구축: Firepower 1010

업그레이드 시작 버전: 버전 6.4.0~6.6.x

직접 업그레이드: 버전 6.7.0 이상

Firepower 1010의 경우, 3968~4047 범위의 VLAN ID로 스위치 포트를 설정했다면 버전 6.7.0 이상으로의 FTD 업그레이드가 실패합니다. 이러한 ID는 내부 전용으로 사용됩니다.

구축: FMCv

업그레이드 대상: 버전 6.2.3~6.5.0.x

직접 업그레이드: 버전 6.6.0 이상

이제 모든 FMCv 구현에 동일한 RAM 요구 사항이 적용됩니다. 32GB 권장, 28GB 필수 (FMCv 300의 경우 64GB) 가상 어플라이언스에 28GB 미만을 할당하면 버전 6.6.0 이상으로의 업그레이드가 실패합니다. 업그레이드 후에는 메모리 할당량을 줄이면 상태 모니터에 경고가 표시됩니다.

이러한 새로운 메모리 요구 사항은 모든 가상 환경에서 균일한 요구 사항을 적용하고 성능을 개선하며 새로운 기능을 활용할 수 있도록 합니다. 기본 설정을 사용하는 것이 좋습니다. 그러나 성능을 개선하려는 경우 가용 리소스에 따라 가상 어플라이언스의 메모리와 CPU 수를 늘릴 수 있습니다. FMCv 메모리 요구 사항에 대한 자세한 내용은 Cisco Firepower Management Center Virtual 시작 가이드를 참조하십시오.

참고	버전 6.6.0 릴리스부터는 클라우드 기반 FMCv 구축(AWS, Azure)의 메모리 부족 인스턴스 유형이 완전히 사용되지 않습니다. 이전 Firepower 버전에서도 해당 인스턴스를 사용하여 새 FMCv 인스턴스를 생성할 수 없습니다. 기존 인스턴스는 계속 실행할 수 있습니다.

이 테이블에는 메모리 부족 FMCv 구축의 업그레이드 전 요구 사항이 간략히 나와 있습니다.

구축: FMC

업그레이드 대상: 버전 6.2.3~6.5.0.x

직접 업그레이드: 버전 6.6.0 이상

버전 6.6.0에서는 연결 및 보안 인텔리전스 이벤트에 새 데이터 저장소를 사용합니다.

업그레이드가 완료되고 FMC가 재부팅되면 기록 연결 및 보안 인텔리전스 이벤트가 백그라운드에서 마이그레이션되고 리소스가 제한됩니다. FMC 모델, 시스템 로드 및 저장한 이벤트 수에 따라 몇 시간에서 최대 하루가 걸릴 수 있습니다.

기록 이벤트는 최신 이벤트부터 기간별로 마이그레이션됩니다. 마이그레이션되지 않은 이벤트는 쿼리 결과 또는 대시보드에 나타나지 않습니다. 예를 들어, 업그레이드 이후 이벤트로 인해 마이그레이션이 완료되기 전에 연결 이벤트 데이터베이스 제한에 도달하면 가장 오래된 기록 이벤트는 마이그레이션되지 않습니다.

팁	메뉴 모음에서 시스템 상태 아이콘을 클릭하여 Message Center에서 이벤트 마이그레이션 진행 상황을 모니터링하십시오.

구축: Firepower 1000 series

업그레이드 대상: 버전 6.4.0.x

직접 업그레이드: 버전 6.5.0 이상

버전 6.5.0에서 Firepower 1000/2100 및 Firepower 4100/9300 Series 디바이스에 FXOS CLI '보안 기반 초기화' 사용이 가능합니다.

Firepower 1000 Series 디바이스에서 이 기능이 제대로 작동하려면 버전 6.5.0 이상으로 업그레이드한 후 디바이스의 전원을 껐다가 다시 켜야 합니다. 자동 재부팅으로는 충분하지 않습니다. 다른 지원되는 디바이스에서는 전원 껐다 다시 켜기가 필요하지 않습니다.

구축: FTD

업그레이드 대상: 버전 6.2.3~6.4.0.x

직접 업그레이드: 버전 6.5.0 한정

CSCvq34340을 완화하기 위해 FTD 디바이스를 버전 6.4.0.7 이상 또는 버전 6.5.0.2 이상으로 패치하면 이그레스 최적화 처리가 해제됩니다. 이는 이그레스 최적화 기능의 활성화 여부에 관계없이 이루어집니다.

버전 6.5.0으로 업그레이드:

• 버전 6.2.3.x부터: 이그레스 최적화를 활성화하고 켭니다.

• 버전 6.3.0.x부터: 이그레스 최적화를 활성화하고 켭니다.

• 버전 6.4.0.x부터: 현재 설정을 따릅니다. 그러나 버전 6.4.0.x 패치에서 이그레스 최적화를 해제했는데도 기능이 계속 활성화되어 있는 경우, 버전 6.5.0으로 업그레이드하면 다시 설정됩니다.

참고	버전 6.5.0.2 이상으로 패치하거나 버전 6.6.0으로 업그레이드하는 것이 좋습니다. 버전 6.5.0 또는 6.5.0.1을 계속 사용하는 경우, FTD CLI: no asp inspect-dp egress-optimization 에서 이그레스 최적화를 수동으로 비활성화해야 합니다.

이 문제는 이그레스 최적화가 정상적으로 작동하는 버전 6.6.0에서 해결되었습니다. 자세한 내용은 소프트웨어 권고: 이그레스 최적화 기능으로 발생하는 9344 블록 크기 고갈로 인한 FTD 트래픽 중단을 참조하십시오.

구축: 모두

업그레이드 대상: 버전 6.2.3~6.4.0.x

직접 업그레이드: 버전 6.5.0 이상

Cisco Talos Intelligence Group(Talos) 에서는 URL을 분류하고 필터링하기 위해 새로운 카테고리와 이름이 변경된 평판을 도입했습니다.카테고리 변경에 대한 자세한 목록은 Cisco Firepower 릴리스 노트, 버전 6.5.0을 참조하십시오. 새 URL 카테고리에 대한 설명은 Talos Intelligence 카테고리 사이트를 참조하십시오.

분류되지 않고 평판 없는 URL 개념은 새로운 것이지만, 규칙 구성 옵션은 동일합니다.

• 분류되지 않은 URL의 평판은 의심스러움, 보통, 양호, 신뢰가 있습니다.

  분류되지 않은 URL을 필터링할 수 있지만 평판에 따라 추가 제한할 수 없습니다. 이러한 규칙은 평판에 관계없이 분류되지 않은 모든 URL을 매칭합니다.

  카테고리가 없는 신뢰할 수 없는 규칙 등은 존재하지 않습니다. 그렇지 않으면 신뢰할 수 없는 평판의 분류되지 않은 URL은 자동으로 새 악성 사이트 위협 카테고리로 할당됩니다.

• 평판이 없는 URL은 모든 카테고리에 속할 수 있습니다.

  평판이 없는 URL은 필터링할 수 없습니다. 규칙 편집기에서는 '평판 없음'에 대한 옵션이 없습니다. 그러나 평판이 없는 URL을 포함하는 모든 평판을 가진 URL을 필터링할 수 있습니다. 이러한 URL은 카테고리별로 제한할 수도 있습니다. 모든/모든 규칙에 해당하는 유틸리티는 없습니다.

다음 표는 업그레이드 변경 사항을 요약해 나타냅니다. 영향을 최소화할 수 있도록 설계되었으며 대부분의 고객은 업그레이드 후 구축을 차단하지 않지만, 이 릴리스 노트 및 현재 URL 필터링 구성을 검토할 것을 강력하게 권장합니다. 신중한 계획 및 준비는 실수를 방지하며 업그레이드 사후 문제 해결에 소요되는 시간을 줄이는 데 도움이 될 수 있습니다.

구축: FTD를 사용하는 Firepower 1010

영향을 받는 버전: 버전 6.4.0~6.4.0.5

관련 버그: CSCvq81354

FTD 버전 6.4.0~6.4.0.5를 실행하는 Firepower 1010 디바이스에서 EtherChannel을 구성하지 않는 것을 강력하게 권장합니다. (이 모델에서는 버전 6.4.0.1 및 6.4.0.2를 지원하지 않습니다.)

내부 트래픽 해시 문제로 Firepower 1010 디바이스의 일부 EtherChannel은 이그레스 트래픽을 블랙홀할 수 있습니다. 해시는 소스/대상 IP 주소를 기반으로 하므로 지정된 소스/대상 IP 쌍과 동작이 동일합니다. 즉 일부 트래픽은 둘 다에서 작동하며, 일부 트래픽은 둘 다에서 실패합니다.

이 문제는 버전 6.4.0.6 및 버전 6.5.0에서 해결되었습니다.

구축: FTD를 사용하는 Firepower 4100/9300

업그레이드 대상: 버전 6.3.0~6.4.0.x

직접 업그레이드: 버전 6.3.0.1~버전 6.5.0

컨테이너 인스턴스로 구성된 FTD 디바이스가 사전 확인 단계에서 디스크 공간 부족 경고를 표시하며 실패할 수 있습니다. 주요 업그레이드 중 가장 자주 발생하며 패치 중에도 발생할 수 있습니다.

이 오류가 발생하면 더 많은 디스크 공간을 확보하십시오. 그래도 해결되지 않는 경우 Cisco TAC에 문의하십시오.

구축: 7000/8000 series, ASA FirePOWER, NGIPSv

관련 버그: CSCvp42398

업그레이드 대상: 버전 6.2.3~6.3.0.x

직접 업그레이드: 버전 6.4.0만

다음과 같은 경우 NGIPS 장치를 버전 6.4.0으로 업그레이드할 수 없습니다.

• 이전에 이 장치에서 실행되던 버전이 6.2.3.12입니다.

• 버전 6.2.3.12 패치를 제거하거나 버전 6.3.0.x로 업그레이드했습니다.

  여기에는 버전 6.2.3.12 패치를 제거한 다음 버전 6.3.0.x로 업그레이드된 시나리오도 포함됩니다.

현재 상황이 이러한 경우 Cisco TAC에 문의하십시오.

구축: Firepower 2100 Series, Firepower 4100/9300 섀시

업그레이드 대상: 버전 6.1.0~6.3.x

직접 업그레이드: 버전 6.4.0 이상

구축: FMC, 7000/8000 series, NGIPSv

업그레이드 대상: 버전 6.1.0~6.2.3.x

직접 업그레이드: 버전 6.3 이상

일부 플랫폼에서는 버전 6.3.0부터 업그레이드, 패치, 핫픽스 및 설치 패키지용 명명 체계(즉 이름의 앞부분)이 변경되었습니다.

참고	이 변경으로 기존 물리적 어플라이언스인 DC750, 1500, 2000, 3500 및 4000과 7000/8000 Series 디바이스 및 AMP 모델의 이미지 재설치에 오류가 발생합니다. 현재 버전 5.x를 실행하고 있고 해당 어플라이언스 중 하나에 버전 6.3.0 또는 6.4.0을 새롭게 설치해야 하는 경우 설치 패키지를 Cisco 지원 및 다운로드 사이트에서 다운로드한 후 "기존" 이름으로 변경합니다. 이러한 어플라이언스는 버전 6.5 이상으로 이미지 재설치할 수 없습니다.

구축: 물리적 FMC, 7000/8000 Series 디바이스

재이미지 대상: 버전 6.0 이상

직접 업그레이드: 버전 6.3 이상

최근 설치된 버전 6.3 이상에서는 보안상의 이유로 이제 자동으로 대부분의 어플라이언스에서 LOM(Lights-Out Management) 설정을 삭제합니다. 일부 구형 FMC 모델에서는 관리 네트워크 설정과 함께 LOM 설정을 유지하는 옵션이 있습니다.

버전 6.3 이상으로 이미지 재설치 중 네트워크 설정을 삭제하는 경우 초기 구성을 수행하기 위해 반드시 어플라이언스에 물리적으로 액세스할 수 있는지 확인해야 합니다. LOM을 사용할 수 없습니다. 초기 구성을 수행한 후 LOM 및 LOM 사용자를 다시 활성화할 수 있습니다.

구축: FMC, 7000/8000 Series 디바이스, NGIPSv

업그레이드 대상: 버전 6.1.0~6.1.0.6, 버전 6.2.0~6.2.0.6, 버전 6.2.1, 버전 6.2.2~6.2.2.4, 버전 6.2.3~6.2.3.4

직접 업그레이드: 버전 6.3.0 이상

목록의 Firepower 버전 중 하나에서 업그레이드할 때 목록의 모델에 대한 준비도 확인을 실행할 수 없습니다. 이는 준비도 확인 프로세스가 새 업그레이드 패키지와 호환되지 않아 발생하는 문제입니다.

구축: Firepower Threat Defense Remote Access VPN용으로 구성

업그레이드 대상: 버전 6.2.x

직접 업그레이드: 버전 6.3 이상

버전 6.3은 숨겨진 옵션 sysopt connection permit-vpn 의 기본 설정을 변경합니다. 업그레이드하면 Remote Access VPN이 트래픽 전달을 중지할 수 있습니다. 이 경우 다음 기법 중 하나를 사용합니다.

• sysopt connection permit-vpn 명령을 구성하는 FlexConfig 개체를 생성합니다. 이 명령의 새 기본값은 no sysopt connection permit-vpn 입니다.

  이 방법은 외부 사용자가 원격 액세스 VPN 주소 풀에서 IP 주소를 스푸핑할 수 없기 때문에 VPN에서 트래픽을 더 안전하게 허용할 수 있습니다. 하지만 VPN 트래픽이 검사되지 않는다는 단점이 있습니다. 즉, 침입 및 파일 보호, URL 필터링 또는 기타 고급 기능이 트래픽에 적용되지 않습니다.

• 원격 액세스 VPN 주소 풀에서 연결을 허용하는 액세스 제어 규칙을 생성합니다.

  이 방법을 사용하는 경우 VPN 트래픽이 검사되며, 연결에 고급 서비스를 적용할 수 있습니다. 하지만 외부 사용자가 IP 주소를 스푸핑하여 내부 네트워크에 액세스할 가능성이 있다는 단점이 있습니다.

구축: Firepower 2100 Series, Firepower 4100/9300 섀시

업그레이드 대상: 버전 6.1.0~6.2.3.x

직접 업그레이드: 버전 6.3.0 한정

업그레이드 프로세스가 사용 가능한 디바이스에서 자동으로 TLS/SSL 하드웨어 가속(TLS 암호화 가속이라고도 함)을 활성화합니다. 버전 6.2.3에서 도입되었을 때 이 기능은 Firepower 4100/9300 섀시에서 기본적으로 비활성화되었고, Firepower 2100 Series 디바이스에서 사용할 수 없었습니다.

트래픽을 암호 해독하지 않는 매니지드 디바이스에서 TLS/SSL 하드웨어 가속를 사용하면 성능에 영향을 줄 수 있습니다. 버전 6.3.0.x의 경우 트래픽의 암호 해독을 하지 않는 디바이스에서는 이 기능을 비활성화하는 것이 좋습니다.

비활성화하려면 다음 CLI 명령을 사용합니다.

시스템 지원 SSL-HW-Offload 비활성화

구축: Firepower Management Center, ASA FirePOWER(로컬로 관리)

업그레이드 대상: 버전 6.1.0~6.2.3.x

직접 업그레이드: 버전 6.3.0-83

구축: Firepower Management Center

업그레이드 대상: 버전 6.1~6.2.3.x

직접 업그레이드: 버전 6.3 이상

버전 6.3에서 보안 인텔리전스 구성이 애플리케이션 탐지 및 식별을 활성화합니다. 현재 배포에서 검색을 비활성화하면 업그레이드 프로세스에서 이 기능을 다시 활성화할 수 있습니다. 필요하지 않을 경우 (IPS 전용 구축 등) 검색을 비활성화하면 성능을 향상시킬 수 있습니다.

검색을 사용하지 않도록 설정하려면 다음을 수행해야 합니다.

• 네트워크 검색 정책의 모든 규칙을 삭제합니다.

• 영역, IP 주소, VLAN 태그, 포트의 액세스 제어를 수행하는 단순한 네트워크 기반 조건만 사용합니다. 모든 유형의 애플리케이션, 사용자, URL 또는 지오로케이션 제어를 수행하지 마십시오.

• (신규) 기본 전역 목록을 포함해 액세스 제어 정책의 보안 인텔리전스 설정에서 모든 화이트리스트와 블랙리스트를 삭제하면 네트워크 및 URL 기반 보안 인텔리전스를 비활성화합니다.

• (신규) DNS 규칙에 대해 DNS 및 전역 블랙리스트에 대한 기본 전역 화이트리스트를 포함해 DNS 정책과 관련된 모든 규칙을 삭제 또는 비활성화하여 DNS 기반 보안 인텔리전스를 비활성화합니다.

구축: 모두

업그레이드 대상: VDP 299 이상을 사용하는 버전 6.1.0~6.2.3.x

직접 업그레이드: 버전 6.3.0 이상

취약성 데이터베이스(VDB) 299 이상을 사용하는 동안 업그레이드하는 경우 업그레이드 프로세스 중 발생하는 오류로 인해 CIP 탐지 사후 업그레이드를 사용할 수 없습니다. 여기에는 2018년 6월부터 가장 최신 릴리스를 비롯해 현재까지 릴리스된 모든 VDB가 포함됩니다.

업그레이드 후 취약성 데이터베이스(VDB) 업데이트가 항상 권장되지만, 이 경우에는 특히 중요합니다.

이 문제에 영향을 받는지 확인하려면 CIP 기반 애플리케이션 조건을 사용하는 액세스 제어 규칙으로 구성을 시도합니다. 규칙 편집기에서 CIP 애플리케이션을 찾을 수 없는 경우 VDB를 수동으로 업데이트합니다.

구축: 모두

업그레이드 대상: 버전 6.1~6.2.3.x

직접 업그레이드: 버전 6.3.0 이상

침입 변수 집합의 네트워크 변수의 경우 사용자가 제외하는 모든 IP 주소는 사용자가 포함한 IP 주소의 하위 집합이어야 합니다. 이 표는 유효한 구성 및 유효하지 않은 구성을 나타냅니다.

버전 6.3.0 이전에는 이런 유형의 유효하지 않은 구성이 있는 네트워크 변수도 문제 없이 저장할 수 있었습니다. 이제 이러한 구성을 구축하려고 하면 변수 집합에 유효하지 않은 제외된 값이 있습니다 오류가 발생하며 차단됩니다.

이 경우 잘못 구성된 변수 집합을 식별해 편집하고 다시 구축합니다. 변수 집합에서 참조하는 네트워크 개체나 그룹을 편집해야 할 수 있습니다.

구축: FTD를 사용하는 Firepower 4100/9300

업그레이드 대상: FXOS 2.0.1, 2.1.1 또는 2.3.1의 버전 6.1.x

직접 업그레이드: FXOS 2.4.1의 버전 6.3.0

Firepower Management Center가 버전 6.2.3 이상을 실행 중인 경우 업그레이드하기 전 관리되는 디바이스에 Firepower 업그레이드 패키지를 푸시(복사)하도록 강력하게 권장합니다. 따라서 업그레이드 유지 보수 기간을 줄일 수 있습니다.

FTD를 사용하는 Firepower 4100/9300의 경우 모범 사례는 필수 컴패니언 FXOS 업그레이드를 시작하기 전 푸시하는 것입니다. 버전 6.1에서 버전 6.3으로 직접 업그레이드하는 경우 이 푸시가 필요합니다. FXOS를 업그레이드하기 전에 반드시 푸시해야 합니다.

이는 Firepower 6.1이 실행 중인 상태에서 FXOS를 버전 2.4.1로 업그레이드하면 디바이스 관리 포트가 플랩되어 디바이스와 FMC 간 간헐적인 통신 오류가 발생하기 때문입니다. 'sftunnel daemon exited' 경고가 표시될 수 있으며 대규모 업그레이드 패키지 푸시 등 지속적인 통신 관련 작업에 오류가 발생할 수 있습니다.

FTD를 사용하는 Firepower 4100/9300을 업그레이드하려면 항상 다음 순서를 따르십시오.

1. FMC를 대상 버전으로 업그레이드합니다.

2. Cisco 지원 및 다운로드 사이트에서 디바이스 업그레이드 패키지를 확보하여 FMC에 업로드합니다.

3. FMC를 사용하여 업그레이드 패키지를 디바이스로 푸시합니다.

4. 푸시가 완료되면 FXOS를 대상 버전으로 업그레이드합니다.

5. 이어서 FMC를 사용하여 디바이스의 Firepower 소프트웨어를 업그레이드합니다.

   Firepower 소프트웨어 업그레이드가 완료될 때까지 관리 포트 플랩이 발생할 수 있습니다.

구축: 모두

업그레이드 대상: 버전 6.1.0 이상

직접 업그레이드: 버전 6.2.3 이상

일부 기능은 Cisco와의 데이터 공유에 관련됩니다.

Cisco Success Network

버전 6.2.3+에서 Cisco Success Network는 사용자에게 기술 지원을 제공하는 데 필요한 사용 정보와 통계를 Cisco로 전송합니다.

초기 설정 및 업그레이드 중에 참여를 수락할지 아니면 거절할지 묻는 메시지가 표시될 수 있습니다. 또한 언제든지 이러한 참여를 옵트인하거나 옵트아웃할 수도 있습니다.

웹 분석 추적

버전 6.2.3 이상에서 웹 분석 추적은 비 개인 식별 가능 사용 데이터를 Cisco로 전송합니다. 이러한 데이터에는 페이지 상호 작용, 브라우저 버전, 제품 버전, 사용자 위치, FMC의 관리 IP 주소 또는 호스트네임 등이 포함되나 이에 국한되지 않습니다.

웹 분석 추적은 기본적으로 켜져 있으며(버전 6.5.0 이상 EULA에 동의하면 웹 분석 추적에 동의하게 됨) 초기 설정을 완료한 후 언제든지 옵트아웃할 수 있습니다.

참고	버전 6.2.3~6.6.x로 업그레이드하면 웹 분석 추적이 활성화되거나 재활성화될 수 있습니다. 이는 현재 설정이 옵트아웃인 경우에도 일어날 수 있습니다. Cisco에서 이 데이터를 수집하는 것을 원하지 않는 경우, 업그레이드 후 옵트아웃하십시오. 6.7.0 이상으로 업그레이드하면 현재 설정이 적용됩니다.

Cisco Support Diagnostics

버전 6.5.0 이상에서 Cisco 지원 진단(Cisco 사전 지원이라고도 함)은 구성 및 운영 상태 데이터를 Cisco에 전달하여 해당 데이터를 자동 문제 탐지 시스템에서 처리하여 문제가 발생하기 전에 사전에 안내할 수 있도록 합니다. 또한 이 기능은 Cisco TAC에서 TAC 케이스를 해결하는 동안 디바이스에서 필요한 정보를 수집하도록 합니다.

초기 설정 및 업그레이드 중에 참여를 수락할지 아니면 거절할지 묻는 메시지가 표시될 수 있습니다. 또한 언제든지 이러한 참여를 옵트인하거나 옵트아웃할 수도 있습니다.

구축: 모두

업그레이드 대상: 버전 6.1~6.2.2.x

직접 업그레이드: 버전 6.2.3 한정

침입 정책 변수 집합에서만 사용되는 네트워크 또는 포트 개체를 구성한 경우, 업그레이드 후 관련 액세스 컨트롤 정책 구축에 실패합니다. 이러한 현상이 발생하면 액세스 컨트롤 정책을 수정하고 변경을 적용한 후(예: 설명 수정), 정책을 저장하고 재구축합니다.

구축: Firepower Management Center

업그레이드 대상: 버전 6.1.0~6.2.2.x

직접 업그레이드: 버전 6.2.3~6.4.0

버전 6.2.3에서는 보고서 섹션에서 사용하거나 포함할 수 있는 결과 수가 다음과 같이 제한됩니다. 테이블 보기와 세부 정보 보기의 경우에는 HTML/CSV 보고서보다 PDF 보고서에 포함할 수 있는 레코드 수가 더 적습니다.

Firepower Management Center를 업그레이드하기 전에 보고서 템플릿의 한 섹션이 HTML/CSV 최대값보다 더 많은 결과 수를 지정하는 경우, 업그레이드 프로세스에서 해당 설정을 새로운 최대값으로 낮춥니다.

PDF 보고서를 생성하는 보고서 템플릿의 경우, 임의의 템플릿 섹션에서 PDF 제한이 초과되면 업그레이드 프로세스에서 출력 형식을 HTML로 변경합니다. PDF를 계속 생성하려면 결과 제한을 PDF 최대값으로 낮춥니다. 업그레이드 후에 이 작업을 수행하는 경우에는 출력 형식을 PDF로 다시 설정합니다.

구축: Firepower Threat Defense 클러스터

업그레이드 대상: 버전 6.1.x

직접 업그레이드: 버전 6.2.3~6.4.0

Firepower Threat Defense 버전 6.1.x 클러스터는 사이트 간 클러스터링을 지원하지 않습니다(버전 6.2.0에서 시작하는 FlexConfig를 사용하여 사이트 간 기능을 구성할 수 있습니다).

FXOS 2.1.1.에 버전 6.1.x 클러스터를 구축하거나 다시 구축하고 (지원되지 않는) 사이트 ID 값을 입력한 경우 업그레이드 전 FXOS의 각 유닛에 있는 사이트 ID를 삭제(0으로 설정)합니다. 그렇지 않으면 업그레이드 후 유닛이 클러스터에 다시 참여할 수 없습니다.

이미 업그레이드한 경우 각 유닛에서 사이트 ID를 제거한 다음 클러스터를 다시 설정합니다. 사이트 ID를 보거나 변경하려면 Cisco FXOS CLI 설정 가이드를 참조합니다.

구축: 모두

업그레이드 대상: 버전 6.2.1 이상

직접 업그레이드: 버전 6.2.2 이상

Firepower가 올바른 파일을 사용하고 있는지 확인할 수 있도록 버전 6.2.1 이상이 대상인 업그레이드 패키지 (및 핫픽스)는 서명된 tar 아카이브 파일(.tar)을 사용합니다. 이전 버전 대상 업그레이드는 서명되지 않은 패키지를 계속 사용합니다.

주요 업그레이드 또는 에어 갭 구축과 같이 Cisco 지원 및 다운로드 사이트에서 수동으로 업그레이드 패키지를 다운로드할 때 올바른 패키지를 다운로드했는지 확인하십시오. 서명된(.tar) 패키지의 압축을 풀지 마십시오.

참고	서명된 업그레이드 패키지를 업로드하면 시스템이 패키지 파일을 확인하므로 GUI가 로드되는 데 몇 분 정도 걸릴 수 있습니다. 표시 속도를 높이기 위해 이후 필요하지 않은 패키지는 서명된 패키지를 제거합니다.

구축: Firepower 8000 Series 디바이스

업그레이드 대상: 버전 6.2.0.x

직접 업그레이드: 버전 6.2.2 한정

버전 6.2.2를 실행하는 8000 Series 디바이스에서 보안 인증 컴플라이언스(CC/UCAPL 모드)를 활성화하면 FSIC(파일 시스템 무결성 검사) 오류가 발생할 수 있습니다. 디바이스를 버전 6.2.2.1 이상으로 업그레이드할 때까지 기다립니다.

경고	FSIC 오류가 발생하면 Firepower 소프트웨어가 시작하지 않고, 원격 SSH 액세스가 비활성화되며, 로컬 콘솔을 통해서만 어플라이언스에 액세스할 수 있습니다. 이러한 현상이 발생한다면 Cisco TAC에 문의하십시오.

구축: FMC

업그레이드 대상: 6.1.x

직접 업그레이드: 6.2.0 이상

버전 6.2.0 이상의 새 액세스 제어 정책은 기본적으로 최신 침입 규칙 업데이트(SRU)에서 지연 기반 성능 설정을 가져옵니다. 이 동작은 새 이전 설정 적용(Apply Settings From) 옵션에 의해 제어됩니다. 이 옵션을 구성하려면 액세스 제어 정책을 편집 또는 생성하고 고급을 클릭하여 지연 기반 성능 설정을 편집합니다.

버전 6.2.0 이상으로 업그레이드하면 현재 버전(6.1.x) 구성에 따라 새로운 옵션이 설정됩니다. 현재 설정이 다음과 같은 경우

• 기본값: 새 옵션이 설치된 규칙 업데이트로 설정됩니다. 업그레이드 후 배포할 때 시스템은 가장 최근 SRU의 지연 기반 성능 설정을 사용합니다. 가장 최근 SRU가 지정한 내용에 따라 트래픽 처리가 변경될 수 있습니다.

• 사용자 지정: 새 옵션이 사용자 지정으로 설정됩니다. 시스템이 현재 성능 설정을 유지합니다 이 옵션은 동작을 변경하지 않습니다.

업그레이드 전 구성을 검토하는 것이 좋습니다. 버전 6.1.x FMC 웹 인터페이스에서 앞서 설명한 대로 정책의 지연 기반 성능 설정을 확인하고 기본값으로 되돌리기 버튼이 흐리게 표시되는지 확인합니다. 버튼이 흐리게 표시되는 경우 기본 설정을 사용합니다. 활성 상태인 경우 사용자 정의 설정을 구성했습니다.

구축: FMC를 사용하는 FTD

업그레이드 대상: 버전 6.1.x

직접 업그레이드: 버전 6.2 이상

버전 6.2에서는 Snort Fail Open 구성이 FMC가 관리하는 Firepower Threat Defense 디바이스의 Failsafe 옵션을 대체합니다. Snort가 사용 중일 때 Failsafe는 트래픽 삭제를 허용하지만, Snort가 종료된 경우 트래픽은 자동으로 검사 없이 통과됩니다. Snort Fail Open은 트래픽 삭제를 허용합니다.

FTD 디바이스를 업그레이드할 때 새 Snort Fail Open 설정은 다음과 같이 기존 Failsafe 설정에 따라 달라집니다. 새 구성은 트래픽 처리 방법을 변경하지 않지만, 업그레이드 전 Failsafe의 활성화 여부를 고려하는 것이 좋습니다.

Snort Fail Open은 디바이스에 버전 6.2가 필요합니다. 버전 6.1.x 디바이스를 관리 중인 경우 FMC 웹 인터페이스는 Failsafe 옵션을 표시합니다.

구축: FMC, ASA FirePOWER with ASDM

업그레이드 대상: 6.1.0.3 또는 이후 패치

직접 업그레이드: 6.2.0 한정

IAB(Intelligent Application Bypass) 옵션 '식별되지 않은 애플리케이션을 포함한 모든 애플리케이션'은 IAP 검사 성능 한계 중 하나를 만족할 경우 애플리케이션 유형과 상관없이 플로우 바이패스 임계값을 초과하는 애플리케이션을 신뢰합니다. 이 옵션은 다음 버전에서 사용할 수 있습니다.

• 버전 6.0.1.4 및 이후 패치

• 버전 6.1.0.3 및 이후 패치

• 버전 6.2.0.1 및 이후 패치

• 버전 6.2.2 및 모든 이후 패치와 주요 버전

옵션이 지원되는 버전에서 옵션이 지원되지 않는 버전으로 업그레이드하면 해당 옵션이 삭제됩니다. 또한 실제로 이 옵션을 활성화하고 사용자의 액세스 제어 정책에 IAB 우회 가능 애플리케이션 및 필터 구성이 포함되지 않는 경우 업그레이드된 사용자 인터페이스는 다음과 같이 예기치 않은 동작을 수행합니다.

• IAB가 활성화되지만 식별되지 않은 애플리케이션을 포함한 모든 애플리케이션 옵션이 더 이상 표시되지 않습니다.

• IAB 컨피그레이션 페이지의 1 Applications/Filters(애플리케이션/필터)에서 하나의 애플리케이션 또는 필터를 구성했다고 잘못 표시됩니다.

• 애플리케이션 및 필터 편집기의 선택된 애플리케이션 및 필터 창이 삭제됨(FMC) 또는 모든 애플리케이션(ASDM) 중 하나를 표시합니다. 이 선택 항목을 삭제하는 것이 좋습니다.

옵션을 복원하려면 6.2.0.x 버전의 패치를 적용하거나 버전 6.2.2 이상으로 업그레이드(권장)합니다.

구축: URL 필터링을 수행하는 메모리 부족 장치

업그레이드 대상: 버전 6.1.0.3 또는 이후 패치

직접 업그레이드: 버전 6.2.0 한정

메모리 제한으로 인해 일부 디바이스 모델은 크기가 더 작은 카테고리 및 평판 데이터베이스를 사용해 URL 필터링을 수행합니다. URL의 하위 사이트에 상위 사이트와 다른 URL 카테고리와 평판이 존재하지만 디바이스에 상위 사이트의 데이터만 있는 경우 문제가 발생할 수 있습니다.

버전 6.1.0.3에서는 상위 사이트의 URL 카테고리와 평판에 의존하는 대신 디바이스가 이런 하위 사이트를 '알 수 없는' 카테고리 및 평판으로 간주하도록 시스템의 동작을 변경했습니다. 이렇게 하면 디바이스가 하위 사이트의 데이터에 대해 클라우드 조회를 수행(및 다음을 위해 결과 캐싱)합니다.

버전 6.2.0에서는 이러한 하위 사이트 클라우드 조회에 대한 지원을 중단합니다. 영향을 받는 디바이스:

• Firepower 7010, 7020, 및 7030

• ASA 5506-X series, 5508-X, 5516-X

• ASA 5512-X, 5515-X, 5525-X

버전 6.2.0.1에서 지원이 다시 도입됩니다.