アンインストールに関する注意事項と制約事項
これらの重要なガイドラインと制限事項は、アンインストールに適用されます。
パッチのアンインストールがサポートされていることを確認します
特定のパッチをアンインストールすると、次のような問題が Firepower アプライアンスで発生する可能性があります。
-
アンインストール後に設定変更を展開できない
-
オペレーティングシステムと Firepower ソフトウェアの間に互換性がなくなる
-
セキュリティ認定コンプライアンスが有効な状態(CC/UCAPL モード)でそのパッチが適用されていた場合、アプライアンスの再起動時に FSIC(ファイル システム整合性チェック)が失敗する
注意 |
セキュリティ認定準拠が有効な場合に FSIC が失敗すると、Firepower ソフトウェアは起動せず、リモート SSH アクセスが無効になり、ローカルコンソールを介してのみアプライアンスにアクセスできます。この問題が発生した場合は、Cisco TAC にお問い合わせください。 |
このような場合に、前のパッチに戻す必要があるときは、再イメージ化してからアップグレードすることをお勧めします。
次の表に、アンインストールしてはならない状況を示します。
プラットフォーム | アンインストール元 | アップグレード元が次の場合 |
---|---|---|
任意 |
6.3.0.5+ |
6.3.0 ~ 6.3.0.4 |
シェルを使用して先にデバイスからアンインストールする
FMC の展開では、先に管理対象デバイスからパッチをアンインストールします。FMC では管理対象デバイスよりも後のバージョンを実行することを推奨します。
デバイス パッチをアンインストールするには、エキスパート モードとも呼ばれる Linux シェルを使用する必要があります。これは、デバイスから「個別に」、かつ「ローカルに」アンインストールすることを意味します。つまり、次のようになります。
-
クラスタ化された、スタック構成の、またはハイ アベイラビリティ(HA)の Firepower デバイスから、あるいは FirePOWER Services デバイスのあるクラスタ化 ASA またはフェールオーバー ASA から、パッチを一括でアンインストールすることはできません。中断を最小限に抑えるアンインストール順序を計画するには、「HA/スケーラビリティ環境でのアンインストール順序」を参照してください。
-
FMC、ASDM、または FDM を使用してデバイスからパッチをアンインストールすることも、7000/8000 シリーズ デバイスのローカル Web インターフェイスを使用することもできません。
-
FMC のユーザ アカウントを使用して、いずれかの管理対象デバイスにログインしてデバイスからパッチをアンインストールすることはできません。Firepower アプライアンスでは独自のユーザ アカウントを維持しています。
-
デバイスの
admin
ユーザとして、または CLI 設定アクセス権を持つ別のローカル ユーザとして、デバイス シェルにアクセスできる必要があります。シェル アクセスを無効にした場合、デバイス パッチをアンインストールすることはできません。デバイスのロックダウンを元に戻すには、Cisco TAC にご連絡ください。
デバイスより後に FMC からアンインストールする
管理対象デバイスからアンインストールした後に、FMC からパッチをアンインストールします。アップグレードと同様に、ハイ アベイラビリティ FMC から一度に1つずつアンインストールする必要があります。「HA/スケーラビリティ環境でのアンインストール順序」を参照してください。
FMC パッチのアンインストールには FMC Web インターフェイスを使用することをお勧めします。管理者アクセス権が必要になります。Web インターフェイスを使用できない場合は、Linux シェルを、シェルの admin
ユーザまたはシェル アクセス権を持つ外部ユーザのどちらかとして 使用できます。シェル アクセスを無効にした場合は、FMC のロックダウンを元に戻すために Cisco TAC にご連絡ください。
NTP 同期の確認
アンインストールする前に、時刻の提供に使用している NTP サーバと Firepower アプライアンスが同期していることを確認します。同期されていないと、アンインストールが失敗する可能性があります。FMC 展開では、時刻のずれが 10 秒を超えている場合、[時刻同期化ステータス(Time Synchronization Status)] ヘルスモジュールからアラートが発行されますが、手動で確認する必要もあります。
時刻を確認するには、次の手順を実行します。
-
FMC:[システム(System)] > [設定(Configuration)] > [時刻(Time)] を選択します。
-
デバイス:show time CLI コマンドを使用します。
アプライアンス アクセス
Firepower デバイスは、(インターフェイス設定に応じて)アンインストール中、またはアンインストールが失敗した場合に、トラフィックを渡すことを停止できます。Firepower デバイスからパッチをアンインストールする前に、ユーザの位置からのトラフィックがデバイスの管理インターフェイスにアクセスするためにデバイス自体を通過する必要がないことを確認してください。Firepower Management Center 展開では、デバイスを経由せずに FMC 管理インターフェイスにアクセスできる必要もあります。
ASA FirePOWER デバイスでの ASA REST API の無効化
ASA FirePOWER パッチをアンインストールする前に、ASA REST API を無効にしていることを確認してください。無効でない場合、アンインストールが失敗する可能性があります。ASA CLI から:no rest api agent
。アンインストール後に再度有効にすることができます:rest-api agent
。
無応答のアンインストール
アンインストールしているアプライアンスとの間での変更の展開、またはアンインストールしているアプライアンスの手動での再起動やシャットダウンは行わないでください。進行中のアンインストールを再開しないでください。 アンインストール プロセスが停止しているように見える場合がありますが、これは想定内の動作です。アンインストールに失敗する、アプライアンスが応答しないなど、アンインストールで問題が発生した場合には、Cisco TAC にお問い合わせください。
アンインストールに失敗した場合、再イメージ化が必要になることがあります。再イメージ化を行うと、ほとんどの設定が工場出荷時の状態に戻ります。このため、再イメージ化の前にイベント データと設定データを外部の場所にバックアップしておくことを強くお勧めします。
トラフィック フロー、検査、およびデバイス動作
アンインストール時のトラフィック フローとインスペクションの中断は、アップグレード時に発生する中断と同じです。アップグレードは、保守期間中に行うか、中断による展開環境への影響が最も小さい時点で行うことを強くお勧めします。詳細については、トラフィック フロー、検査、およびデバイス動作を参照してください。