고가용성으로 FMC 업그레이드

소개

이 문서에서는 HA(High Availability)에서 FMC(Secure Firewall Management Center) 환경을 업그레이드하는 단계를 설명합니다.

사전 요구 사항

요구 사항

Cisco에서는 다음 주제에 대해 숙지할 것을 권장합니다.

• 고가용성 개념
• 보안 FMC 컨피그레이션

사용되는 구성 요소

이 문서의 정보는 가상 Secure FMC, 버전 7.1.0을 기반으로 합니다.

이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.

배경 정보

업그레이드는 한 번에 하나의 피어여야 합니다.

먼저 피어 간의 동기화를 일시 중지합니다.

그런 다음 먼저 Standby에서 업그레이드한 다음 Active FMC에서 업그레이드해야 합니다.

업그레이드 전

1. 업그레이드 경로를 계획하십시오. FMC 구축에서는 일반적으로 FMC를 업그레이드한 다음 관리되는 디바이스를 업그레이드합니다. 방금 수행한 업그레이드와 다음 업그레이드를 항상 확인합니다.

2. 모든 업그레이드 지침을 읽고 컨피그레이션 변경 사항을 계획합니다.
3. 대역폭을 확인합니다. 관리 네트워크에 대규모 데이터 전송을 수행할 수 있는 대역폭이 있는지 확인합니다.

4. 유지 관리 기간을 예약합니다.
5. 업그레이드 전후에 컨피그레이션을 백업합니다. System(시스템) > Back up/Restore(백업/복원) > Domain Management(Firepower 관리) 백업. 로컬 시스템에 백업을 다운로드합니다.

6. 가상 호스팅 업그레이드 이는 이전 버전의 VMware를 실행 중인 경우 필요합니다.
7. 컨피그레이션을 확인합니다.
8. NTP 동기화를 확인합니다.
   FMC: System > Configuration > Time을 선택합니다.
   디바이스: show time CLI 명령을 사용합니다.

9. 디스크 공간을 확인합니다.
10. 컨피그레이션 구축 FMC 고가용성 구축에서는 활성 피어에서만 구축하면 됩니다.
11. 실행 중인 작업을 확인합니다. 보류 중인 구축이 없는지 확인합니다.

업그레이드 절차

1단계. 동기화 일시 중지

액티브 유닛에서 FMC의 High Availability 탭으로 이동합니다.

System(시스템) > Integration(통합) > High Availability(고가용성)

동기화를 일시 중지합니다. 시스템 및 통합 선택

동기화를 일시 중지합니다. 고가용성 선택

동기화 일시 중지를 선택합니다.

동기화 일시 중지

동기화가 일시 중지될 때까지 기다립니다. 완료 시 사용자가 상태를 일시 중지해야 합니다.
동기화 상태는 사용자별로 일시 중지되어야 합니다.

2단계. 업그레이드 패키지 업로드

스탠바이 유닛에 로그인하고 업그레이드 패키지를 업로드합니다.

System(시스템) > Updates(업데이트) > Upload Update(업데이트 업로드)

업그레이드 패키지 업로드

업그레이드할 버전의 이전에 다운로드한 패키지를 찾습니다.

업그레이드 파일 선택

3단계. 준비도 검사

업그레이드할 어플라이언스에 대해 준비 검사를 실행합니다.

적절한 업그레이드 패키지 옆에 있는 설치 아이콘을 클릭합니다.

준비 검사를 위한 업그레이드 패키지 설치

확인할 어플라이언스를 선택하고 Check Readiness(준비 상태 확인)를 클릭합니다.

Check Readiness(준비 상태 확인)를 선택합니다.

진행 상황은 메시지 센터에서 확인할 수 있습니다.

메시지 > 작업 > 실행

준비도 검사 진행 중

완료되면 Readiness Check Results(준비 상태 점검 결과)에서 상태를 확인할 수 있습니다.

성공하면 패키지 설치를 계속할 수 있습니다.

4단계. 업그레이드 패키지 설치

업그레이드할 어플라이언스를 선택합니다. Install(설치)을 클릭합니다.

업그레이드 패키지 설치

스플릿 브레인(split brain)에 대해 경고하는 경우 OK(확인)를 클릭합니다.

스플릿 브레인 경고

진행률은 메시지 > 작업에서 확인할 수 있습니다.

설치 모니터링

CLI 액세스 권한이 있는 경우 업그레이드 폴더 /var/log/sf에서 진행률을 확인할 수 있습니다. expert 모드로 이동하여 루트 액세스 권한을 입력합니다.

> expert
admin@firepower:~$ sudo su
Password: 
root@firepower:/Volume/home/admin# cd /var/log/sf/

root@firepower:/var/log/sf# ls
Cisco_Secure_FW_Mgmt_Center_Upgrade-7.2.4 

root@firepower:/var/log/sf/Cisco_Secure_FW_Mgmt_Center_Upgrade-7.2.4# ls
000_start  AQ_UUID  DBCheck.log  exception.log  flags.conf  main_upgrade_script.log  status.log  status.log.202307180405  upgrade_readiness  upgrade_status.json  upgrade_status.log  upgrade_version_build

root@firepower:/var/log/sf/Cisco_Secure_FW_Mgmt_Center_Upgrade-7.2.4# tail -f status.log 

업그레이드가 완료되면 FMC가 재부팅됩니다.

ui:[100%] [1 mins to go for reboot]Running script 999_finish/999_zzz_complete_upgrade_message.sh...
ui:[100%] [1 mins to go for reboot] Upgrade complete
ui:[100%] [1 mins to go for reboot] The system will now reboot.
ui:System will now reboot.

Broadcast message from root@firepower (Tue Jul 18 05:08:57 2023):

System will reboot in 5 seconds due to system upgrade.

Broadcast message from root@firepower (Tue Jul 18 05:09:02 2023):

System will reboot now due to system upgrade.

ui:[100%] [1 mins to go for reboot] Installation completed successfully.
ui:Upgrade has completed.
state:finished

Broadcast message from root@firepower (Tue Jul 18 05:09:25 2023):

The system is going down for reboot NOW!

재부팅 후 물리적 FMC는 FMC에 올바른 모델을 표시해야 합니다.

GUI > 도움말 > 정보

FMC의 모델 및 버전 정보

통합 > 고가용성

대기 FMC만 업그레이드된 경우 HA 요약

CLI를 통해 EULA를 수락한 후 버전을 확인할 수 있습니다.

Copyright 2004-2023, Cisco and/or its affiliates. All rights reserved.
Cisco is a registered trademark of Cisco Systems, Inc.
All other trademarks are property of their respective owners.

Cisco Firepower Extensible Operating System (FX-OS) v2.12.0 (build 499)
Cisco Secure Firewall Management Center for VMware v7.2.4 (build 169)

>
> show version
-------------------[ firepower ]--------------------
Model                     : Secure Firewall Management Center for VMware (66) Version 7.2.4 (Build 169)
UUID                      : 1c71ae24-1e60-11ed-8459-9758e19f1a24
Rules update version      : 2023-01-09-001-vrt
LSP version               : lsp-rel-20220511-1540
VDB version               : 353
----------------------------------------------------

5단계. 활성 피어 업그레이드

액티브 유닛에서 2~4단계를 반복합니다.

1. 업그레이드 패키지를 업로드합니다.

2. 준비도 점검.

3. 업그레이드 패키지를 설치합니다.

6단계. 원하는 FMC를 액티브 상태로 설정합니다.

두 FMC 모두에서 업그레이드가 완료된 후 Active(활성) 유닛으로 만들 FMC에 로그인하고 Make Me Active(내가 활성으로 설정) 옵션을 선택합니다.


Integration(통합) > High Availability(고가용성) > Make Me Active(활성 상태로 설정)


원하는 FMC를 액티브 상태로 설정합니다.


프로세스에 대한 경고 및 대기 피어에서 수행된 모든 컨피그레이션을 덮어쓰려면 YES를 선택합니다.

스탠바이 피어의 액티브 덮어쓰기 구성에 대한 경고

확인을 선택합니다.

스플릿 브레인 해결

동기화가 다시 시작되고 다른 FMC가 대기 모드로 전환될 때까지 기다립니다.

FMC 동기화

FMC 액티브 유닛에 보류 중인 변경 사항을 구축하여 업그레이드 프로세스를 완료합니다.

검증

두 FMC가 동일한 버전이고 동기화가 완료되면 HA Summary(HA 요약) 탭은 다음과 같이 표시되어야 합니다.
통합 > 고가용성

FMC에서 업그레이드 검증