思科 Firepower 安全设备是网络和内容安全解决方案的下一代平台。Firepower 安全设备是思科以应用为中心的基础设施 (ACI) 安全解决方案的一部分，并且提供为实现可扩展性、一致控制和简化管理而构建的灵活、开放、安全的平台。

Firepower 安全设备提供以下功能：

• 基于机箱的模块化安全系统 - 提供高性能、灵活的输入/输出配置和可扩展性。

• Firepower 机箱管理器 - 图形用户界面可简单、直观地显示当前机箱状态并支持简化的机箱功能配置。

• FXOS CLI - 提供基于命令的接口，用于配置功能，监控机箱状态和访问高级故障排除功能。

• FXOS REST API - 允许用户以编程方式配置和管理其机箱。

FXOS 2.4.1.249 的新增功能

除了早期版本中包含的功能以外，思科 FXOS 2.4.1.249 还推出了以下新功能：

• 各种问题的修复补丁（请参阅 FXOS 2.4.1.249 中已解决的漏洞）。

FXOS 2.4.1.244 的新增功能

除了早期版本中包含的功能以外，思科 FXOS 2.4.1.244 还推出了以下新功能：

• 各种问题的修复补丁（请参阅 FXOS 2.4.1.244 中已解决的漏洞）。

FXOS 2.4.1.238 的新增功能

除了早期版本中包含的功能以外，思科 FXOS 2.4.1.238 还推出了以下新功能：

• 解决各种问题（请参阅 FXOS 2.4.1.238 中已解决的漏洞）。

FXOS 2.4.1.234 的新增功能

除了早期版本中包含的功能以外，思科 FXOS 2.4.1.234 还推出了以下新功能：

• 解决各种问题（请参阅 FXOS 2.4.1.234 中已解决的漏洞）。

FXOS 2.4.1.222 的新增功能

除了早期版本中包含的功能以外，思科 FXOS 2.4.1.222 还推出了以下新功能：

• 解决各种问题（请参阅 FXOS 2.4.1.222 中已解决的漏洞）。

FXOS 2.4.1.214 的新增功能

除了早期版本中包含的功能以外，思科 FXOS 2.4.1.214 还推出了以下新功能：

• 支持 Firepower 威胁防御版本 6.3。

• Firepower 威胁防御的多实例功能（请参阅 Firepower 威胁防御的多实例功能）。

  注	需要 Firepower 威胁防御版本 6.3 或更高版本。

• 解决各种问题（请参阅 FXOS 2.4.1.214 中已解决的漏洞）。

FXOS 2.4.1.101 的新增功能

思科 FXOS 2.4.1.101 推出了以下新功能：

• 支持 ASA 9.10(1)。

• 支持 ASA 逻辑设备的透明模式部署。

  您现在可以在部署 ASA 时指定透明模式或路由模式。

  新增/修改的 FXOS 命令：enter bootstrap-key FIREWALL_MODE、set value routed、set value transparent

  新增/修改的 Firepower 机箱管理器菜单项：

  逻辑设备 > 添加设备 > 设置

  新增/修改的选项：Firewall 模式下拉列表

• 集群控制链路可自定义 IP 地址。

  默认情况下，群集控制链路使用 127.2.0.0/16 网络。现在，可以在 FXOS 中部署群集时设置网络。机箱根据机箱 ID 和插槽 ID 自动生成每个设备的群集控制链路接口 IP 地址：127.2.chassis_id.slot_id。但是，某些网络部署不允许 127.2.0.0/16 流量通过。因此，您现在可以为 FXOS 中的群集控制链路设置一个自定义的 /16 子网（环回 (127.0.0.0/8) 和组播 (224.0.0.0/4) 地址除外）。

  新增/修改的命令：set cluster-control-link network

  新增/修改的屏幕：

  逻辑设备 > 添加设备 > 集群信息

  新增/修改的选项：CCL 子网 IP 字段

  注	ASA 9.9.2 及更高版本和 Firepower 威胁防御 6.3.0 及更高版本支持与 CCL 子网 IP 字段选项配合使用

• 在开启模式下支持数据 Etherchannel。

  现在可以将数据和数据共享 Etherchannel 设置为“主用”LACP 模式或“保持”模式。其他类型 Etherchannel 仅支持“主用”模式。

  新增/修改的菜单项：

  接口 > 所有接口 > 编辑端口通道 > 模式

  新增/修改的命令：set port-channel-mode

• 现在，您可以在 Firepower 4110 设备上启用具有 ASA 的 Radware DefensePro (vDP)。

• 在机箱间集群场景中，可在独立配置下部署 Radware DefensePro (vDP) 应用程序。

• 现在，您可以选择不将主机名数据发送到 Firepower 4100 系列设备上的思科智能许可。

• 现在，您可以一次确认多个故障。

• Firepower 机箱管理器现在显示上传图像时的上传百分比。

• 解决各种问题（请参阅 FXOS 2.4.1.101 中已解决的漏洞）。

注	需要 FTD 版本 6.3 或更高版本。

您现在可以在单个安全引擎/模块上部署多个逻辑设备，每台逻辑设备都设 Firepower 威胁防御容器实例。以前，您仅可部署单个本地应用实例。此外，仍支持本地实例。对于 Firepower 9300，可以在某些模块上使用本地实例，在其他模块上使用容器实例。

要确保灵活使用物理接口，可以在 FXOS 中创建 VLAN 子接口，还可以在多个实例之间共享接口。部署容器实例时，必须指定分配的 CPU 核心数量；系统会根据核心数量动态分配 RAM。此资源管理允许您自定义每个实例的性能。

您可以在 2 个独立机箱上使用容器实例来实现高可用性；例如，如果您有 2 个机箱，每个机箱各 10 个实例，您可以创建 10 个高可用性对。不支持群集。

注	尽管实现方式不同，但多实例功能与 ASA 多情景模式类似。多情景模式下区分了单个应用实例，而多实例功能允许独立容器实例。容器实例允许硬资源分离、单独配置管理、单独重新加载、单独软件更新和完全 Firepower 威胁防御功能支持。由于共享资源，多情景模式支持给定平台上的更多情景。Firepower 威胁防御不支持多情景模式。

参阅下文以了解每个型号的最大容器实例数：

• Firepower 4110-3

• Firepower 4120-3

• Firepower 4140-7

• Firepower 4150-7

• Firepower 9300 SM-24 安全模块-7

• Firepower 9300 SM-36 安全模块-11

• Firepower 9300 SM-44 安全模块-14

新增/修改的 Firepower 机箱管理器菜单项：

概述 > 设备

接口 > 所有接口 > 新增下拉菜单 > 子接口

接口 > 所有接口 > 类型

逻辑设备 > 添加设备

平台设置 > Mac 池

平台设置 > 资源配置文件

新增/修改的 FXOS 命令：

connect ftd name、connect module telnet、create bootstrap-key PERMIT_EXPERT_MODE、create resource-profile、create subinterface、scope auto-macpool、set cpu-core-count、set deploy-type、set port-type data-sharing、set prefix、set resource-profile-name、set vlan、scope app-instance ftd name、show cgroups container、show interface、show mac-address、show subinterface、show tech-support module app-instance、show version

新增/修改的 Firepower 管理中心菜单项：

设备 > 设备管理 > 编辑图标 > 接口选项卡

处理 ASA 逻辑设备时使用的 FXOS CLI 命令已修改。

新增/修改的 FXOS 命令：

connect asa name、create app-instance asa name、scope app-instance asa name、show app-instance asa name

可从以下某个 URL 下载 FXOS 的软件映像及受支持的应用：

• Firepower 9300 - https://software.cisco.com/download/type.html?mdfid=286287252

• Firepower 4100 - https://software.cisco.com/download/navigator.html?mdfid=286305164

有关特定版本 FXOS 支持的应用的信息，请参阅以下 URL 中的思科 FXOS 兼容性指南：

http://www.cisco.com/c/en/us/td/docs/security/Firepower/fxos/compatibility/fxos-compatibility.html

• 如果您使用硬件旁路功能，则必须升级到 FXOS 2.4.1.238。在 2.4.1.238 之前的 FXOS 版本中，端口可能会在不发生故障事件的情况下进入旁路状态。如果发生这种情况，您必须使用 Firepower 管理中心使端口恢复到备用模式。

• 在 FXOS 2.4(1) 中，如果您在 FIPS 模式下使用 IPSec 安全通道，则 IPSec 对等体必须支持 RFC 7427。

• 如果在升级到 FXOS 2.4(1) 后重新初始化安全模块，则当稍后降级到较早的 FXOS 版本时，您可能会收到有关该安全模块上的磁盘分区不兼容的错误消息。要解决此问题，您需要在降级后重新初始化安全模块。

• 在 Firepower 4110 或 4120 设备上当前运行的 Firepower 威胁防护应用程序的服务链中配置 Radware DefensePro (vDP) 时，安装将会失败并显示故障警报。解决办法是在安装 Radware DefensePro 应用程序之前停止 Firepower 威胁防护应用程序实例。请注意，此问题和解决方法适用于 Firepower 4110 和 4120 设备上使用 Firepower 威胁防御链接的所有受支持版本的 Radware DefensePro 服务。

• 固件升级 - 建议使用最新固件升级 Firepower 4100/9300 安全设备。有关如何安装固件更新和每个更新中包含的修补程序的信息，请参阅 https://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/firmware-upgrade/fxos-firmware-upgrade.html。

• 升级网络或安全模块时，系统会生成某些故障，然后自动清除。其中包括“不支持热插拔”或者“在联机状态时删除模块”错误。如《思科 Firepower 9300 硬件安装指南》或《思科 Firepower 4100 系列硬件安装指南》中所述，如果您按照适当的步骤操作，这些故障将自动清除，无需执行其他操作。

FXOS 2.4(1) 包含额外的测试，用于验证安全设备上的安全模块适配器。安装 FXOS 2.4.1.101 或更高版本后，您可能会收到一则类似以下内容的严重故障，指示您应更新安全模块适配器的固件：

严重故障 F1715 2017-05-11T11:43:33.121 339561 安全模块 1 上的适配器 1 需要进行重要的固件升级。请参阅随本版本发布的 FXOS 发行说明中的适配器引导程序升级说明。

如果收到上述消息，请按以下程序为适配器更新启动映像：

1. 连接到 Firepower 安全设备上的 FXOS CLI。有关说明，请参阅《思科 Firepower 4100/9300 FXOS CLI 配置指南 [2.4(1)]》或《思科 Firepower 4100/9300 FXOS Firepower 机箱管理器配置指南 [2.4(1)]》中的“访问 FXOS CLI”主题。

2. 输入您要更新其启动镜像的适配器的适配器模式：

   fxos-chassis# scope adapter 1/security_module_number/adapter_number

3. 输入 show image 以查看可用的适配器映像，并验证是否可以安装 fxos-m83-8p40-cruzboot.4.0.1.62.bin：

   fxos-chassis /chassis/server/adapter # show image
   Name Type Version
   
   --------------------------------------------- -------------------- -------
   
   fxos-m83-8p40-cruzboot.4.0.1.62.bin Adapter Boot 4.0(1.62)
   
   fxos-m83-8p40-vic.4.0.1.51.gbin Adapter 4.0(1.51)

4. 输入 update boot-loader 将适配器启动映像更新到版本 4.0.1.62：

   fxos-chassis /chassis/server/adapter # update boot-loader 4.0(1.62)
   Warning: Please DO NOT reboot blade or chassis during upgrade, otherwise, it may cause adapter to become UNUSABLE!
   After upgrade has completed, blade will be power cycled automatically
   fxos-chassis /chassis/server/adapter* # commit-buffer

5. 输入 show boot-update status 以监控更新状态：

   fxos-chassis /chassis/server/adapter # show boot-update status
   State: Updating
   fxos-chassis /chassis/server/adapter # show boot-update status
   State: Ready

6. 输入 show version detail 以验证更新是否成功：

   注	您的 show version detail 输出可能不同于以下示例。不过，请验证并确保 Bootloader-Update-Status 为“就绪”且 Bootloader-Vers 为 4.0(1.62)。

   fxos-chassis /chassis/server/adapter # show version detail
   Adapter 1:
   Running-Vers: 5.2(1.2)
   Package-Vers: 2.2(2.17)
   Update-Status: Ready
   Activate-Status: Ready
   Bootloader-Update-Status: Ready
   Startup-Vers: 5.2(1.2)
   Backup-Vers: 5.0(1.2)
   Bootloader-Vers: 4.0(1.62)

您可以使用以下浏览器访问 Firepower 机箱管理器：

• Mozilla Firefox - 版本 42 及更高版本

• Google Chrome - 版本 47 及更高版本

• Microsoft Internet Explorer - 版本 11 及更高版本

我们使用 Mozilla Firefox 版本 42、Google Chrome 版本 47 和 Internet Explorer 版本 11 对 FXOS 2.4(1) 进行了测试。这些浏览器的其他版本预计会正常运行。但是，如果您遇到任何浏览器相关问题，我们建议您恢复到其中一个经过测试的版本。

如果您的 Firepower 9300 或 Firepower 4100 系列安全设备当前运行的是 FXOS 2.0(1) 或更高的内部版本，可以将其升级到 FXOS 2.4(1.214)。

有关升级说明，请参阅《思科 Firepower 4100/9300 升级指南》。

安装说明

• 升级到 FXOS 2.4(1) 最高可能需要 45 分钟。请相应规划您的升级活动。

• 如果要升级运行独立逻辑设备的 Firepower 9300 或 Firepower 4100 系列安全设备，或者要升级运行机箱内群集的 Firepower 9300 安全设备，则升级期间流量不会通过该设备。

• 如果要升级属于某机箱间群集的 Firepower 9300 或 Firepower 4100 系列安全设备，则升级期间流量不会通过正在升级的设备。但是，该群集中的其他设备仍然会通过流量。

• 官方不支持 FXOS 映像降级。思科唯一支持的 FXOS 映像版本降级方法是对设备执行完整的重新映像。

可通过思科缺陷搜索工具查看这一版本中尚未解决和已解决的缺陷。通过这一基于 Web 的工具，您可以访问思科缺陷追踪系统，其中记录了关于此本产品和其他思科硬件及软件产品的缺陷和漏洞信息。

注	您必须拥有 Cisco.com 帐户才能登录并访问思科缺陷搜索工具。如果您还没有此帐户，请注册一个帐户。

有关思科漏洞搜索工具的详细信息，请参阅漏洞搜索工具帮助及常见问题。

下表列出了在发布此发行说明时尚未解决的漏洞。

下表列出了以前版本中注明的由客户发现的漏洞，这些漏洞在 FXOS 2.4.1.249 中已得到解决：

下表列出了以前版本中注明的由客户发现的漏洞，这些漏洞在 FXOS 2.4.1.244 中已得到解决：

下表列出了以前版本中注明的由客户发现的漏洞，这些漏洞在 FXOS 2.4.1.238 中已得到解决：

下表列出了以前版本中注明的由客户发现的漏洞，这些漏洞在 FXOS 2.4.1.234 中已得到解决：

下表列出了以前版本中注明的由客户发现的漏洞，这些漏洞在 FXOS 2.4.1.222 中已得到解决：

下表列出了以前版本中注明的由客户发现的漏洞，这些漏洞在 FXOS 2.4.1.214 中已得到解决：

下表列出了以前版本中注明的由客户发现的漏洞，这些漏洞在 FXOS 2.4.1.101 中已得到解决：

有关 Firepower 9300 或 4100 系列安全设备及 FXOS 的更多信息，请参阅思科 FXOS 导航文档。

思科提供在线资源来下载文档/软件/工具、查询错误以及创建服务请求。这些资源可用于安装和配置 Firepower 软件以及解决和消除技术问题。

• 思科技术支持及下载站点：https://www.cisco.com/c/en/us/support/index.html

• 思科漏洞搜索工具：https://tools.cisco.com/bugsearch/

• 思科通知服务：https://www.cisco.com/cisco/support/notifications.html

使用思科技术支持及下载站点上的大多数工具时，需要 Cisco.com 用户 ID 和密码。

如果上面列出的联机资源无法解决您的问题，请联系思科 TAC：

• 向思科 TAC 发送电子邮件：tac@cisco.com

• 致电思科 TAC（北美）；1.408.526.7209 或 1.800.553.2447

• 致电思科 TAC（全球）：思科全球支持联系人

• 要及时从思科收到相关信息，请注册思科配置文件管理器。

• 要使用重要技术实现您期望实现的业务影响，请访问思科服务。

• 要提交服务请求，请访问思科支持。

• 要了解并浏览安全且经过验证的企业级应用、产品、解决方案和服务，请访问思科 Marketplace。

• 要获取一般网络、培训和认证主题相关的信息，请访问思科出版社。

• 要查找有关特定产品或产品系列的保修信息，请访问思科保修服务查找工具。