Inhalt

Problem

Das Hauptproblem besteht in den Arbeitsabläufen und technischen Anforderungen für die Durchführung eines Hochverfügbarkeits-Upgrades auf Cisco FirePOWER Threat Defense (FTD)-Geräten (insbesondere FPR1120), die von einem FirePOWER Management Center (FMC) 4700 mit Version 7.4.2 verwaltet werden. In diesem Artikel werden die vorbereitenden Schritte, Best Practices und Überlegungen für eine erfolgreiche FTD HA-Aktualisierung beschrieben.

Umwelt

- Technologie: Cisco Secure Firewall FirePOWER 7.4

- Subtechnologie: Firepower Threat Defense (FTD) - Software-Update/Sicherheits-Update/Neuzuordnung/Migration/Sicherung und Wiederherstellung

- Produktfamilie: FPRLOW (einschließlich FPR1120)

- Firepower Threat Defense (FTD) in Hochverfügbarkeitspaar

- Verwaltet vom FirePOWER Management Center (FMC) 4700

- FMC-Softwareversion: 7.4.2

- Geplante Upgrade-Aktivitäten innerhalb eines definierten Wartungsfensters

Auflösung

Befolgen Sie diesen detaillierten Workflow, um sicherzustellen, dass ein erfolgreiches Upgrade der von FMC verwalteten FTD HA-Paare durchgeführt wird:

1. Stellen Sie bei Wartungsfenstern sicher, dass für jedes zu aktualisierende Gerät mindestens eine Stunde Zeit reserviert ist.

1. Upgrade FTD HA verwaltet von FMC.

2. Stellen Sie beim Firepower-Gerät als Root-Benutzer sicher, dass das System eine Datenbankintegritätsprüfung bestehen kann.

```

> expert

admin@FTD-1:~$ sudo su

Password:

root@FTD-1:/Volume/home/admin# DBCheck.pl

```

1. Stellen Sie sicher, dass die Fehlerbehebungsdatei des Geräts erstellt wurde, um Vorabprüfungen bei Problemen auszuführen, die sich auf das Upgrade auswirken können.

1. Fehlerbehebung bei FirePOWER-Verfahren zur Dateigenerierung.

2. Erstellen Sie vor jedem Upgrade-Versuch eine Konfigurationssicherung für die ASA/FTD/FMC.

3. Stellen Sie sicher, dass Sie mit den Funktionsänderungen in allen Zwischenversionen von Firepower vertraut sind, wenn Sie von einer Version zur anderen wechseln.

1. Versionshinweise

4. Bei hoher Verfügbarkeit/Failover stellen Sie sicher, dass die Failover-Verbindung stabil und die Synchronisierung fehlerfrei ist.

Schritt 1: Vorbereitung auf das Upgrade

Vor Beginn des Upgrade-Vorgangs ist es wichtig, Konfigurations-Backups sowohl der FTD HA-Geräte als auch des FMC zu erstellen und zu speichern. Dadurch wird sichergestellt, dass Konfigurationen bei einem Upgrade-Fehler oder einem unerwarteten Problem wiederhergestellt werden können.

Sicherung der FMC-Konfiguration:

Navigate to System > Tools > Backup/Restore in the FMC GUI

Um sicherzustellen, dass der Konfigurationsstatus des FTD-Geräts erhalten bleibt, stellen Sie sicher, dass die letzte Konfigurationsbereitstellung vom FMC für beide HA-Peers abgeschlossen wurde.

Beispielausgabe (FMC-GUI):

Backup completed successfully.

Schritt 2: Überprüfen des aktuellen Status des FTD HA-Paars

Überprüfen Sie den HA-Status, um sicherzustellen, dass beide Peers fehlerfrei und synchronisiert sind, bevor Sie mit dem Upgrade fortfahren.

# From the FMC CLI, use this command to check device status:

device# show failover

Beispiel:

This host: Primary - Active

Other host: Secondary - Standby Ready

State: Normal

Schritt 3: Wartungsfenster planen und kommunizieren

Stellen Sie sicher, dass das Wartungsfenster klar definiert ist und alle Beteiligten informiert sind. Für diesen Workflow wurde die Wartung entsprechend geplant:

- Startzeit: 18.11.2025 12:00:00 (UTC -3 Argentina/Buenos_Aires)

- Endzeit: 18.11.2025 14:00:00 (UTC -3 Argentinien/Buenos_Aires)

Schritt 4: FTD HA-Upgrade starten

Initiieren Sie das Upgrade vom FMC aus, und achten Sie dabei darauf, dass Sie die von Cisco empfohlene Vorgehensweise für das Upgrade von HA-Paaren einhalten. Während des Upgrade-Vorgangs wird das Upgrade in der Regel fortlaufend durchgeführt:

1. Upgrade des Standby-Geräts

2. Failover

3. Aktive Einheit

# In FMC GUI, navigate to Devices > Device Management > [HA Pair] > Upgrade

Dies sind die Anweisungen auf dem Bildschirm, um das entsprechende Image auszuwählen und das Upgrade zu starten.

Schritt 5: Überwachen des Upgrade-Prozesses

Überwachen Sie den Fortschritt des Upgrades für beide Einheiten genau. Verwenden Sie den Abschnitt zur Überwachung der FMC-GUI-Aufträge oder die CLI für Statusaktualisierungen.

# To check upgrade progress via CLI:

device# show upgrade status

Beispiel:

Upgrade in progress on standby unit...

Upgrade completed on standby unit.

Initiating failover...

Upgrade in progress on active unit...

Upgrade completed on both units.

HA Pair is synchronized.

Schritt 6: Verifizierung nach dem Upgrade

Überprüfen Sie nach Abschluss des Upgrades Folgendes:

- Auf beiden FTD-Geräten wird die beabsichtigte Softwareversion ausgeführt.

- Der HA-Status meldet beide Einheiten als fehlerfrei und synchronisiert.

- Alle beabsichtigten Services und Netzwerkflüsse werden erwartungsgemäß ausgeführt.

device# show version

Beispiel:

Cisco Firepower Threat Defense Version 7.4.2

device# show failover

Beispiel:

This host: Primary - Active

Other host: Secondary - Standby Ready

State: Normal

Schritt 7: Sicherstellen, dass die Backups auf dem neuesten Stand sind

Erstellen Sie nach dem Upgrade neue Backups von FMC und FTD, um den aktuellen, aktualisierten Konfigurationsstatus zu erfassen.

Repeat backup process as described in Step 1.

Ursache

None. Dies ist ein Standard-Upgrade-Workflow für Cisco FTD HA, der von FMC verwaltet wird.

Verwandte Inhalte

- Technischer Support und Downloads von Cisco

- FTD HA-Upgrade von FMC verwaltet

- Fehlerbehebung bei FirePOWER-Verfahren zur Dateigenerierung

- Versionshinweise