卸载的指引和限制
这些重要的准则和限制适用于卸载。
验证您的补丁是否支持卸载
卸载特定的修补程序可能会在 Firepower 设备上造成问题，包括：
-
操作系统与 Firepower 软件之间的不兼容性。
-
如果您在启用安全认证合规性的情况下安装修补程序（CC/UCAPL 模式），则设备重新启动时 FSIC（文件系统完整性检查）失败。
 小心 |
如果启用了安全认证合规性并且 FSIC 失败，则 Firepower 软件无法启动，远程 SSH 访问会被禁用，并且您只能通过本地控制台访问该设备。如果出现此情况，请联系思科 TAC。 |
在这些情况下，如果您需要恢复到较早的补丁，我们建议您重新映像，然后再进行升级。
下表列出了不应卸载的情况。
| 平台 | 卸载起始版本 | 升级起始版本 |
|---|---|---|
|
FMC/FMCv Firepower 7000/8000 系列 ASA FirePOWER NGIPSv |
6.4.0.2+ |
6.4.0 至 6.4.0.1 |
|
FMC/FMCv Firepower 7000/8000 系列 ASA FirePOWER NGIPSv |
6.4.0.3+ |
6.4.0 至 6.4.0.2 |
|
任意 |
6.4.0.4 + |
6.4.0. 至 6.4.0.3 |
使用外壳程序先从设备卸载
在 FMC 部署中，先从受管设备卸载修补程序。我们建议 FMC 运行比其受管设备更高的版本。
要卸载设备修补程序，必须使用 Linux 外壳程序，也称为“专家模式”。这意味着您可以单独在本地从设备卸载。换句话说：
-
不能从群集、堆叠或高可用性 (HA) Firepower 设备批量卸载修补程序，也不能通过 FirePOWER 服务设备将其从群集或故障转移 ASA 批量卸载。要规划最大限度减少中断的卸载顺序，请参阅高可用性/可扩展性部署的卸载顺序。
-
您不能使用 FMC、ASDM 或 FDM 从设备卸载修补程序，也不能在 7000/8000 系列设备上使用本地 Web 界面。
-
您不能使用 FMC 用户帐户登录并从其受管设备之一卸载修补程序。Firepower 设备会维护自己的用户帐户。
-
您必须能够以设备的
管理员用户或者具有 CLI 配置访问权限的其他本地用户身份访问设备外壳程序。如果禁用了外壳程序访问，则无法卸载设备修补程序。联系思科 TAC以撤销设备锁定。
从设备卸载后再从 FMC 卸载
从受管设备卸载后，再从 FMC 卸载修补程序。与升级一样，必须从高可用性 FMC 一次卸载一个；请参阅高可用性/可扩展性部署的卸载顺序。
我们建议您使用 FMC web 界面卸载 FMC 修补程序。您必须有管理员访问权限。如果无法使用 Web 界面，可以作为外壳的管理员用户或者具有外壳访问权限的外部用户使用 Linux 外壳程序。如果禁用了外壳程序访问，请联系思科 TAC以撤销FMC锁定。
设备访问
Firepower 设备可以在卸载期间或在卸载失败时停止传输流量（具体取决于接口配置）。从 Firepower 设备卸载修补程序之前，请确保来自您所在位置的流量不必遍历设备本身即可访问设备的管理界面。在 Firepower 管理中心部署中，您还必须能够访问 FMC 管理界面而不遍历设备。
在 ASA FirePOWER 设备上禁用 ASA REST API
在卸载 ASA FirePOWER 修补程序之前，请确保禁用 ASA REST API。否则，卸载可能会失败。从 ASA CLI：no rest api agent。可以在卸载后重新启用：rest-api agent。
卸载无响应
请勿将更改部署到正在卸载的设备或从其部署更改，手动重启正在卸载的设备，或者关闭正在卸载的设备。请勿重启正在进行的卸载。卸载过程有时可能会显示为非活动状态；这是预期行为。如果您遇到卸载问题，包括卸载失败或设备无响应，请联系思科 TAC。
失败的卸载可能需要重新映像，从而让大多数设置恢复为出厂默认设置。因此，在重新映像之前，我们强烈建议您将事件和配置数据备份到外部位置。
流量、检查和设备行为
卸载期间的流量和检查中断与升级期间发生的中断相同。我们强烈建议在维护窗口或者中断对部署的影响最小时执行卸载。有关详细信息，请参阅流量、检查和设备行为。
反馈