Cisco Nexus 9000 シリーズ NX-OS モードスイッチ FPGA/EPLD アップグレード リリース ノート、 リリース 10.2(3)

 

このドキュメントでは、EPLD イメージの現在および過去のバージョンの一覧を示し、Cisco Nexus 9000 シリーズ スイッチで使用するためにそれらのイメージを更新する方法について説明します。

このドキュメントでは、以降のリリースについても説明します。Cisco Nexus 9000 シリーズ FPGA/EPLD の新しいアップグレード リリース ノート ドキュメントがない場合は、このドキュメントがアップグレードの最新番号です。

次の表には、このドキュメントの変更点を一覧に表示しています。

表 1.        マニュアルの変更履歴

はじめに

Cisco Nexus 9000 シリーズ NX-OS モードスイッチのすべてのモジュールにはハードウェア機能の為の複数の Progurammable Logical Device（PLD）が含まれているので、すべてのモジュールでハードウェア機能を使用できます。シスコは Electronic Programmable Logic Device（EPLD）イメージ アップグレードを提供し、ハードウェア機能の強化や既知の問題の解決を行っています。PLD には、Electronic Programmable Logic Device（EPLD）、Field Programmable Gate Array（FPGA）、Complex Programmable Logic Device（CPLD）が含まれますが、ASIC は含まれません。このマニュアルでは、EPLD という用語で FPGA および CPLD も表します。

一部のモジュール機能に EPLD を装備すると、モジュール機能のアップグレードが必要になったときに、ハードウェアを交換せずにソフトウェア イメージをアップグレードするだけで済むという利点があります。

注：        ラインカードの EPLD イメージをアップグレードする場合、アップグレード中は少しの間モジュールの電源を落とす必要があるので、モジュールを通過するトラフィックは中断されます。システムは一度に 1 つのモジュールの EPLD アップグレードを実行するので、1 回のアップグレードで中断されるのは 1 つのモジュールを通過するトラフィックだけです。

シスコでは、各リリースで最新の EPLD イメージを提供しています。通常、これらのイメージは以前のリリースで提供されたものと同じですが、場合によっては、これらのイメージの一部が更新されることがあります。これらの EPLD イメージの更新は、特に指定しない限り、必須ではありません。EPLD イメージのアップグレードは、ネットワーク環境に影響を与えずにシステムおよびキックスタートイメージをアップグレードする Cisco In Service Software Upgrade（ISSU）プロセスとは無関係です。

EPLD イメージのアップグレードが使用可能になると、リリースノートで使用可能であることが告知され、https://software.cisco.com/download/navigator.html で EPLD イメージをダウンロードできるようになります。

EPLD をアップグレードするタイミング

新しい EPLD イメージが使用可能になったときに、ネットワーク環境でメンテナンス時期にある程度のトラフィック中断を受け入れる準備がある場合、アップグレードは常に推奨されます。そのようなトラフィック中断を許容できない場合は、適切な時期までアップグレードを延期することを検討してください。

注：        EPLD アップグレード操作は、中断を伴う操作です。この操作の実行は、予定されたメンテナンス時間に限定してください。システム ISSU のアップグレードは、中断を伴いません。

注：        ISSU システムのアップグレード中は、EPLD アップグレードを実行しないでください。

注：        EPLD バージョンには下位互換性があります。

スイッチ要件

Cisco Nexus 9000 シリーズスイッチが Cisco NX-OS オペレーションシステムを実行していること

コンソール、SSH、または Telnet を介してスイッチにアクセスできる必要があります (NX-OS モードで実行されているスイッチの設定に必要)。

Cisco Nexus 9000 シリーズ スイッチを操作するには、管理者権限が必要です。

NX-OS モードリリース 10.1(2) ～ 10.2(3) で利用可能な EPLD アップグレード

ソフトウェア ダウンロード ページからダウンロードできる各 EPLD イメージは、EPLD アップグレードのバンドルです。Cisco Nexus 9200、9300、9300-EX、9300-FX、および 9500 プラットフォームの最近更新された EPLD バージョンを確認するには、次の表を参照してください。

注：        イメージに対するすべての更新は、太字で示されています。1 つの列に複数のリリースが表示されている場合、その列にリストされている最初のリリースが太字になります。

注：        EPLD の 10.2(3) リリースは、Nexus 3K および Nexus 9000 シリーズスイッチのセキュアブートハードウェア改ざんの脆弱性に対処しています。セキュリティアドバイザリを参照してください。

パッチの適用方法の詳細については、対象の HW-PID（下の表を参照）のアドバイザリを確認してください。10.2(1)) リリース epld では、指定された順序でのアップグレードが必要です。

セキュリティアドバイザリ（cisco-sa-20190513-secureboot）で対処された脆弱性のある製品

表 2.        Nexus 9000 シリーズ スイッチ

シスコ セキュアブート ハードウェアにおける改ざんの脆弱性 - 修復手順

次のセクションでは、https://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20190513-secureboot にリストされている対象スイッチの EPLD バージョンの更新について詳しく説明します。

デュアルスーパーバイザを備えた Nexus 9000 モジュラシャーシ：

注：        特にこの脆弱性に対処するには、FPGA のゴールデンリージョンとプライマリリージョンの両方を更新する必要があります。 仕様により、プライマリとゴールデンの両方を同時に更新することは許可されていません（プログラミングエラーが発生しスイッチが起動しなくなる可能性を避けるため、プログラムできるのはリロードごとに 1 つのリージョンのみです）。

修正バージョンになった後は、FPGA のゴールデンリージョンをアップグレードしないでください。

1.     EPLD イメージをブートフラッシュにコピーします（例：n9000-epld.10.2.3.img を使用）。

2.     デュアルスーパーバイザを使用している場合は、「show module」を実行してスタンバイスーパーバイザを特定し、スタンバイの方からアップグレードを開始します。N9K では、スーパーバイザのみがこの脆弱性に対してアップグレードする必要があります。LC/FM/SC カードは影響を受けません。

3.     スタンバイスーパーバイザがスロット 28 であると仮定します。スタンバイスーパーバイザのプライマリ FPGA リージョンを更新します。

install epld bootflash:n9000-epld.10.2.3.img module 28

想定される結果：スイッチはスタンバイスーパーバイザのプライマリ EPLD を更新し、スタンバイ スーパーバイザ モジュールを自動的にリロードします。EPLD の更新が行われているときに、中断、電源の再投入、またはリロードを行わないでください。スタンバイが起動すると、スタンバイスーパーバイザとして再び機能します。「show version module 28 epld」では、引き続き古いバージョンが表示されます。

switch# show mod | grep SUP

27        0          Supervisor Module       N9K-SUP-A    active *

28        0          Supervisor Module       N9K-SUP-A     ha-standby

27        9.3(0.416)        1.0       SUP1

28        9.3(0.416)        0.3011 SUP2

switch# show version module 28 epld

EPLD                Device             Version

---------------------------------------

IO                     FPGA               0x27

スイッチはまだ更新されていないゴールデン FPGA から起動するため、この表示は想定内です。syslog で次のように確認できます。

%CARDCLIENT-5-MOD_BOOT_GOLDEN: Module 28 IOFPGA booted from Golden

4.     スタンバイスーパーバイザのゴールデン（バックアップとも呼ばれる）FPGA リージョンを更新します。

install epld bootflash:n9000-epld.10.2.3.img module 28 golden

Module 28 : IO FPGA [Programming ] : 100.00% ( 64 of 64 total sectors)

Module 28 EPLD upgrade is successful.

Module             Type    Upgrade-Result

------ ------------------ --------------

28        SUP    Success

想定される結果：スイッチはスタンバイスーパーバイザのゴールデン EPLD を更新し、スタンバイ スーパーバイザ モジュールを自動的にリロードします。EPLD の更新が行われているときに、中断、電源の再投入、またはリロードを行わないでください。スタンバイが起動すると、再び ha-standby スーパーバイザとして機能します。

完了後、「show version module 28 epld」をチェックすると、スタンバイスーパーバイザの修正バージョン以上の FPGA バージョンが表示されます。これで、スイッチのスタンバイスーパーバイザが修正済みバージョンになります。

 

switch# show version module 28 epld

EPLD Device                Version

---------------------------------------

IO FPGA                       0x30

アクティブなスーパーバイザについて、ステップ 3 と 4 を繰り返します。ステップ 3 の最後に、スロット 27 のスーパーバイザがリロードされるため、スタンバイスーパーバイザになります。アクティブなスーパーバイザは、スロット 28 のスーパーバイザになります。

（SUP 27 が最初にアクティブであることを考慮すると、ステップ 3 および 4 などの上記のアクティビティでは、コマンドは 28 ではなく 27 になります。）

以下のログは、アクティブなスーパーバイザに対して epld のアップグレードが発生したときに何が起こるかを示しています。

Module 27 : IO FPGA [Programming] : 100.00% ( 64 of 64 sectors)

Module 27 EPLD upgrade is successful.

Module             Type    Upgrade-Result

------ ------------------ --------------

27        SUP     Success 

EPLDs upgraded. Performing switchover.

スロット 27 のスーパーバイザが ha-standby になったら、スロット 27 でステップ 4 を完了させると、再起動して ha-standby になります。これで、両方のスーパーバイザに、FPGA の脆弱性修正バージョンが含まれることになります。

アップグレードの最後に、スイッチは両方の SUP のプライマリで起動する必要があります。ログは以下のとおりです。

switch# show logging log | grep -i fpga | grep -i 27

2019 Jul 10 07:55:04 switch %CARDCLIENT-5-MOD_BOOT_PRIMARY: Module 27 IOFPGA booted from Primary

switch# show logging log | grep -i fpga | grep -i 28

2019 Jul 10 07:58:01 switch %CARDCLIENT-5-MOD_BOOT_PRIMARY: Module 28 IOFPGA booted from Primary

シングルスーパーバイザを備えた Nexus 9000 モジュラシャーシ：

注：        特にこの脆弱性に対処するには、FPGA のゴールデンリージョンとプライマリリージョンの両方を更新する必要があります。 仕様により、プライマリとゴールデンの両方を同時に更新することは許可されていません（プログラミングエラーが発生しスイッチが起動しなくなる可能性を避けるため、プログラムできるのはリロードごとに 1 つのリージョンのみです）。

修正バージョンになった後は、FPGA のゴールデンリージョンをアップグレードしないでください。

1.     EPLD イメージをブートフラッシュにコピーします（例：n9000-epld.10.2.3.img を使用）。

2.     スーパーバイザがスロット 27 にあると仮定します。プライマリ FPGA リージョンを更新します。

install epld bootflash:n9000-epld.10.2.3.img module 27

想定される結果：スイッチはスーパーバイザのプライマリ EPLD を更新し、スイッチを自動的にリロードします。EPLD の更新が行われているときに、中断、電源の再投入、またはリロードを行わないでください。スーパーバイザが起動すると、「show version module 27 epld」では、引き続き古いバージョンが表示されます。

Switch#show version module 27 epld

-------------------------------------------------------------------

Name               InstanceNum                Version            Date

-------------------------------------------------------------------

IO FPGA                       0          0x27                20160111

BIOS version                   v08.35(08/31/2018)

Alternate BIOS version             v08.32(10/18/2016)

スイッチはまだ更新されていないゴールデン FPGA から起動するため、この表示は想定内です。syslog で次のように確認できます。

%CARDCLIENT-5-MOD_BOOT_GOLDEN: Module 27 IOFPGA booted from Golden

3.     このケースではスーパーバイザは 1 つしかないため、ゴールデン（バックアップとも呼ばれる）FPGA リージョンを更新します。

install epld bootflash:n9000-epld.10.2.3.img module 27 golden

Module 27 : IO FPGA [Programming ] : 100.00% ( 64 of 64 total sectors)

Module 27 EPLD upgrade is successful.

Module             Type    Upgrade-Result

------ ------------------ --------------

  27      SUP     Success

想定される結果：スイッチはスーパーバイザのゴールデン EPLD を更新し、スイッチを自動的にリロードします。EPLD の更新が行われているときに、中断、電源の再投入、またはリロードを行わないでください。

完了後、「show version module 27 epld」をチェックすると、スーパーバイザの修正バージョン以上の FPGA バージョンが表示されます。これで、スーパーバイザに、FPGA の脆弱性修正バージョンが含まれることになります。

 

SWITCH# show version module 27 epld

-------------------------------------------------------------------

Name               InstanceNum                Version            Date

-------------------------------------------------------------------

IO FPGA                       0          0x30    20190625

BIOS version                     v08.35(08/31/2018)

Alternate BIOS version             v08.32(10/18/2016)

アップグレードの最後に、スイッチは SUP のプライマリで起動する必要があります。ログは以下のとおりです。

switch# show logging log | grep -i fpga | grep -i 27

2019 Jul 10 07:55:04 switch %CARDCLIENT-5-MOD_BOOT_PRIMARY: Module 27 IOFPGA booted from Primary

 

重要：

修正バージョンになっている FPGA のゴールデンリージョンをアップグレードしようとすると、SUP のゴールデンリージョンを自動的にアップグレードすることはできず、次のプロンプトが表示されます。

 

switch# install epld bootflash:n9000-epld.10.2.3.img module all golden

Digital signature verification is successful                        

互換性チェック：                                                 

Module             Type    Upgradable      Impact     Reason        

------ ----------------- ---------- ---------- ------        

    22    FM       Yes      disruptive         Module Upgradable

    24    FM       Yes      disruptive         Module Upgradable

    27    SUP       No              none         Golden Not Upgradable

    28    SUP       No              none         Golden Not Upgradable

    29    SC      Yes      disruptive         Module Upgradable   

    30    SC       Yes      disruptive         Module Upgradable   

 

Retrieving EPLD versions.... Please wait.

Images will be upgraded according to following table:

Module Type    EPLD          Running-Version    New-Version   Upg-Required

------ ---- ------------- --------------- ----------- ------------

    22    FM IO   FPGA               0x19                0x19                  Yes    

    24    FM IO   FPGA               0x19                0x19                  Yes    

    29    SC IO   FPGA               0x17                0x20                  Yes    

    30    SC IO   FPGA               0x17                0x20                  Yes    

Module 27 (EPLD ver 0x29) Golden upgrade not supported                     

Module 28 (EPLD ver 0x30) Golden upgrade not supported                     

The above modules require upgrade.

Since both System Controller modules need an upgrade,a chassis reload will happen at the end of the upgrade.

Do you want to continue (y/n) ? [n] y

Nexus 9000 および Nexus 3000 TOR：

注：        特にこの脆弱性に対処するには、FPGA のゴールデンリージョンとプライマリリージョンの両方を更新する必要があります。 仕様により、プライマリとゴールデンの両方を同時に更新することは許可されていません（プログラミングエラーが発生しスイッチが起動しなくなる可能性を避けるため、プログラムできるのはリロードごとに 1 つのリージョンのみです）。

修正バージョンになった後は、FPGA のゴールデンリージョンをアップグレードしないでください。

1.     EPLD イメージをブートフラッシュにコピーします（例：n9000-epld.10.2.3.img を使用）。

2.     プライマリ FPGA リージョンを更新します。

install epld bootflash:n9000-epld.10.2.3.img module 1

想定される結果：スイッチは EPLD を更新し、自動的にリロードします。EPLD の更新が行われているときに、中断、電源の再投入、またはリロードを行わないでください。スイッチはゴールデン FPGA で起動するため、「show version module 1 epld」は IO の古い Fpga バージョンを表示します。これは予想どおりの結果です。

show version module 1 epld

-------------------------------------------------------------------

Name               InstanceNum                Version            Date

-------------------------------------------------------------------

IO FPGA                       0                      0x06                20180920

MI FPGA                       0                      0x01                20170609

BIOS version                     v01.14(06/15/2019)

Alternate BIOS version             v01.12(07/25/2018)

syslog で次のように確認できます。

%CARDCLIENT-5-MOD_BOOT_GOLDEN: Module 1 IOFPGA booted from Golden

%CARDCLIENT-2-FPGA_BOOT_GOLDEN: IOFPGA booted from Golden

3.     ゴールデン（バックアップとも呼ばれる）FPGA リージョンを更新します。

install epld bootflash:n9000-epld.10.2.3.img module 1 golden

想定される結果：スイッチは EPLD を更新し、自動的にリロードします。EPLD の更新が行われているときに、中断、電源の再投入、またはリロードを行わないでください。

完了後、「show version module 1 epld」をチェックすると、修正バージョン以上の FPGA バージョンが表示されます。

show version module 1 epld

-------------------------------------------------------------------

Name               InstanceNum                Version            Date

-------------------------------------------------------------------

IO FPGA                       0                      0x07                20180920

MI FPGA                       0                      0x01                20170609

BIOS version                     v01.14(06/15/2019)

Alternate BIOS version             v01.12(07/25/2018)

アップグレードが完了すると、スイッチはプライマリで起動します。以下のログが表示されます。

show logging log | grep -i fpga

2019 Jul 9 19:46:11 Deervalley4 %CARDCLIENT-2-FPGA_BOOT_PRIMARY: IOFPGA booted from Primary

2019 Jul 9 19:46:11 Deervalley4 %CARDCLIENT-2-FPGA_BOOT_PRIMARY: MIFPGA booted from Primary

2019 Jul 9 19:46:11 Deervalley4 %CARDCLIENT-5-MOD_BOOT_PRIMARY: Module 1 IOFPGA booted from Primary

2019 Jul 9 19:46:11 Deervalley4 %CARDCLIENT-5-MOD_BOOT_PRIMARY: Module 1 MIFPGA booted from Primary

注：        N3K-C36180YC-R および N3K-C3636C-R の場合、CPU FPGA に修正があるため、IO ではなく CPU FPGA を探してください。

表 3.        Cisco Nexus 9200、9300、9300-EX、および 9300-FX プラットフォームスイッチで利用可能な EPLD イメージ

表 4.        Cisco Nexus 9500 プラットフォームスイッチで使用可能な EPLD イメージ

表 5.        R ラインカード搭載の Cisco Nexus 9500 プラットフォームスイッチで使用可能な EPLD イメージ

EPLD イメージのアップグレードの可否に関する判断

EPLD イメージ番号によっては、アップグレードをスキップできます。

●      Cisco Nexus 9000 シリーズ スイッチに必要な EPLD アップグレードを判別するには、そのスイッチで show install impact epld bootflash: コマンドを使用し、n9000-epld.10.2.3 イメージを表示します。次の例では、MIFPGA および IOFPGA EPLD イメージをアップグレードする必要はありません。

switch# show install all impact epld n9000-epld.10.2.3.img

Retrieving EPLD versions.... Please wait.

Images will be upgraded according to following table:

Module Type   EPLD       Running-Version    New-Version    Upg-Required

------ ---- ------------- --------------- ----------- ------------

     1     LC   MI FPGA               0x0f          0x0f             No

     1     LC   IO FPGA               0x0d         0x0d            No

     1     LC   DB FPGA              0x0e         0x0e            No

    21    FM   IO FPGA               0x07         0x07            No

    27    SUP IO FPGA               0x15         0x15            No

    28    SUP IO FPGA               0x15         0x15            No

    29    SC   IO FPGA               0x20         0x20            No

    30    SC   IO FPGA               0x20         0x20            No

互換性チェック：

Module     Type      Upgradable        Impact      Reason

-------------------------------------------------

     1     LC        Yes      disruptive      Module    Upgradable

    21    SUP     Yes      disruptive      Module    Upgradable

    27    SUP     Yes      disruptive      Module    Upgradable

    28    SUP     Yes      disruptive      Module    Upgradable

    29    SC       Yes      disruptive      Module    Upgradable

    30    SC       Yes      disruptive      Module    Upgradable

ISSU 中のアップグレード

この機能には、中断を伴うシステム（NXOS）アップグレード中に EPLD イメージをアップグレードするオプションがあります。ISSU cli を使用して、ターゲット EPLD イメージを指定します。インストールのアップグレード前段階で EPLD イメージが検証され、実際の EPLD アップグレードは、システムをリロードする前に実行されます。システムがオンラインに戻ると、すべての EPLD および NXOS システム（BIOS を含む）が新しいバージョンにアップグレードされます。

ISSU cli を使用して EPLD イメージをアップグレードするには、install all nxos <nxos-image> epld <epld-image> コマンドを使用して、インストールする EPLD イメージを入力します。

ISSU の詳細については、『Cisco Nexus 9000 Series NX-OS Software Upgrade and Downgrade Guide』を参照してください。

EPLD アップグレードのステータスの表示

スイッチの EPLD のステータスを表示するには、show install epld status コマンドを使用します。

制限事項

EPLD をアップグレードする際は、次のガイドラインと観察事項が適用されます。

●      モジュールがオンラインでない場合、そのモジュールの EPLD イメージをアップグレードできません。

●      スイッチに 2 つのスーパーバイザがインストールされている場合（Cisco Nexus 9504、9508、および 9516 スイッチのみ）、次のコマンドを使用して、スタンバイだけをアップグレードすることも、すべてのモジュール（両方のスーパーバイザモジュールを含む）をアップグレードすることもできます。

◦    install epld bootflash: image module standby-supervisor-slot-number（スタンバイ スーパーバイザ モジュールのみをアップグレード）

注：        このコマンドを使用すると、アクティブおよびスタンバイ スーパーバイザ モジュールをスイッチオーバーしてから、もう片方のスーパーバイザをアップグレードできます。

◦    install epld bootflash: image module all（すべてのモジュールをアップグレード）

●      スイッチにインストールされているスーパーバイザが 1 つだけの場合、EPLD イメージのアップグレードまたはダウングレードには、中断を伴います。

関連資料

Cisco NX-OS 9000 シリーズ全体のマニュアルセットを参照してください。

リリース ノート

Cisco NX-OS 9000 シリーズ全体のリリースノートセットを参照してください。

マニュアルに関するフィードバック

このマニュアルに関する技術的なフィードバック、または誤りや記載もれなどお気づきの点がございましたら、nexus9k-docfeedback@cisco.com よりご連絡ください。ご協力をよろしくお願いいたします。

法的情報

Cisco および Cisco ロゴは、Cisco Systems, Inc. またはその関係会社の米国およびその他の国における登録商標または商標です。シスコの商標の一覧は、http://www.cisco.com/web/JP/trademark_statement.html でご確認いただけます。Third-party trademarks mentioned are the property of their respective owners. 「パートナー」という言葉が使用されていても、シスコと他社の間にパートナーシップ関係が存在することを意味するものではありません。（1110R）。

このマニュアルで使用している IP アドレスおよび電話番号は、実際のアドレスおよび電話番号を示すものではありません。マニュアルの中の例、コマンド出力、ネットワーク トポロジー図、およびその他の図は、説明のみを目的として使用されています。説明の中に実際の IP アドレスおよび電話番号が使用されていたとしても、それは意図的なものではなく、偶然の一致によるものです。

© 2022 Cisco Systems, Inc. All rights reserved.