version requires version Y」。詳細については、「新しいフラッシュ バージョンの焼き付け」を参照してください。

ステップ 10 Guard モジュールがリブートしたら、show version コマンドを入力して、ソフトウェア バージョンを確認します。

次の例は、Guard モジュールのアプリケーション ソフトウェアをアップグレードする方法を示しています。

新しいフラッシュ バージョンの焼き付け

現在の Common Firmware Environment（CFE）とソフトウェア リリースが適合していない場合にだけ、新しいフラッシュ バージョンを焼き付けることができます。不適合は、Guard モジュール ソフトウェアをアップデートするときに発生する場合があります。

CFE との不適合が検出された場合、ソフトウェア リリースのアップグレード後に Guard モジュールとの最初のセッションを確立するときに、Guard モジュールは次のメッセージを表示します（X は古いフラッシュ バージョンを示し、Y は新しいフラッシュ バージョンを示します）。「Bad CFE version (X).This version
requires version Y.」

新しいフラッシュ バージョンを焼き付けるには、次の手順を実行します。

ステップ 1 設定モードで次のコマンドを入力します。

CFE と Guard モジュールのソフトウェア バージョンが適合している場合に新しいフラッシュを焼き付けようとすると、操作が失敗します。

ステップ 2 Guard モジュールをリロードするには、次のコマンドを入力します。

新しいフラッシュ バージョンを焼き付けた後、 reload コマンドを入力する必要があります。Guard モジュールは、 reload コマンドを実行した後でないと完全に機能しません。

次の例は、新しいフラッシュ バージョンを焼き付ける方法を示しています。