升级 ASA FirePOWER 模块

本文档介绍如何使用 ASDM 或管理中心升级 ASA FirePOWER 模块，具体取决于您的管理选择。请参阅升级 ASA 设备或 ASA 虚拟以确定何时应在单机、故障转移或集群场景中执行 FirePOWER 升级。

流量和检查

当执行以下操作时，会发生流量中断和检查：

重启设备。
升级设备软件、操作系统或虚拟托管环境。
卸载或恢复设备软件。
在域之间移动设备。
部署配置更改（Snort 进程重新启动）。

设备类型、高可用性/可扩展性配置和接口配置决定了中断的性质。我们强烈建议在维护窗口或者中断对部署的影响最小时执行这些任务。

升级具有 ASDM 的 ASA FirePOWER 模块

使用以下步骤升级由 ASDM 管理的 ASA FirePOWER 模块。

小心	不要更改配置、手动重新引导或关闭升级模块。请勿重启正在进行的升级。升级过程在预检查期间可能会显示为非活动；这是预期行为。如果您遇到升级问题，包括升级失败或设备无响应，请联系 Cisco TAC。

过程

步骤 1	确保您运行的是受支持的 ASA 版本。 ASA 与 ASA FirePOWER 版本之间没有广泛的兼容性。但是，即使并非严格要求进行 ASA 升级，但是解决问题可能需要升级到支持的最新版本。有关何时按顺序升级 ASA FirePOWER 模块，请参阅适用于独立、故障转移和集群场景的 ASA 升级程序。即使不升级 ASA 软件，您仍应参阅 ASA 故障转移和集群升级程序，以便在模块升级之前在设备上执行故障转移或禁用集群，避免流量丢失。例如，在集群中，您应连续升级每个辅助设备（包括禁用集群、升级模块，然后重新启用集群），然后升级主设备。
步骤 2	从 Cisco.com 下载升级包。对于主要版本：升级到版本 6.0 至 6.2.2 - Cisco_Network_Sensor_Upgrade-[版本]-[内部版本].sh 升级到版本 6.2.3+ - Cisco_Network_Sensor_Upgrade-[版本]-[内部版本].sh.REL.tar 对于修补程序：升级到 5.4.1.x 至 6.2.1.x - Cisco_Network_Sensor_Patch-[版本]-[内部版本].sh 升级到版本 6.2.2.1+ - Cisco_Network_Sensor_Patch-[版本]-[内部版本].sh.REL.tar 直接从思科支持和下载站点下载。如果通过邮件传输软件包，可能会损坏该软件包。请注意，从 6.2.2+ 开始的升级包经过签名，以 .sh.REL.tar 结尾，而不是简单的 .sh。请勿解压已签名的升级软件包。
步骤 3	使用 ASDM 连接到 ASA 并上传升级软件包。选择配置 > ASA FirePOWER 配置 > 更新。点击上传更新。点击选择文件以导航到并选择更新文件。点击上传。
步骤 4	部署待处理配置更改。否则，升级可能失败。在部署时，资源需求可能会导致少量数据包未经检测而被丢弃。此外，部署某些配置会重启 Snort，这会中断流量检测，并且根据您的设备处理流量的方式，可能会中断流量，直至重启完成。有关详细信息，请参阅流量和检查。
步骤 5	（升级到 6.1.0 一直到 6.3.0.x）禁用 ASA REST API。如果不禁用 REST API，升级将会失败。请注意，如果您还在运行 6.0 及更高版本的 ASA FirePOWER 模块，则 ASA 5506-X 系列设备不支持 ASA REST API。在 ASA 上使用 CLI 以禁用 REST API： no rest-api agent 您可以在升级后重新启用它： rest-api agent
步骤 6	选择监控 > ASA FirePOWER 监控 > 任务状态，确保完成必要任务。在升级开始时运行的任务已停止，成为失败的任务，且不能恢复。您可以稍后手动删除具有失败状态的消息。
步骤 7	选择配置 > ASA FirePOWER 配置 > 更新。
步骤 8	点击上传的升级包旁边的安装图标，然后确认要升级并重新引导模块。流量要么在升级过程中丢弃，要么不经检测直接穿过网络，具体取决于模块的配置方式。有关详细信息，请参阅流量和检查。
步骤 9	在“任务状态”页面上监控升级进度。在模块升级期间，不要更改配置。即使升级状态在数分钟内不显示进度，或指示升级失败，也不要重新开始升级或重新引导模块。而是联系思科 TAC。
步骤 10	升级完成后，将 ASDM 重新连接到 ASA。
步骤 11	选择配置 > ASA FirePOWER 配置，然后点击刷新。否则，界面可能会出现意外行为。
步骤 12	依次选择配置 > ASA FirePOWER 配置 > 系统信息，确认模块具有正确的软件版本。
步骤 13	如果支持站点上提供的入侵规则更新或漏洞数据库 (VDB) 比当前运行的版本新，请安装新版本。
步骤 14	完成发行说明中所述的任何升级后配置更改。
步骤 15	重新部署配置。

升级 Firepower 管理中心

如果使用 Firepower 管理中心管理 ASA FirePOWER 模块，则需要先升级管理中心，然后再升级该模块。

升级独立 Cisco Secure Firewall Management Center

使用此程序可升级独立的 Cisco Secure Firewall Management Center，包括 Cisco Secure Firewall Management Center Virtual。

小心	升级 FMC 过程中，不要进行或部署配置更改、手动重启或关闭设备。请勿重启正在进行的升级。升级过程在预检查期间可能会显示为非活动；这是预期行为。如果您遇到升级问题，升级失败的升级或无响应的设备，请联系思科 TAC。

开始之前

完成预升级核对表。确保部署中的设备保持正常运行，并且能够成功通信。

过程

步骤 1	选择系统 > 更新。
步骤 2	点击您想要使用的升级软件包旁边的安装图标，然后选择 FMC。
步骤 3	点击安装 (Install) 以开始升级。确认您要升极和重启。
步骤 4	监控预检查进度，直到注销。在此期间，请勿更改配置。
步骤 5	在可以时登录回。次要升级（补丁和热修复程序）：您可以在升级完成且重启后再次登录。主要升级（补丁和热修复程序）：您可以在升级完成且重启后再次登录。系统会显示一个页面，供您用于监控升级进度，查看升级日志和任何错误消息。升级完成且系统重启时，您会再次注销。重新引导后，再次登录。
步骤 6	如果系统显示相应提示，则阅读并接受《最终用户许可协议 (EULA)》。
步骤 7	验证升级是否成功。如果在您登录时系统未通知您升级成功，请选择帮助 > 关于以显示当前软件版本信息。
步骤 8	更新入侵规则 (SRU/LSP) 和漏洞数据库 (VDB)。如果思科支持和下载站点上提供的组件比当前运行的版本新，请安装新版本。请注意，在更新入侵规则时，不需要自动重新应用策略。您可以稍后执行该操作。
步骤 9	完成发行说明中所述的任何升级后配置更改。
步骤 10	重新部署配置。重新部署到所有受管设备。如果不部署到设备，其最终升级可能会失败，而且您可能需要对其重新映像。

升级高可用性 Firepower 管理中心

使用此程序可在高可用性对中的 FMC 上升级 Firepower 软件。

您需要逐一升级对等设备。在暂停同步的情况下，首先升级备用设备，然后升级主用设备。当备用开始预检查时，其状态从备用切换到主用，以便两个对等设备都处于主用状态。此临时状态称为 集群裂脑，仅在升级期间受支持。请勿在对处于集群脑裂的情况下执行或部署配置更改。重启同步后，您所做的更改将丢失。

小心	升级 FMC 过程中，不要进行或部署配置更改、手动重启或关闭设备。请勿重启正在进行的升级。升级过程在预检查期间可能会显示为非活动；这是预期行为。如果您遇到升级问题，升级失败的升级或无响应的设备，请联系思科 TAC。

开始之前

完成两个对等设备的升级前检查表。确保部署中的设备保持正常运行，并且能够成功通信。

过程

步骤 1	暂停同步。选择系统 > 集成。在高可用性 (High Availability)选项卡，点击暂停同步 (Pause Synchronization)。
步骤 2	将升级包上传到备用设备。在 FMC 高可用性部署中，必须将 FMC 升级软件包上传到两个对等设备，在将软件包传输到备用设备之前暂停同步。要限制 HA 同步的中断，您可以在升级准备阶段将数据包传输到主用对等设备，并在暂停同步后将其作为实际升级过程的一部分传输到备用对等设备。
步骤 3	逐一升级对等体，先是备用设备，再是主用设备。请按照升级独立 Cisco Secure Firewall Management Center中的说明进行操作，在验证每个对等体上的更新均成功后停止操作。总而言之，对于每个对等体：在系统 (System) > 更新 (Updates)页面上，安装升级程序。监控进度，直到您注销，然后在可以时重新登录（在主要升级情况下这会发生两次）。验证升级是否成功。请勿在对处于集群脑裂的情况下执行或部署配置更改。
步骤 4	重启同步。登录到想到将其设置为主用对等体的 FMC。选择系统 > 集成。在高可用性 (High Availability)选项卡，点击设为主用 (Make-Me-Active)。等待直至同步重新开始，并且其他 FMC 切换到备用模式。
步骤 5	更新入侵规则 (SRU/LSP) 和漏洞数据库 (VDB)。如果思科支持和下载站点上提供的组件比当前运行的版本新，请安装新版本。请注意，在更新入侵规则时，不需要自动重新应用策略。您可以稍后执行该操作。
步骤 6	完成发行说明中所述的任何升级后配置更改。
步骤 7	重新部署配置。重新部署到所有受管设备。如果不部署到设备，其最终升级可能会失败，而且您可能需要对其重新映像。

升级带有 FMC 的 ASA FirePOWER 模块

使用此程序升级由 FMC 管理的 ASA FirePOWER 模块。何时升级模块取决于是否升级 ASA，以及 ASA 部署。

独立 ASA 设备：如果您同时还在升级 ASA，请在升级 ASA 后立即升级 ASA FirePOWER 模块，然后重新加载。
ASA 集群和故障转移对：为避免流量和检查出现中断，请逐一完全升级这些设备。如果还要升级 ASA，请在重新加载每个单元以升级 ASA 之前升级 ASA FirePOWER 模块。

有关详细信息，请参阅升级路径：带有 FMC 的 ASA FirePOWER 和 ASA 升级程序。

开始之前

完成预升级核对表。确保部署中的设备保持正常运行，并且能够成功通信。

过程

步骤 1

选择系统 > 更新。

步骤 2

点击您想要使用的升级软件包旁边的安装图标，然后选择要升级的设备。

如果您想要升级的设备未列出，则表示您选择了错误的升级软件包。

注	我们强烈建议同时从“系统更新”页面升级的设备数不超过五个。不能在所有选定设备完成升级过程之前停止升级。如果任何一个设备升级存在问题，则必须等待所有设备均完成升级，然后才可以解决该问题。

步骤 3

点击安装 (Install)，然后确认您要升级并重启设备。

流量在整个升级过程中丢弃还是不进行检测就穿过网络，取决于您的设备的配置和部署方式。有关详细信息，请参阅目标版本的思科 Firepower 发行说明中的升级软件一章。

步骤 4

监控升级进度。

小心	请勿将更改部署到正在升级的设备或部署更改到，手动重启正在升级的设备，或者关闭正在升级的设备。请勿重启正在进行的设备升级。升级过程在预检查期间可能会显示为非活动；这是预期行为。如果您遇到升级问题，升级失败的升级或无响应的设备，请联系思科 TAC。

步骤 5

验证升级是否成功。

升级过程完成后，选择设备 > 设备管理，并确认您升级的设备具有正确的软件版本。

步骤 6

更新入侵规则 (SRU/LSP) 和漏洞数据库 (VDB)。

如果思科支持和下载站点上提供的组件比当前运行的版本新，请安装新版本。请注意，在更新入侵规则时，不需要自动重新应用策略。您可以稍后执行该操作。

步骤 7

完成发行说明中所述的任何升级后配置更改。

步骤 8

Cisco Secure Firewall ASA 升级指南

非歧视性语言

当地语言翻译版本说明

Book Title

Cisco Secure Firewall ASA 升级指南

Chapter Title