ASA/PIX: كيفية إستخدام واجهة سطر الأوامر (CLI) لترقية صورة البرنامج على زوج تجاوز الفشل

المقدمة

يصف هذا وثيقة كيف أن يستعمل ال CLI in order to حسنت البرمجية صورة على cisco ASA 5500 sery أمن معدل يعجز جهاز.

ملاحظة: لا يعمل مدير أجهزة الأمان المعدلة (ASDM) إذا قمت بترقية (أو الرجوع به إلى إصدار سابق) برنامج جهاز الأمان من 7.0 إلى 7.2 مباشرة أو ترقية برنامج ASDM (أو الرجوع به إلى إصدار سابق) من 5.0 إلى 5.2 مباشرة. يجب الترقية (أو الرجوع إلى إصدار سابق) بالترتيب التزايدي.

لمزيد من المعلومات حول كيفية ترقية ASDM وصورة البرنامج على ASA، ارجع إلى PIX/ASA: مثال على تكوين ترقية صورة أحد البرامج باستخدام مدير أجهزة الأمان التكيفي (ASDM) أو واجهة سطر الأوامر (CLI)

ملاحظة: في الوضع متعدد السياقات، لا يمكنك إستخدام الأمر copy tftp flash لترقية صورة PIX/ASA أو خفضها في جميع السياقات؛ وهو مدعوم فقط في وضع System Exec.

المتطلبات الأساسية

المتطلبات

لا توجد متطلبات خاصة لهذا المستند.

المكونات المستخدمة

تستند المعلومات الواردة في هذا المستند إلى إصدارات البرامج والمكونات المادية التالية:

• أجهزة الأمان المعدلة Cisco Adaptive Security Appliance (ASA) مع الإصدار 7.0 والإصدارات الأحدث

• Cisco ASDM، الإصدار 5.0 والإصدارات الأحدث

ملاحظة: راجع السماح بوصول HTTPS ل ASDM للحصول على معلومات حول كيفية السماح بتكوين ASA بواسطة ASDM.

تم إنشاء المعلومات الواردة في هذا المستند من الأجهزة الموجودة في بيئة معملية خاصة. بدأت جميع الأجهزة المُستخدمة في هذا المستند بتكوين ممسوح (افتراضي). إذا كانت شبكتك مباشرة، فتأكد من فهمك للتأثير المحتمل لأي أمر.

المنتجات ذات الصلة

كما يمكن إستخدام هذا التكوين مع برنامج جهاز الأمان Cisco PIX 500 Series Security Appliance Software، الإصدار 7.0 والإصدارات الأحدث.

الاصطلاحات

أحلت ال cisco فني طرف إتفاق لمعلومة على وثيقة إتفاق.

التكوين

إجراء ترقيات دون توقف عن العمل لأزواج تجاوز الأعطال

يجب أن تحتوي الوحدتان في تكوين تجاوز الفشل على نفس إصدار البرنامج الرئيسي (الرقم الأول) والصغير (الرقم الثاني). ومع ذلك، فليست هناك حاجة للحفاظ على تماثل الإصدار على الوحدات أثناء عملية الترقية؛ يمكنك تشغيل إصدارات مختلفة من البرنامج على كل وحدة مع الحفاظ على دعم التغلب على الأعطال. لضمان التوافق والاستقرار على المدى الطويل، توصي Cisco بترقية كلتا الوحدتين إلى الإصدار نفسه في أقرب وقت ممكن.

هناك ثلاثة أنواع من الترقيات المتوفرة. وهي كما يلي:

1. إصدار الصيانة—يمكنك الترقية من أي إصدار صيانة إلى أي إصدار صيانة آخر في إصدار ثانوي. على سبيل المثال، يمكنك الترقية من 7.0(1) إلى 7.0(4) دون تثبيت إصدارات الصيانة أولا فيما بين.

2. إصدار ثانوي— يمكنك الترقية من إصدار ثانوي إلى الإصدار الثانوي التالي. لا يمكنك تخطي إصدار ثانوي. على سبيل المثال، يمكنك الترقية من 7. 0 إلى 7. 1. الترقية من 7. 0 مباشرة إلى 7. 2 غير مدعومة للترقيات التي تعمل دون وقت توقف عن العمل؛ يجب الترقية أولا إلى 7.1

3. إصدار رئيسي— يمكنك الترقية من الإصدار الثانوي الأخير من الإصدار السابق إلى الإصدار الرئيسي التالي. على سبيل المثال، يمكنك الترقية من 7.9 إلى 8.0، بافتراض أن 7.9 هو الإصدار الثانوي الأخير في إصدار 7.x.

ترقية تكوين تجاوز الفشل النشط/لوضع الاستعداد

أكمل هذه الخطوات لترقية وحدتين في تكوين نشط/إستعداد لتجاوز الأعطال:

1. قم بتنزيل البرنامج الجديد إلى كلتا الوحدتين، وحدد الصورة الجديدة التي تريد تحميلها باستخدام الأمر boot system.

   راجع ترقية صورة برنامج وصورة ASDM باستخدام CLI (واجهة سطر الأوامر) للحصول على مزيد من المعلومات.

2. قم بإعادة تحميل الوحدة الاحتياطية لتمهيد الصورة الجديدة من خلال إدخال الأمر failed over reload-standby على الوحدة النشطة كما هو موضح أدناه:

   active#failover reload-standby
   

3. عندما تنتهي الوحدة الاحتياطية من إعادة التحميل وتكون في حالة الاستعداد، قم بإجبار الوحدة النشطة على الفشل إلى الوحدة الاحتياطية من خلال إدخال الأمر no fail over active على الوحدة النشطة.

   active#no failover active
   

   ملاحظة: أستخدم الأمر show failover للتحقق من أن وحدة الاستعداد في حالة الاستعداد.

4. إعادة تحميل الوحدة النشطة السابقة (الآن الوحدة الاحتياطية الجديدة) من خلال إدخال الأمر reload:

   newstandby#reload
   

5. عندما تنتهي وحدة الاستعداد الجديدة من إعادة التحميل وتكون في حالة الاستعداد، قم بإعادة الوحدة النشطة الأصلية إلى الحالة النشطة من خلال إدخال الأمر النشط لتجاوز الفشل:

   newstandby#failover active
   

يؤدي هذا إلى اكتمال عملية ترقية زوج تجاوز الفشل النشط/الاحتياطي.

ترقية تكوين نشط/نشط لتجاوز الفشل

أكمل هذه الخطوات لترقية وحدتين في تكوين نشط/نشط لتجاوز الفشل:

1. قم بتنزيل البرنامج الجديد إلى كلتا الوحدتين، وحدد الصورة الجديدة التي تريد تحميلها باستخدام الأمر boot system.

   راجع ترقية صورة برنامج وصورة ASDM باستخدام CLI (واجهة سطر الأوامر) للحصول على مزيد من المعلومات.

2. أجعل كلتا مجموعتي تجاوز الأعطال نشطة في الوحدة الأساسية عن طريق إدخال الأمر النشط لتجاوز الأعطال في مساحة تنفيذ النظام للوحدة الأساسية:

   primary#failover active
   

3. قم بإعادة تحميل الوحدة الثانوية لتمهيد الصورة الجديدة من خلال إدخال الأمر تجاوز الفشل في وضع الاستعداد في مساحة تنفيذ النظام للوحدة الأساسية:

   primary#failover reload-standby
   

4. عندما تنتهي الوحدة الثانوية من إعادة التحميل، وتكون كلتا مجموعتي تجاوز الأعطال في حالة الاستعداد الاحتياطي على تلك الوحدة، مما يجعل كلتا مجموعتي تجاوز الأعطال نشطة على الوحدة الثانوية باستخدام الأمر no fail over active في مساحة تنفيذ النظام للوحدة الأساسية:

   primary#no failover active
   

   ملاحظة: أستخدم الأمر show failover للتحقق من أن كلتا مجموعتي تجاوز الفشل في حالة الاستعداد في الوحدة الثانوية.

5. تأكد من أن كلتا مجموعتي تجاوز الفشل في حالة الاستعداد الاستعداد على الوحدة الأساسية، ثم قم بإعادة تحميل الوحدة الأساسية باستخدام الأمر reload:

   primary#reload
   

6. إذا تم تكوين مجموعات تجاوز الفشل باستخدام الأمر الوقائي، فإنها ستصبح نشطة تلقائيا على الوحدة المخصصة لها بعد مرور التأخير المسبق. إذا لم يتم تكوين مجموعات تجاوز الفشل باستخدام الأمر الاستباقي، فيمكنك إرجاعهم إلى الحالة النشطة على الوحدات المعينة لهم باستخدام أمر المجموعة النشطة لتجاوز الفشل.

استكشاف الأخطاء وإصلاحها

٪ASA-5-720012: (VPN-Secondary) فشل تحديث بيانات وقت تشغيل تجاوز فشل IPSec على الوحدة الاحتياطية (أو) ٪ASA-6-720012: (VPN-Unit) فشل تحديث بيانات وقت تشغيل تجاوز فشل IPsec على الوحدة الاحتياطية

المشكلة

تظهر إحدى رسائل الخطأ التالية عند محاولة ترقية جهاز الأمان القابل للتكيف (ASA) من Cisco:

٪ASA-5-720012: (VPN-Secondary) فشل تحديث بيانات وقت تشغيل تجاوز فشل IPSec على الوحدة الاحتياطية.

٪ASA-6-720012: (VPN-Unit) فشل تحديث بيانات وقت تشغيل تجاوز فشل IPsec على الوحدة الاحتياطية.

الحل

رسائل الخطأ هذه هي أخطاء إعلامية. لا تؤثر الرسائل على وظيفة ASA أو VPN.

تظهر هذه الرسائل عندما يتعذر على النظام الفرعي الخاص بتجاوز فشل الشبكة الخاصة الظاهرية (VPN) تحديث بيانات وقت التشغيل ذات الصلة ب IPsec لأنه قد تم حذف نفق IPsec المتوافق على وحدة الاستعداد. لحل هذه المشاكل، قم بتشغيل الأمر wr standby على الوحدة النشطة.

تم تصنيف إثنين من الأخطاء لمعالجة هذا السلوك؛ يمكنك الترقية إلى إصدار برنامج من ASA حيث تكون هذه الأخطاء ثابتة. راجع معرفات أخطاء Cisco CSCtj58420 (العملاء المسجلون فقط) وCSCtn56517 (العملاء المسجلون فقط) للحصول على مزيد من المعلومات.

معلومات ذات صلة

• أجهزة الأمان Cisco ASA 5500 Series Adaptive Security Appliances
• مدير أجهزة حلول الأمان المعدلة من Cisco
• طلبات التعليقات (RFCs)
• الدعم التقني والمستندات - Cisco Systems