Threat Defense の復元
FTD を復元すると、ソフトウェアは、最後のメジャーアップグレードまたはメンテナンスアップグレードの直前の状態に戻ります。パッチ適用後に復元すると、パッチも必然的に削除されます。システムが復元スナップショットを保存できるように、デバイスをアップグレードするときに復元を有効にする必要があります。
FTD の復元について
元に戻る設定
次の設定が元に戻ります。
-
Snort バージョン。
-
デバイス固有の設定。
一般的なデバイス設定、ルーティング、インターフェース、インラインセット、DHCP、SNMPなど、
ページで設定するものすべて。 - デバイス固有の設定で使用されるオブジェクト。
アクセスリスト、AS パス、キーチェーン、インターフェイス、ネットワーク、ポート、ルートマップ、SLA モニターオブジェクトなどが含まれます。デバイスのアップグレード後にこれらのオブジェクトを編集した場合、システムは新しいオブジェクトを作成するか、元に戻されたデバイスが使用するオブジェクトのオーバーライドを設定します。これにより、他のデバイスは現在の設定に従ってトラフィックを処理し続けることができます。
復元に成功したら、復元したデバイスで使用されているオブジェクトを調べ、必要な調整を行うことをお勧めします。
元に戻されない設定
次の設定は元に戻りません。
-
複数のデバイスで使用できる共有ポリシー。たとえば、プラットフォーム設定やアクセス コントロール ポリシーなどです。
正常に元に戻されたデバイスは期限切れとしてマークされているため、設定を再展開する必要があります。
-
Firepower 4100/9300 の場合、Firepower Chassis Manager または FXOS CLI を使用して行ったインターフェイスの変更。
復元に成功した後にインターフェイスの変更を同期します。
-
Firepower 4100/9300 の場合、FXOS およびファームウェア。
推奨される FXOS と FTD の組み合わせを実行する必要がある場合は、完全な再イメージ化が必要になる場合があります。FTD の復元ガイドラインを参照してください。
FTD の復元ガイドライン
システム要件
FTD を復元するには、デバイスと FMC にバージョン 7.1 以降が必要です。たとえば、バージョン 7.1 の FMC はデバイスをバージョン 6.5 までさかのぼって管理でき、そのバージョン 7.1 の FMC を使用してデバイスを中間バージョン(6.6、6.7、7.0)までアップグレードできる場合であっても、デバイスをバージョン 7.1 にアップグレードするまで、復元はサポートされません。
以下では復元機能はサポートされていません。
-
パッチとホットフィックス
-
FTD コンテナインスタンス
-
FMC
高可用性またはクラスタ化デバイスの復元
FMC Web インターフェイスを使用して FTD を復元する場合、個々の高可用性ユニットまたはクラスタ化されたノードを選択することはできません。 システムは、それらを自動的に同時に復元します。つまり、復元中のトラフィックフローとインスペクションの中断は、すべてのデバイスがスタンドアロンであるかのように、インターフェイス設定に依存します。
完全または部分的にアップグレードされたグループで復元がサポートされていることに注意してください。部分的にアップグレードされたグループの場合、システムはアップグレードされたユニットとノードからのみアップグレードを削除します。元に戻しても高可用性やクラスタが壊れることはありませんが、グループを分解してその新しいスタンドアロンデバイスを復元することができます。
復元しても FXOS はダウングレードされない
Firepower 4100/9300 の場合、FTD のメジャーバージョンには特別に認定および推奨されている付随の FXOS バージョンがあります。FTD の以前のバージョンに戻った後、推奨されていないバージョンの FXOS(新しすぎる)を実行している可能性があります。
新しいバージョンの FXOS は旧バージョンの FTD と下位互換性がありますが、シスコでは推奨の組み合わせについて拡張テストを実施しています。FXOS を手動ではダウングレードできないため、このような状況下で推奨の組み合わせを稼働するには、完全な再イメージ化が必要になります。
復元を妨げるシナリオ
次のいずれかの状況で復元を試みると、システムはエラーを表示します。
シナリオ |
解決方法 |
---|---|
FMC とデバイス間の通信が中断されます。 |
FTD を復元するには FMC を使用する必要があります。デバイス CLI は使用できません。 |
次の理由により、スナップショットを復元することはできません。
|
なし。 アップグレード完了後に元に戻す必要が生じる可能性がある場合は、システム() を使用して FTD をアップグレードします。これは、[アップグレードの成功後に復元を有効にする(Enable revert after successful upgrade)] オプション()を設定する唯一の方法であり、Threat Defense のアップグレードウィザードを使用するという通常の推奨事項とは対照的です。 復元スナップショットは、FMC とデバイスに 30 日間保存され、その後自動的に削除され、復元できなくなります。ディスク容量を節約するためにどのアプライアンスからでもスナップショットを手動で削除できますが、復元の機能が失われます。 |
最後のアップグレードに失敗しました。 |
アップグレードをキャンセルして、デバイスをアップグレード前の状態に戻します。または、問題を修正して再試行してください。 復元は、アップグレードは成功したものの、アップグレードされたシステムが期待どおりに機能しない場合に使用します。復元は、失敗または進行中のアップグレードをキャンセルすることとは異なります。元に戻すこともキャンセルすることもできない場合は、イメージを再作成する必要があります。 |
アップグレード以降に、管理アクセスインターフェイスが変更されています。 |
元に戻して、もう一度お試しください。 |
クラスタのユニットが異なるバージョンからアップグレードされました。 |
すべて一致するまでユニットを削除し、クラスタメンバーを調整してから、小さなクラスタを復元します。新しくスタンドアロンユニットを復元することもできます。 |
クラスタでのアップグレード後に 1 つ以上のユニットがクラスタに追加されました。 |
新しいユニットを削除し、クラスタメンバーを調整してから、小さなクラスタを復元します。新しくスタンドアロンユニットを復元することもできます。 |
クラスタで FMC と FXOS が異なる数のクラスタユニットを識別しています。 |
クラスタメンバーを調整して再試行しますが、すべてのユニットを復元することはできない場合があります。 |
FMC を使用して FTD を復元する
FTD を復元するには FMC を使用する必要があります。デバイス CLI は使用できません。
Threat Defense の履歴:
-
7.1:初期サポート。
始める前に
-
復元がサポートされていることを確認してください。ガイドラインを読んで理解してください。
-
安全な外部の場所にバックアップします。復元に失敗した場合、再イメージ化が必要になることがあります。再イメージ化を行うと、ほとんどの設定が工場出荷時の状態に戻ります。
手順
ステップ 1 |
を選択します。 |
ステップ 2 |
復元するデバイスの横にある その他() をクリックして、[アップグレードの復元(Revert Upgrade)] を選択します。 |
ステップ 3 |
復元して再起動することを確認します。 |
ステップ 4 |
復元の進行状況を監視します。 高可用性/スケーラビリティ展開では、最初のユニットがオンラインに戻ると、トラフィックフローとインスペクションが再開されます。数分間にわたり進展がない場合、または復元が失敗したことを示している場合は、Cisco TAC にお問い合わせください。 |
ステップ 5 |
復元が成功したことを確認します。 復元が完了したら、 を選択し、復元したデバイスのソフトウェアバージョンが正しいことを確認します。 |
ステップ 6 |
(Firepower 4100/9300)Firepower Chassis Manager または FXOS CLI を使用して、FTD 論理デバイスに加えたインターフェイスの変更を同期します。 FMC で を選択し、デバイスを編集して [同期(Sync)] をクリックします。 |
ステップ 7 |
その他に必要となる復元後の構成変更を完了します。 たとえば、デバイスのアップグレード後にデバイス固有の設定で使用されるオブジェクトを編集した場合、システムは新しいオブジェクトを作成するか、復元されたデバイスが使用するオブジェクトのオーバーライドを設定します。復元したデバイスで使用されるオブジェクトを調べ、必要な調整を行うことをお勧めします。 |
ステップ 8 |
復元したデバイスに構成を再度展開します。 正常に復元されたデバイスは期限切れとしてマークされます。デバイスは古いバージョンを実行することになるため、展開が成功した後でも、新しい構成がサポートされない場合があります。 |