Atualização do par HA do FTD em dispositivos Firepower

Opções de download

  • PDF     (1.0 MB)
    Ver no Adobe Reader em vários dispositivos
  • ePub     (896.9 KB)
    Ver em vários aplicativos no iPhone, iPad, Android, Sony Reader ou Windows Phone
  • Mobi (Kindle)     (836.3 KB)
    Ver no dispositivo Kindle ou no aplicativo Kindle em vários dispositivos
Atualizado:8 de maio de 2023
ID do documento:200896

Linguagem imparcial

O conjunto de documentação deste produto faz o possível para usar uma linguagem imparcial. Para os fins deste conjunto de documentação, a imparcialidade é definida como uma linguagem que não implica em discriminação baseada em idade, deficiência, gênero, identidade racial, identidade étnica, orientação sexual, status socioeconômico e interseccionalidade. Pode haver exceções na documentação devido à linguagem codificada nas interfaces de usuário do software do produto, linguagem usada com base na documentação de RFP ou linguagem usada por um produto de terceiros referenciado. Saiba mais sobre como a Cisco está usando a linguagem inclusiva.

Sobre esta tradução

A Cisco traduziu este documento com a ajuda de tecnologias de tradução automática e humana para oferecer conteúdo de suporte aos seus usuários no seu próprio idioma, independentemente da localização. Observe que mesmo a melhor tradução automática não será tão precisa quanto as realizadas por um tradutor profissional. A Cisco Systems, Inc. não se responsabiliza pela precisão destas traduções e recomenda que o documento original em inglês (link fornecido) seja sempre consultado.

    Introdução

    Este documento descreve o processo de atualização do Firepower Threat Defense (FTD) no modo de alta disponibilidade (HA) nos dispositivos Firepower.

    Pré-requisitos

    Requisitos

    A Cisco recomenda o conhecimento destes tópicos:

    • Firepower Management Center (FMC)
    • FTD
    • Dispositivos Firepower (FXOS)

    Componentes Utilizados

    • 2 FPR4150
    • 1 FS4000
    • 1 PC

    As versões de imagem de software antes da atualização:

    • FMC 6.1.0-330
    • FTD Principal 6.1.0-330
    • FTD secundário 6.1.0-330
    • FXOS Principal 2.0.1-37
    • FXOS secundário 2.0.1-37

    As informações neste documento foram criadas a partir de dispositivos em um ambiente de laboratório específico. Todos os dispositivos utilizados neste documento foram iniciados com uma configuração (padrão) inicial. Se a rede estiver ativa, certifique-se de que você entenda o impacto potencial de qualquer comando.

    Configurar

    Diagrama de Rede

    Network topology

    Plano de ação

    Tarefa 1: Verificar os pré-requisitos

    Tarefa 2: Carregar as imagens no FMC e no SSP

    Tarefa 3: Atualizar o primeiro chassi FXOS (2.0.1-37 -> 2.0.1-86)

    Tarefa 4: Trocar o failover de FTD

    Tarefa 5: Atualizar o segundo chassi FXOS (2.0.1-37 -> 2.0.1-86)

    Tarefa 6: Atualizar o FMC (6.1.0-330 -> 6.1.0.1)

    Tarefa 7: Atualizar o par FTD HA (6.1.0-330 -> 6.1.0.1)

    Tarefa 8: Implantar uma política do FMC para o par HA do FTD

    Tarefa 1. Verificar os pré-requisitos

    Consulte o Guia de compatibilidade FXOS para determinar a compatibilidade entre:

    • Versão do software FTD alvo e versão do software FXOS
    • Plataforma de hardware Firepower e versão do software FXOS

    Compatibilidade com FXOS do Cisco Firepower 4100/9300

    Observação: esta etapa não se aplica às plataformas FP21xx e anteriores.

    Verifique as Notas de Versão do FXOS da versão de destino para determinar o caminho de atualização do FXOS:

    Notas de versão do Cisco Firepower 4100/9300 FXOS, 2.0(1)

    Observação: esta etapa não se aplica às plataformas FP21xx e anteriores.

    Consulte as Notas de Versão da versão de destino do FTD para determinar o caminho de atualização do FTD:

    Notas de versão do sistema Firepower, Versão 6.0.1.2

    Tarefa 2. Carregar as imagens do software

    Nos dois FCMs, carregue as imagens FXOS (fxos-k9.2.0.1.86.SPA).

    No FMC, carregar os pacotes de atualização do FMC e do FTD:

    • Para a atualização do FMC: Sourcefire_3D_Defense_Center_S3_Patch-6.1.0.1-53.sh
    • Para a atualização do FTD: Cisco_FTD_SSP_Patch-6.1.0.1-53.sh

    Tarefa 3. Atualizar o primeiro chassi FXOS

    Observação: caso você atualize o FXOS de 1.1.4.x para 2.x, primeiro desligue o dispositivo lógico de FTD, atualize o FXOS e, em seguida, reative-o.

    Observação: esta etapa não se aplica às plataformas FP21xx e anteriores.

    Antes da atualização:

    FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Ready

Fabric Interconnect A:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Ready

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.37)
        Upgrade-Status: Ready

    Inicie a atualização do FXOS:

    Available Updates

    A atualização do FXOS requer uma reinicialização do chassi:

    Update Bundle Image

    Você pode monitorar a atualização FXOS a partir da CLI FXOS. Todos os três componentes (FPRM, interconexão de estrutura e chassi) devem ser atualizados:

    FPR4100-4-A# scope system
FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Upgrading

Fabric Interconnect A:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Ready

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.37)
        Upgrade-Status: Ready

    Observação: alguns minutos após iniciar o processo de atualização do FXOS, você será desconectado da CLI do FXOS e da GUI. Você deve conseguir fazer login novamente após alguns minutos.

    Após aproximadamente cinco minutos, a atualização do componente FPRM é concluída:

    FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.86)
    Upgrade-Status: Ready

Fabric Interconnect A:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Upgrading

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.37)
        Upgrade-Status: Upgrading

    Após aproximadamente 10 minutos, e como parte do processo de atualização do FXOS, o dispositivo Firepower reinicia:

    Please stand by while rebooting the system...
    ...    
Restarting system.

    Após a reinicialização, o processo de atualização recomeça:

    FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.86)
    Upgrade-Status: Ready

Fabric Interconnect A:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Upgrading

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.37)
        Upgrade-Status: Upgrading

    Após um total de aproximadamente 30 minutos, a atualização do FXOS é concluída:

    FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.86)
    Upgrade-Status: Ready

Fabric Interconnect A:
    Package-Vers: 2.0(1.86)
    Upgrade-Status: Ready

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.86),2.0(1.37)
        Upgrade-Status: Ready

    Tarefa 4. Trocar os estados de failover de FTD

    Observação: esta etapa não se aplica às plataformas FP21xx e anteriores.

    Antes de trocar os estados de failover, verifique se o módulo FTD no chassi está totalmente ATIVO:

    FPR4100-4-A# connect module 1 console
Firepower-module1>connect ftd
Connecting to ftd console... enter exit to return to bootCLI

> show high-availability config
Failover On
Failover unit Secondary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2), Mate 9.6(2)
Serial Number: Ours FLM2006EQFW, Mate FLM2006EN9U
Last Failover at: 15:08:47 UTC Dec 17 2016
        This host: Secondary - Standby Ready
                Active time: 0 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)) status (Up Sys)
                  Interface inside (192.168.75.112): Normal (Monitored)
                  Interface outside (192.168.76.112): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Primary - Active
                Active time: 5163 (sec)
                  Interface inside (192.168.75.111): Normal (Monitored)
                  Interface outside (192.168.76.111): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : FOVER Ethernet1/8 (up)
        Stateful Obj    xmit       xerr       rcv        rerr
        General         65         0          68         4
        sys cmd         65         0          65         0
      ...

    Troque os estados de failover de FTD. Na CLI do FTD Ativo:

    > no failover active
        Switching to Standby

>

    Tarefa 5. Atualizar o segundo chassi FXOS

    Semelhante à Tarefa 2, atualize o dispositivo FXOS onde o novo FTD de espera está instalado. Isso pode levar aproximadamente 30 minutos ou mais para ser concluído.

    Observação: esta etapa não se aplica às plataformas FP21xx e anteriores.

    Tarefa 6. Atualizar o software FMC

    Atualize o FMC, neste cenário de 6.1.0-330 para 6.1.0.1.

    Tarefa 7. Atualizar o par HA do FTD

    Antes da atualização:

    > show high-availability config
Failover On
Failover unit Primary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2), Mate 9.6(2)
Serial Number: Ours FLM2006EN9U, Mate FLM2006EQFW
Last Failover at: 15:51:08 UTC Dec 17 2016
        This host: Primary - Standby Ready
                Active time: 0 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)) status (Up Sys)
                  Interface inside (192.168.75.112): Normal (Monitored)
                  Interface outside (192.168.76.112): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Secondary - Active
                Active time: 1724 (sec)
                  Interface inside (192.168.75.111): Normal (Monitored)
                  Interface outside (192.168.76.111): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : FOVER Ethernet1/8 (up)
        Stateful Obj    xmit       xerr       rcv        rerr
        General         6          0          9          0
        sys cmd         6          0          6          0
    ...

    No menu Sistema > Atualizações do FMC, inicie o processo de atualização do FTD HA:

    Updates

    Updates

    Primeiro, o FTD Principal/Standby é atualizado:

    System

    O módulo FTD em standby é reinicializado com a nova imagem:

    Remote Install

    Você pode verificar o status do FTD no modo BootCLI do FXOS:

    FPR4100-3-A# connect module 1 console
Firepower-module1> show services status
Services currently running:
Feature   | Instance ID    |     State  |          Up Since
-----------------------------------------------------------
ftd     | 001_JAD201200R4WLYCWO6 |   RUNNING  | :00:00:33

    A CLI do FTD secundário/ativo mostra uma mensagem de aviso devido a uma incompatibilidade de versão de software entre os módulos do FTD:

    firepower#
************WARNING****WARNING****WARNING********************************
Mate version 9.6(2) is not identical with ours 9.6(2)4
************WARNING****WARNING****WARNING********************************
Beginning configuration replication: Sending to mate.
End Configuration Replication to mate

    O FMC mostra que o dispositivo FTD foi atualizado com êxito:

    Remote Install

    A atualização do segundo módulo FTD inicia-se:

    Remote Install

    No final do processo, o FTD inicializa com a nova imagem:

    Remote Install

    Em segundo plano, o FMC usa o usuário interno enable_1, troca os estados de failover do FTD e remove temporariamente a configuração de failover do FTD:

    firepower# show logging
Dec 17 2016 16:40:14: %ASA-5-111008: User 'enable_1' executed the 'no failover active' command.
Dec 17 2016 16:40:14: %ASA-5-111010: User 'enable_1', running 'N/A' from IP 0.0.0.0, executed 'no failover active'
Dec 17 2016 16:41:19: %ASA-5-111008: User 'enable_1' executed the 'clear configure failover' command.
Dec 17 2016 16:41:19: %ASA-5-111010: User 'enable_1', running 'N/A' from IP 0.0.0.0, executed 'clear configure failover'
Dec 17 2016 16:41:19: %ASA-5-111008: User 'enable_1' executed the 'copy /noconfirm running-config disk0:/modified-config.cfg' command.
Dec 17 2016 16:41:19: %ASA-5-111010: User 'enable_1', running 'N/A' from IP 0.0.0.0, executed 'copy /noconfirm running-config
     disk0:/modified-config.cfg'
        
firepower#
        Switching to Standby

firepower#

    Nesse caso, a atualização do FTD inteiro (ambas as unidades) levou aproximadamente 30 minutos.

    Verificação

    Este exemplo mostra a verificação FTD CLI do dispositivo FTD principal:

    > show high-availability config
Failover On
Failover unit Primary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2)4, Mate 9.6(2)4
Serial Number: Ours FLM2006EN9U, Mate FLM2006EQFW
Last Failover at: 16:40:14 UTC Dec 17 2016
        This host: Primary - Active
                Active time: 1159 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)4) status (Up Sys)
                  Interface inside (192.168.75.111): Normal (Monitored)
                  Interface outside (192.168.76.111): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Secondary - Standby Ready
                Active time: 0 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)4) status (Up Sys)
                  Interface inside (192.168.75.112): Normal (Monitored)
                  Interface outside (192.168.76.112): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : FOVER Ethernet1/8 (up)
        Stateful Obj    xmit       xerr       rcv        rerr
        General         68         0          67         0
...
>

    Este exemplo mostra a verificação de FTD CLI a partir do dispositivo FTD secundário/em standby:

    > show high-availability config
Failover On
Failover unit Secondary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2)4, Mate 9.6(2)4
Serial Number: Ours FLM2006EQFW, Mate FLM2006EN9U
Last Failover at: 16:52:43 UTC Dec 17 2016
        This host: Secondary - Standby Ready
                Active time: 0 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)4) status (Up Sys)
                  Interface inside (192.168.75.112): Normal (Monitored)
                  Interface outside (192.168.76.112): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Primary - Active
                Active time: 1169 (sec)
                  Interface inside (192.168.75.111): Normal (Monitored)
                  Interface outside (192.168.76.111): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : FOVER Ethernet1/8 (up)
        Stateful Obj    xmit       xerr       rcv        rerr
        General         38         0          41         0
    ...
>

    Tarefa 8. Implantar uma política no par HA do FTD

    Após a conclusão da atualização, você precisa implantar uma política no par HA. Isso é mostrado na interface do usuário do FMC:

    Apply Update

    Implante as políticas:

    Deploy Policies

    Verificação

    O par HA FTD atualizado, conforme visto na interface do usuário do FMC:

    Device Management

    O par HA FTD atualizado como visto na interface do usuário do FCM:

    Logical Devices

    Informações Relacionadas

    Histórico de revisões

    Revisão Data de publicação Comentários
    2.0
    08-May-2023
    Recertificação
    1.0
    17-Dec-2016
    Versão inicial
    TAC Authored

    Colaborado por engenheiros da Cisco

    • Mikis Zafeiroudis
      Engenheiro do Cisco TAC
    • Dinkar Sharma
      Engenheiro do Cisco TAC
    • Editado por Olha Yakovenko
      Engenheiro do Cisco TAC

    Este documento lhe foi útil?

    FeedbackFeedback

    Contate a Cisco

    Este documento se refere a estes produtos