Inhalt

Einleitung

Voraussetzungen

Anforderungen

Verwendete Komponenten

Konfigurieren

Überprüfen der Voraussetzungen

Upgrade über die Kommandozeile

Upgrade mit ASDM

Überprüfung

Über CLI

Über ASDM

Zugehörige Informationen

Einleitung

In diesem Dokument wird beschrieben, wie Sie ASA für Failover-Bereitstellungen für die sichere Firewall 1000, 2100 im Appliance-Modus und die sichere Firewall 3100/4200 aktualisieren.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in folgenden Bereichen verfügen:

- Cisco Secure Firewall Threat Defense (FTD)

- Konfiguration der Cisco Adaptive Security Appliance (ASA).

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf den Softwareversionen:

- Cisco Adaptive Security Appliance Software Version  9.14(4)

- Cisco Adaptive Security Appliance Software Version  9.16(4)

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Konfigurieren

Überprüfen der Voraussetzungen

Schritt 1: Führen Sie den Befehl show fxos mode aus, um sicherzustellen, dass sich das Gerät im Appliance-Modus befindet.

Anmerkung: Für die sichere Firewall 21XX in Version 9.13 und früheren Versionen wird nur der Plattformmodus unterstützt. In Version 9.14 und höher ist der Appliance-Modus der Standard.

ciscoasa# show fxos mode

Mode is currently set to appliance

Schritt 2: Überprüfen der Kompatibilität

Lesen Sie das Dokument zur ASA-Kompatibilität der Cisco Secure Firewall, um die Kompatibilität zwischen der FTD-Hardwareplattform und der ASA-Software der Secure Firewall zu überprüfen. Siehe

Cisco Secure Firewall ASA-Kompatibilität

Schritt 3: Laden Sie das Upgrade-Paket von Cisco Software Central herunter.

Anmerkung: Für die sichere Firewall 1000/2100 und die sichere Firewall 3100/4200 können Sie ASA oder FXOS nicht separat installieren. beide Images sind Teil eines Pakets.

Im entsprechenden Titel erfahren Sie mehr über die ASA- und FXOS-Versionen, die Teil des Pakets sind. Siehe Secure Firewall 1000/2100 und 3100/4200 ASA und FXOS-Paketversionen .

Upgrade über die Kommandozeile

Schritt 1: Setzen Sie das ASDM-Image zurück.

Stellen Sie im globalen Konfigurationsmodus eine Verbindung zur primären Einheit her, und führen Sie die folgenden Befehle aus:

ciscoasa(config)# asdm image disk0:/asdm.bin

ciscoasa(config)# exit

ciscoasa# copy running-config startup-config

Source filename [running-config]?

Cryptochecksum: 6beb01d1 b7a3c30f 5e8eb557 a8ebb8ca

12067 bytes copied in 3.780 secs (4022 bytes/sec)

Schritt 2: Laden Sie das Software-Image auf die primäre Einheit hoch.

Anmerkung: In diesem Dokument verwenden Sie einen FTP-Server. Sie können jedoch auch TFTP, HTTP oder andere Servertypen verwenden.

ciscoasa# copy  ftp://admin:admin@192.168.1.1/cisco-asa-fp2k.9.16.4.SPA disk0:/cisco-asa-fp2k.9.16.4.SPA

Address or name of remote host [192.168.1.1]?

Source username [calo]?

Source password []? ****

Source filename [cisco-asa-fp2k.9.16.4.SPA]?

Destination filename [cisco-asa-fp2k.9.16.4.SPA]?

Accessing  ftp:/admin:

@192.168.1.1/cisco-asa-fp2k.9.16.4.SPA...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Verifying file disk0:/cisco-asa-fp2k.9.16.4.SPA...

Writing file disk0:/cisco-asa-fp2k.9.16.4.SPA...

474475840 bytes copied in 843.230 secs (562842 bytes/sec)

Schritt 3: Laden Sie das Software-Image auf die Sekundäreinheit hoch.

Führen Sie den Befehl auf der primären Einheit aus.

ciscoasa# failover exec mate copy /noconfirm ftp://admin:amind@192.168.1.1/cisco-asa-fp2k.9.16.4.SPA disk0:/cisco-asa-fp2k.9.16.4.SPA

Accessing ftp://admin :

@192.168.1.1/cisco-asa-fp2k.9.16.4.SPA...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Verifying file disk0:/cisco-asa-fp2k.9.16.4.SPA...

Writing file disk0:/cisco-asa-fp2k.9.16.4.SPA...

474475840 bytes copied in 843.230 secs (562842 bytes/sec)

Schritt 4: Überprüfen Sie, ob mit dem Befehl ein aktuelles Boot-Image konfiguriert show running-config boot system wurde.

Anmerkung: Sie können kein Bootsystem konfiguriert haben.

ciscoasa(config)# show running-config boot system

boot system disk0:/cisco-asa-fp2k.9.14.4.SPA

Schritt 5 (optional). Falls Sie ein Boot-Image konfiguriert haben, müssen Sie es entfernen.

Keine Boot-System-Diskette:/asa_image_name

Beispiel:

ciscoasa(config)# no boot system disk0:/cisco-asa-fp2k.9.14.4.SPA

Schritt 6: Wählen Sie das zu bootende Image.

ciscoasa(config)# boot system disk0:/cisco-asa-fp2k.9.16.4.SPA

The system is currently installed with security software package 9.14.4, which has:

- The platform version:  2.8.1.172

- The CSP (asa) version: 9.14.4

Preparing new image for install...

!!!!!!!!!!!!

Image download complete (Successful unpack the image).

Installation of version 9.16.4 will do the following:

- upgrade to the new platform version 2.10.1.217

- upgrade to the CSP ASA version 9.16.4

After installation is complete, ensure to do write memory and reload to save this config and apply the new image.

Finalizing image install process...

Install_status: ready............................

Install_status: validating-images....

Install_status: upgrading-npu

Install_status: upgrading-system.

Install_status: update-software-pack-completed

Schritt 7: Speichern Sie die Konfiguration mit dem Befehl copy running-config startup-config.

Schritt 8: Laden Sie die Sekundäreinheit neu, um die neue Version zu installieren.

ciscoasa(config)# failover reload-standby

Warten Sie, bis die Sekundäreinheit geladen ist.

Schritt 9: Nachdem die Standby-Einheit neu geladen wurde, ändern Sie die primäre Einheit vom aktiven Zustand in den Standby-Zustand.

ciscoasa# no failover active

Schritt 10: Laden Sie das neue Standby-Gerät neu, um die neue Version zu installieren. Sie müssen eine Verbindung mit der neuen aktiven Einheit herstellen.

ciscoasa(config)# failover reload-standby

Sobald das neue Standby-Gerät geladen wurde, ist das Upgrade abgeschlossen.

Upgrade mit ASDM

Schritt 1: Mit ASDM an die Sekundäreinheit anschließen

Schritt 2: Navigieren Sie zu Extras > Software vom lokalen Computer aktualisieren.

Schritt 3: Wählen Sie ASA aus der Dropdown-Liste aus.

Schritt 4: Klicken Sie im Fenster Upgrade Software auf Browse Local Files (Lokale Dateien durchsuchen), um das Software-Image auf die Sekundäreinheit hochzuladen.

Anmerkung: Standardmäßig lautet der Flash File System Path disk0; Klicken Sie auf Flash durchsuchen, und wählen Sie den neuen Pfad aus.

Klicken Sie auf Bild hochladen.

Wenn Sie das Bild hochgeladen haben, klicken Sie auf Nein.

Schritt 5: Setzen Sie das ASDM-Image zurück.

Stellen Sie mit ASDM eine Verbindung zur primären Einheit her, und navigieren Sie zu Configuration > Device Management > System Image/Configuration > Boot Image/Configuration.

Geben Sie in ASDM Image File Path (ASDM-Image-Dateipfad) den Wert disk0:/asdm.bin ein, und wenden Sie ihn an.

Schritt 6: Laden Sie das Software-Image auf die primäre Einheit hoch.

Klicken Sie auf Lokale Dateien durchsuchen, und wählen Sie das Upgrade-Paket auf Ihrem Gerät aus.

Klicken Sie auf Bild hochladen.

Klicken Sie nach dem Hochladen auf Ja.

Klicken Sie in den Vorschaufenstern auf die Schaltfläche Senden, um die Konfiguration zu speichern.

Schritt 7:Klicken Sie auf Speichern, um die Konfiguration zu speichern.

Schritt 8: Laden Sie die Sekundäreinheit neu, um die neue Version zu installieren.

Navigieren Sie zu Überwachung > Eigenschaften > Failover > Status, und klicken Sie auf Standby neu laden.

Warten Sie, bis das Standby-Gerät geladen ist.

Schritt 9: Nachdem die Standby-Einheit neu geladen wurde, ändern Sie die primäre Einheit vom aktiven Zustand in den Standby-Zustand.

Navigieren Sie zu Monitoring > Properties > Failover > Status, und klicken Sie auf Make Standby (Standby einrichten).

Anmerkung: ASMD stellt automatisch eine Verbindung zur neuen aktiven Einheit her.

Schritt 10: Laden Sie das neue Standby-Gerät neu, um die neue Version zu installieren.

Navigieren Sie zu Überwachung > Eigenschaften > Failover > Status, und klicken Sie auf Standby neu laden.

Sobald das neue Standby-Gerät geladen wurde, ist das Upgrade abgeschlossen.

Überprüfung

Um zu überprüfen, ob das Upgrade auf beiden Geräten abgeschlossen wurde, überprüfen Sie das Upgrade über die CLI und ASDM.

Über CLI

ciscoasa# show failover

Failover On

Failover unit Primary

Failover LAN Interface: folink Ethernet1/1 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 1 of 1292 maximum

MAC Address Move Notification Interval not set

Version: Ours 9.16(4), Mate 9.16(4)

Serial Number: Ours JAD25430R73, Mate JAD25430RCG

Last Failover at: 22:45:48 UTC Jan 31 2024

This host: Primary - Active

Active time: 45 (sec)

slot 0: FPR-2120 hw/sw rev (1.5/9.16(4)) status (Up Sys)

Interface management (10.88.15.58): Normal (Monitored)

Other host: Secondary - Standby Ready

Active time: 909 (sec)

slot 0: FPR-2120 hw/sw rev (1.5/9.16(4)) status (Up Sys)

Interface management (10.88.15.59): Normal (Monitored)

Stateful Failover Logical Update Statistics

Link : folink Ethernet1/1 (up)

Stateful Obj xmit xerr rcv rerr

General 27 0 29 0

sys cmd 27 0 27 0

up time 0 0 0 0

RPC services 0 0 0 0

TCP conn 0 0 0 0

UDP conn 0 0 0 0

ARP tbl 0 0 1 0

Xlate_Timeout 0 0 0 0

IPv6 ND tbl 0 0 0 0

VPN IKEv1 SA 0 0 0 0

VPN IKEv1 P2 0 0 0 0

VPN IKEv2 SA 0 0 0 0

VPN IKEv2 P2 0 0 0 0

VPN CTCP upd 0 0 0 0

VPN SDI upd 0 0 0 0

VPN DHCP upd 0 0 0 0

SIP Session 0 0 0 0

SIP Tx 0 0 0 0

SIP Pinhole 0 0 0 0

Route Session 0 0 0 0

Router ID 0 0 0 0

User-Identity 0 0 1 0

CTS SGTNAME 0 0 0 0

CTS PAC 0 0 0 0

TrustSec-SXP 0 0 0 0

IPv6 Route 0 0 0 0

STS Table 0 0 0 0

Umbrella Device-ID 0 0 0 0

Logical Update Queue Information

Cur Max Total

Recv Q: 0 10 160

Xmit Q: 0 1 53

Über ASDM

Navigieren Sie zu Monitoring > Properties > Failover > Status. (Überwachen > Eigenschaften > Failover > Status). Hier wird die ASA-Version für beide Geräte angezeigt.

Zugehörige Informationen

- Cisco Secure Firewall ASA-Kompatibilität

- Cisco Secure Firewall ASA Upgrade-Leitfaden