パッチのアンインストール

Firepower Management Center および ASDM の展開では、ほとんどのパッチをアンインストールすることができます。アンインストールすると、アップグレード前のバージョンに戻り、設定は変更されません。

アンインストールは、Firepower Device Manager ではサポートされていません。ホットフィックスをアンインストールしようとしないでください。代わりに、Cisco TAC にお問い合わせください。

アンインストールに対応するパッチ

特定のパッチをアンインストールすると、アンインストールが成功した場合でも、問題が発生する可能性があります。次のような問題があります。

アンインストール後に設定変更を展開できない
オペレーティングシステムとソフトウェアの間に互換性がなくなる
セキュリティ認定コンプライアンスが有効な状態（CC/UCAPL モード）でそのパッチが適用されていた場合、アプライアンスの再起動時に FSIC（ファイルシステム整合性チェック）が失敗する

注意	セキュリティ認定の遵守が有効な場合に FSIC が失敗すると、ソフトウェアは起動せず、リモート SSH アクセスが無効になるため、ローカルコンソールを介してのみアプライアンスにアクセスできます。この問題が発生した場合は、Cisco TAC にお問い合わせください。

アンインストールに対応したバージョン 6.4.0 のパッチ

この表は、バージョン 6.4.0 のパッチでサポートされているアンインストールのシナリオを示しています。アンインストールすると、アップグレード前のパッチレベルに戻ることに注意してください。アンインストールによってサポートされているよりも前に戻る場合は、イメージを再作成してから、目的のパッチレベルにアップグレードすることをお勧めします。

表 1. アンインストールに対応したバージョン 6.4.0 のパッチ
現在のバージョン	アンインストールすべき最も古いバージョン
現在のバージョン	FTD/FTDv	Firepower 7000/8000 ASA FirePOWER NGIPSv	FMC/FMCv
6.4.0.5 以降	6.4.0.4	6.4.0.4	6.4.0.4
6.4.0.4	—	—	—
6.4.0.3	6.4.0	—	—
6.4.0.2	6.4.0	—	—
6.4.0.1	6.4.0	6.4.0	6.4.0

アンインストールパッチのガイドライン

シェルを使用して先にデバイスからアンインストールする

Firepower Management Center では、その管理対象デバイスと同じまたはより新しいバージョンを実行する必要があります。これは FMC 展開で、最初に管理対象デバイスからパッチをアンインストールすることを意味します。

デバイスパッチをアンインストールするには、エキスパートモードとも呼ばれる Linux シェルを使用する必要があります。これは、デバイスから「個別に」、かつ「ローカルに」アンインストールすることを意味します。つまり、次のようになります。

高可用性および拡張性展開のデバイスからパッチを一括でアンインストールすることはできません。中断を最小限に抑えるアンインストール順序を計画するには、「HA/スケーラビリティ環境でのアンインストール順序」を参照してください。
FMC または ASDM を使用してデバイスからパッチをアンインストールすることも、7000/8000 シリーズデバイスのローカル Web インターフェイスを使用することもできません。
FMC のユーザーアカウントを使用して、いずれかの管理対象デバイスにログインしてデバイスからパッチをアンインストールすることはできません。デバイスでは、独自のユーザーアカウントが維持されます。
デバイスの admin ユーザーとして、または CLI 設定アクセス権を持つ別のローカルユーザーとして、デバイスシェルにアクセスできる必要があります。シェルアクセスを無効にした場合、デバイスパッチをアンインストールすることはできません。デバイスのロックダウンを元に戻すには、Cisco TAC にご連絡ください。

デバイスの後に FMC からアンインストールする

管理対象デバイスからアンインストールした後に、FMC からパッチをアンインストールします。アップグレードと同様に、高可用性 FMC から一度に 1 つずつアンインストールする必要があります。詳しくは、「HA/スケーラビリティ環境でのアンインストール順序」を参照してください。

FMC パッチのアンインストールには FMC Web インターフェイスを使用することをお勧めします。管理者アクセス権が必要になります。Web インターフェイスを使用できない場合は、Linux シェルを、シェルの admin ユーザーまたはシェルアクセス権を持つ外部ユーザーのどちらかとして使用できます。シェルアクセスを無効にした場合は、FMC のロックダウンを元に戻すために Cisco TAC にご連絡ください。

HA/スケーラビリティ環境でのアンインストール順序

Firepower アプライアンスからのパッチのアンインストールは、アプライアンスをユニットとしてアップグレードした場合であっても、個別に行います。特にハイアベイラビリティ（HA）およびスケーラビリティの展開環境では、中断を最小限に抑えるアンインストール順序を計画する必要があります。アップグレードとは異なり、システムはこの操作を行いません。次の表に、HA/スケーラビリティ環境でのアンインストール順序の概要を示します。

通常は次のことに注意してください。

先にセカンダリ/スタンバイ/データユニットをアンインストールしてから、次にプライマリ/アクティブコントロールからアンインストールします。
一度に 1 つずつアンインストールします。次のユニットに移る前に、パッチが 1 つのユニットから完全にアンインストールされるまで待ちます。

表 2. HA 内の FMC の場合におけるアンインストール順序
展開	アンインストール順序
FMC ハイアベイラビリティ	同期を一時停止した状態（「スプリットブレイン」と呼びます）で、ピアから一度に 1 つずつアンインストールします。ペアが split-brain の状況で、構成の変更または展開を行わないでください。同期を一時停止します（スプリットブレインに移行します）。スタンバイからアンインストールします。アクティブからアンインストールします。同期を再開します（スプリットブレインから抜けます）。

表 3. HA またはクラスタ内の FTD デバイスの場合におけるアンインストール順序
展開	アンインストール順序
デバイスのハイアベイラビリティ	ハイアベイラビリティ用に設定されたデバイスからパッチをアンインストールすることはできません。先にハイアベイラビリティを解除する必要があります。ハイアベイラビリティを解除します。以前のスタンバイからアンインストールします。以前のアクティブからアンインストールします。ハイアベイラビリティを再確立します。
デバイスクラスタ	一度に 1 つのユニットからアンインストールし、制御ユニットを最後に残します。クラスタ化されたユニットは、パッチのアンインストール中はメンテナンスモードで動作します。データモジュールから一度に 1 つずつアンインストールします。データモジュールの 1 つを新しい制御モジュールに設定します。以前のコントロールからアンインストールします。

表 4. HA またはスタック内の 7000/8000 シリーズデバイスの場合におけるアンインストール順序
7000/8000 シリーズの環境	アンインストール順序
7000/8000 シリーズハイアベイラビリティ	常にスタンバイからアンインストールします。HA ペア内の 7000/8000 シリーズデバイスは、パッチのアンインストール中はメンテナンスモードで動作します。スタンバイからアンインストールします。ロールを切り替えます。新しいスタンバイからアンインストールします。
8000 シリーズスタック	スタック内のすべてのデバイスから同時にアンインストールします。すべてのデバイスからパッチをアンインストールするまで、スタックは制限付きの混合バージョンの状態で動作します。

表 5. ASA フェールオーバーペア/クラスタ内の ASA with FirePOWER Services デバイスの場合におけるアンインストール順序
ASA 展開	アンインストール順序
ASA FirePOWER が有効な ASA アクティブ/スタンバイフェールオーバーペア	常にスタンバイからアンインストールします。スタンバイ ASA デバイスの ASA FirePOWER モジュールからアンインストールします。フェールオーバーします。新しいスタンバイ ASA デバイスの ASA FirePOWER モジュールからアンインストールします。
ASA FirePOWER が有効な ASA アクティブ/アクティブフェールオーバーペア	アンインストールしないユニットの両方のフェールオーバーグループをアクティブにします。プライマリ ASA デバイスの両方のフェールオーバーグループをアクティブにします。セカンダリ ASA デバイスの ASA FirePOWER モジュールからアンインストールします。セカンダリ ASA デバイスの両方のフェールオーバーグループをアクティブにします。プライマリ ASA デバイスの ASA FirePOWER モジュールからアンインストールします。
ASA FirePOWER が有効な ASA クラスタ	アンインストールの前に、各ユニットでクラスタリングを無効にします。一度に 1 つのユニットからアンインストールし、制御ユニットを最後に残します。データユニットでクラスタリングを無効にします。そのユニットの ASA FirePOWER モジュールからアンインストールします。クラスタリングを再び有効にします。ユニットが再びクラスタに参加するのを待ちます。各データユニットに対して手順を繰り返します。制御ユニットでクラスタリングを無効にします。新しい制御ユニットが引き継ぐまで待ちます。以前の制御ユニットの ASA FirePOWER モジュールからアンインストールします。クラスタリングを再び有効にします。

アンインストールの手順

スタンドアロン FMC からのアンインストール

次の手順を実行して、Firepower Management Center Virtual を含むスタンドアロンの Firepower Management Center からパッチをアンインストールします。

始める前に

管理対象デバイスからパッチをアンインストールします。FMC では管理対象デバイスよりも後のバージョンを実行することを推奨します。

手順

ステップ 1	構成が古い管理対象デバイスに展開します。アンインストールする前に展開すると、失敗する可能性が減少します。
ステップ 2	事前チェックを実行します。正常性のチェック：FMC のメッセージセンターを使用します（メニューバーの [システムステータス（System Status）] アイコンをクリックします）。導入環境内のアプライアンスが正常に通信していること、およびヘルスモニターによって報告された問題がないことを確認します。タスクの実行：また、メッセージセンターで、必須タスクが完了していることを確認します。アンインストールの開始時に実行中だったタスクは停止され、失敗したタスクとなって再開できなくなります。後で失敗ステータスメッセージを手動で削除できます。
ステップ 3	[システム（System）] > [更新（Updates）] を選択します。
ステップ 4	FMC のアンインストールパッケージの横にある [インストール（Install）] アイコンをクリックし、FMC を選択します。正しいアンインストールパッケージがない場合は、Cisco TAC にお問い合わせください。
ステップ 5	[インストール（Install）] をクリックして、アンインストールを開始します。アンインストールすることを確認し、FMC を再起動します。
ステップ 6	ログアウトするまで、メッセージセンターで進行状況を確認します。パッチのアンインストール中は、設定の変更やデバイスへの展開をしないでください。メッセージセンターに進行状況が数分間表示されない場合や、アンインストールの失敗が示された場合でも、アンインストールを再開したり、FMC を再起動したりしないでください。代わりに、Cisco TAC にお問い合わせください。
ステップ 7	パッチをアンインストールして FMC が再起動したら、再び FMC にログインします。
ステップ 8	成功したことを確認します。 [ヘルプ（Help）] > [バージョン情報（About）] を選択し、現在のソフトウェアバージョン情報を表示します。
ステップ 9	メッセージセンターを使用して、導入環境に問題がないことを再度確認します。
ステップ 10	構成を再展開します。

ハイアベイラビリティ FMC からのアンインストール

次の手順を実行して、ハイアベイラビリティペアの Firepower Management Center からパッチをアンインストールします。

ピアから一度に 1 つずつアンインストールします。同期を一時停止した状態で、先にスタンバイからアンインストールし、次にアクティブからアンインストールします。スタンバイの FMC でアンインストールが開始されると、ステータスがスタンバイからアクティブに切り替わり、両方のピアがアクティブになります。この一時的な状態のことを「スプリットブレイン」と呼び、アップグレード中とアンインストール中を除き、サポートされていません。ペアが split-brain の状況で、構成の変更または展開を行わないでください。同期の再開後は変更内容が失われます。

始める前に

管理対象デバイスからパッチをアンインストールします。FMC では管理対象デバイスよりも後のバージョンを実行することを推奨します。

手順

ステップ 1	アクティブな FMC で、構成が古い管理対象デバイスに展開します。アンインストールする前に展開すると、失敗する可能性が減少します。
ステップ 2	同期を一時停止する前に、メッセージセンターを使用して導入環境に問題がないことを確認します。 FMC メニューバーで、[システムステータス（System Status）] アイコンをクリックして、メッセージセンターを表示します。導入環境内のアプライアンスが正常に通信していること、およびヘルスモニタによって報告された問題がないことを確認します。
ステップ 3	同期を一時停止します。 [システム（System）] > [統合（[Integration）]を選択します。 [ハイアベイラビリティ（High Availability）] タブで、[同期の一時停止（Pause Synchronization）] をクリックします。
ステップ 4	FMC からパッチを一度に 1 つずつアンインストールします。先にスタンバイで行い、次はアクティブで行います。「スタンドアロン FMC からのアンインストール」の手順に従います。ただし、初期の展開は省略し、各 FMC で更新が成功したことを確認したら停止します。要約すると、それぞれの FMC で以下の手順を実行します。事前チェック（ヘルス、実行中のタスク）を実行します。 [システム（System）] > [更新（Updates）] ページで、パッチをアンインストールします。ログアウトするまで進行状況を確認し、ログインできる状態になったら再びログインします。アンインストールが成功したことを確認します。ペアが split-brain の状況で、構成の変更または展開を行わないでください。
ステップ 5	アクティブピアにする FMC で、同期を再開します。 [システム（System）] > [統合（Integration）] の順に選択します。 [ハイアベイラビリティ（High Availability）] タブで、[アクティブにする（Make-Me-Active）] をクリックします。同期が再開し、その他の FMC がスタンバイモードに切り替わるまで待ちます。
ステップ 6	メッセージセンターを使用して、導入環境に問題がないことを再度確認します。
ステップ 7	構成を再展開します。

任意のデバイスからのアンインストール（FMC マネージド）

次の手順を実行して、Firepower Management Center 環境内の「1 台」の管理対象デバイスからパッチをアンインストールします。これには、物理および仮想デバイス、セキュリティモジュール、および ASA FirePOWER モジュールが含まれます。

始める前に

特に HA/スケーラビリティの環境において、正しいデバイスからアンインストールしようとしていることを確認してください。「HA/スケーラビリティ環境でのアンインストール順序」を参照してください。

手順

ステップ 1

デバイスの設定が古い場合は、この時点で FMC から展開します。

アンインストールする前に展開すると、失敗する可能性が減少します。

例外：混合したバージョンのクラスタ、スタック、または HA ペアには展開しないでください。HA/スケーラビリティ環境では、最初のデバイスからアンインストールする前に展開しますが、すべてのメンバからパッチのアンインストールを終えるまでは再度展開しないでください。

ステップ 2

事前チェックを実行します。

正常性のチェック：FMC のメッセージセンターを使用します（メニューバーの [システムステータス（System Status）] アイコンをクリックします）。導入環境内のアプライアンスが正常に通信していること、およびヘルスモニターによって報告された問題がないことを確認します。
タスクの実行：また、メッセージセンターで、必須タスクが完了していることを確認します。アンインストールの開始時に実行中だったタスクは停止され、失敗したタスクとなって再開できなくなります。後で失敗ステータスメッセージを手動で削除できます。

ステップ 3

デバイスの Firepower CLI にアクセスします。admin として、または設定アクセス権を持つ別の Firepower CLI ユーザーとしてログインします。

デバイスの管理インターフェイスに SSH 接続するか（ホスト名または IP アドレス）、コンソールを使用できます。 ASA 5585-X シリーズデバイスは専用の ASA FirePOWER コンソールポートを備えています。

コンソールを使用する場合、一部のデバイスではデフォルトでオペレーティングシステムの CLI に設定されており、Firepower CLI にアクセスする場合は追加の手順が必要になります。


Firepower 1000 シリーズ	`connect ftd`
Firepower 2100 シリーズ	`connect ftd`
Firepower 4100/9300	`connect module slot_number console`、次に `connect ftd`（最初のログインのみ）
ASA FirePOWER（ASA 5585-X シリーズを除く）	`session sfr`

ステップ 4

Firepower CLI プロンプトで、expertコマンドを使用して Linux シェルにアクセスします。

ステップ 5

uninstall コマンドを実行し、プロンプトが表示されたらパスワードを入力します。

sudo install_update.pl --detach /var/sf/updates/uninstaller_name

Firepower アプライアンスにパッチを適用すると、そのパッチを簡単に識別できるアンインストーラーが、アップグレードディレクトリに自動的に作成されます。「パッケージのアンインストール」を参照してください。

アンインストールをコンソールから実行している場合を除き、--detach オプションを使用して、ユーザーセッションがタイムアウトした場合にアンインストールが停止しないようにします。これを行わないと、アンインストールはユーザーシェルの子プロセスとして実行されます。接続が終了した場合は、プロセスが強制終了し、チェックが中断してアプライアンスが不安定な状態のままになることがあります。

注意	システムから、アンインストールの確認メッセージが表示されることはありません。このコマンドを入力すると、デバイスの再起動を含むアンインストールが開始されます。アンインストール時のトラフィックフローとインスペクションの中断は、アップグレード時に発生する中断と同じです。準備が整っていることを確認してください。

ステップ 6

アンインストールをモニターします。

アンインストールを解除しなければ、コンソールまたは端末に進行状況が表示されます。解除した場合は、tail または tailf を使用してログを表示できます。

FTD デバイス：tail /ngfw/var/log/sf/update.status
その他のすべてのデバイス：tail /var/log/sf/update.status

ステップ 7

成功したことを確認します。

パッチをアンインストールしてデバイスを再起動した後、デバイスのソフトウェアバージョンが正しいことを確認します。FMC で、[デバイス（Devices）] > [デバイス管理（Device Management）] を選択します。

ステップ 8

メッセージセンターを使用して、導入環境に問題がないことを再度確認します。

ステップ 9

構成を再展開します。

例外：HA または拡張性の展開では、混合したバージョンのクラスタ、スタック、または HA ペアには展開しないでください。展開は、すべてのメンバーについてこの手順を繰り返した後にのみ行います。

次のタスク

HA/スケーラビリティ環境の場合は、各デバイスについて計画した順序でこの手順を繰り返します。その後、最終的な調整を行います。たとえば、FTD HA 環境では、両方のピアからアンインストールした後に HA を再確立します。

ASA FirePOWER からのアンインストール（ASDM マネージド）

次の手順を実行して、ローカル管理されている ASA FirePOWER モジュールからパッチをアンインストールします。FMC を使用して ASA FirePOWER を管理している場合は、「任意のデバイスからのアンインストール（FMC マネージド）」を参照してください。

始める前に

特に ASA のフェールオーバー/クラスタ環境において、正しいデバイスからアンインストールしようとしていることを確認してください。「HA/スケーラビリティ環境でのアンインストール順序」を参照してください。

手順

ステップ 1

デバイスの設定が古い場合は、この時点で ASDM から展開します。

アンインストールする前に展開すると、失敗する可能性が減少します。

ステップ 2

事前チェックを実行します。

システムステータス：[モニターリング（Monitoring）] > [ASA FirePOWER のモニターリング（ASA FirePOWER Monitoring）] > [統計情報（Statistics）] を選択し、すべてが想定どおりであることを確認します。
実行中のタスク：[モニターリング（Monitoring）] > [ASA FirePOWER のモニターリング（ASA FirePOWER Monitoring）] > [タスク（Task）] を選択し、必須タスクが完了していることを確認します。アンインストールの開始時に実行中だったタスクは停止され、失敗したタスクとなって再開できなくなります。後で失敗ステータスメッセージを手動で削除できます。

ステップ 3

ASA FirePOWER モジュールの Firepower CLI にアクセスします。admin として、または設定アクセス権を持つ別の Firepower CLI ユーザーとしてログインします。

モジュールの管理インターフェイスに SSH 接続するか（ホスト名または IP アドレス）、コンソールを使用できます。コンソールを使用する場合、ASA 5585-X シリーズデバイスは専用の ASA FirePOWER コンソールポートを備えています。他の ASA モデルでは、コンソールポートはデフォルトで ASA CLI に設定されており、Firepower CLI にアクセスするには session sfr コマンドを使用する必要があります。

ステップ 4

Firepower CLI プロンプトで、expertコマンドを使用して Linux シェルにアクセスします。

ステップ 5

uninstall コマンドを実行し、プロンプトが表示されたらパスワードを入力します。

sudo install_update.pl --detach /var/sf/updates/Cisco_Network_Sensor_Patch_Uninstaller-version-build.sh.REL.tar

署名付きの（.tar）パッケージは解凍しないでください。

注意	システムから、アンインストールの確認メッセージが表示されることはありません。このコマンドを入力すると、デバイスの再起動を含むアンインストールが開始されます。アンインストール時のトラフィックフローとインスペクションの中断は、アップグレード時に発生する中断と同じです。準備が整っていることを確認してください。

ステップ 6

アンインストールをモニターします。

tail /var/log/sf/update.status

パッチのアンインストール中は、デバイスに設定を展開しないでください。メッセージセンターに進行状況が数分間表示されない場合や、アンインストールの失敗が示された場合でも、アンインストールを再開したり、デバイスを再起動したりしないでください。代わりに、Cisco TAC にお問い合わせください。

ステップ 7

成功したことを確認します。

パッチをアンインストールしてモジュールを再起動した後、モジュールのソフトウェアバージョンが正しいことを確認します。[設定（Configuration）] > [ASA FirePOWER の設定（ASA FirePOWER Configuration）] > [デバイス管理（Device Management）] > [デバイス（Device）] を選択します。

ステップ 8

構成を再展開します。

次のタスク

ASA フェールオーバー/クラスタ環境の場合は、各デバイスについて計画した順序でこの手順を繰り返します。

パッケージのアンインストール

パッチのアンインストーラーは、アップグレードパッケージと同様に名前が付けられていますが、ファイル名には「Patch」ではなく「Patch_Uninstaller」が含まれます。Firepower アプライアンスにパッチを適用すると、そのパッチ用のアンインストーラーがアップグレードディレクトリに自動的に作成されます。

/ngfw/var/sf/updates（Firepower Threat Defense デバイスの場合）
/var/sf/updates（Firepower Management Center および NGIPS デバイス（7000/8000 シリーズ、ASA FirePOWER、NGIPSv）の場合）

アンインストーラーがアップグレードディレクトリにない場合（手動で削除した場合など）は、Cisco TAC にお問い合わせください。署名付きの（.tar）パッケージは解凍しないでください。

Cisco Firepower バージョン 6.4.0 パッチリリースノート

偏向のない言語

翻訳について

Book Title

Cisco Firepower バージョン 6.4.0 パッチリリースノート

Chapter Title