FTD HA-Upgrade von FMC verwaltet

Download-Optionen

  • PDF     (1.8 MB)
    Mit Adobe Reader auf verschiedenen Geräten anzeigen
  • ePub     (1.6 MB)
    In verschiedenen Apps auf iPhone, iPad, Android, Sony Reader oder Windows Phone anzeigen
  • Mobi (Kindle)     (1.2 MB)
    Auf einem Kindle-Gerät oder einer Kindle-App auf mehreren Geräten anzeigen
Aktualisiert:27. Oktober 2026
Dokument-ID:220668

Inklusive Sprache

In dem Dokumentationssatz für dieses Produkt wird die Verwendung inklusiver Sprache angestrebt. Für die Zwecke dieses Dokumentationssatzes wird Sprache als „inklusiv“ verstanden, wenn sie keine Diskriminierung aufgrund von Alter, körperlicher und/oder geistiger Behinderung, Geschlechtszugehörigkeit und -identität, ethnischer Identität, sexueller Orientierung, sozioökonomischem Status und Intersektionalität impliziert. Dennoch können in der Dokumentation stilistische Abweichungen von diesem Bemühen auftreten, wenn Text verwendet wird, der in Benutzeroberflächen der Produktsoftware fest codiert ist, auf RFP-Dokumentation basiert oder von einem genannten Drittanbieterprodukt verwendet wird. Hier erfahren Sie mehr darüber, wie Cisco inklusive Sprache verwendet.

Informationen zu dieser Übersetzung

Cisco hat dieses Dokument maschinell übersetzen und von einem menschlichen Übersetzer editieren und korrigieren lassen, um unseren Benutzern auf der ganzen Welt Support-Inhalte in ihrer eigenen Sprache zu bieten. Bitte beachten Sie, dass selbst die beste maschinelle Übersetzung nicht so genau ist wie eine von einem professionellen Übersetzer angefertigte. Cisco Systems, Inc. übernimmt keine Haftung für die Richtigkeit dieser Übersetzungen und empfiehlt, immer das englische Originaldokument (siehe bereitgestellter Link) heranzuziehen.

Einleitung

Dieses Dokument beschreibt den Upgrade-Prozess für eine Cisco Secure Firewall Threat Defense in High Availability, die von einem Firewall Management Center verwaltet wird.

Voraussetzungen

Anforderungen

Cisco empfiehlt, dass Sie über Kenntnisse in den folgenden Bereichen verfügen:

  • Hochverfügbarkeitskonzepte und -konfiguration
  • Secure Firewall Management Center (FMC)-Konfiguration
  • Cisco Secure Firewall Threat Defense (FTD) - Konfiguration

Verwendete Komponenten

Die Informationen in diesem Dokument basieren auf:

  • Virtual Cisco Firewall Threat Defense (FTD), Version 7.7.0
  • Virtual Firewall Management Center (FMC), Version 10.0.0

Die Informationen in diesem Dokument beziehen sich auf Geräte in einer speziell eingerichteten Testumgebung. Alle Geräte, die in diesem Dokument benutzt wurden, begannen mit einer gelöschten (Nichterfüllungs) Konfiguration. Wenn Ihr Netzwerk in Betrieb ist, stellen Sie sicher, dass Sie die möglichen Auswirkungen aller Befehle kennen.

Überblick

FMC aktualisiert einen Peer nach dem anderen. Zuerst Standby, dann Aktiv und anschließend automatisches Failover, bevor das aktive Upgrade abgeschlossen ist.

Hintergrundinformationen

Upgrade-Paket muss vor dem Upgrade von Cisco heruntergeladen werden.

Führen Sie auf CLI-Aufruf den Befehl show high-availability config im Active FTD aus, um den Status von High Availability zu überprüfen:

> show high-availability config
Failover On 
Failover unit Primary
Failover LAN Interface: Failover GigabitEthernet0/2 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 311 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.23(1), Mate 9.23(1)
Serial Number: Ours 9AMGH3EJNUB, Mate 9AT2W4PTJSU
Last Failover at: 22:36:55 UTC Oct 14 2026
        This host: Primary - Active 
                Active time: 3505 (sec)
                slot 0: ASAv hw/sw rev (/9.23(1)) status (Up Sys)
                  Interface inside (192.168.0.1): Normal (Waiting)
                  Interface outside (10.0.0.1): Normal (Waiting)
                  Interface management (209.165.201.1): Normal (Monitored)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Secondary - Standby Ready 
                Active time: 0 (sec)
                  Interface inside (192.168.0.2): Normal (Waiting)
                  Interface outside (10.0.0.2): Normal (Waiting)
                  Interface management (209.165.201.2): Normal (Monitored)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : Failover GigabitEthernet0/2 (up)
        Stateful Obj    xmit       xerr       rcv        rerr      
        General         3501       0          462        0         
        sys cmd         462        0          462        0         
        up time         0          0          0          0         
        RPC services    0          0          0          0         
        TCP conn        606        0          0          0         
        UDP conn        0          0          0          0         
        ARP tbl         2421       0          0          0         
        Xlate_Timeout   0          0          0          0         
        IPv6 ND tbl     0          0          0          0         
        VPN IKEv1 SA    0          0          0          0         
        VPN IKEv1 P2    0          0          0          0         
        VPN IKEv2 SA    0          0          0          0         
        VPN IKEv2 P2    0          0          0          0         
        VPN CTCP upd    0          0          0          0         
        VPN SDI upd     0          0          0          0         
        VPN DHCP upd    0          0          0          0         
        SIP Session     0          0          0          0         
        SIP Tx  0          0          0          0         
        SIP Pinhole     0          0          0          0         
        Route Session   0          0          0          0         
        Router ID       0          0          0          0         
        CTS SGTNAME     0          0          0          0         
        CTS PAC         0          0          0          0         
        TrustSec-SXP    0          0          0          0         
        IPv6 Route      0          0          0          0         
        STS Table       0          0          0          0         
        Umbrella Device-ID      0          0          0          0         
        Rule DB B-Sync  1          0          0          0         
        Rule DB P-Sync  11         0          0          0         
        Rule DB Delete  0          0          0          0         

        Logical Update Queue Information
                        Cur     Max     Total
        Recv Q:         0       10      462
        Xmit Q:         0       12      5391

Wenn keine Fehler sichtbar sind, fahren Sie mit dem Upgrade fort.

Upgrade

Upgrade-Paket hochladen

Es gibt zwei Möglichkeiten, das Upgrade-Paket auf dem FMC zu erhalten:
1. Laden Sie es von der FMC-GUI herunter, Administration > Product Upgrades > Option Klicken Sie, um eine Liste der verfügbaren Pakete abzurufen > Wählen Sie die gewünschte Version aus.

warning-icon

Warnung: Stellen Sie sicher, dass die FMC-Version höher oder gleich der neuen FTD-Version ist, die aktualisiert werden soll.

Administration > Produkt-Upgrades

Administration, Product UpgradesAdministration, Produkt-Upgrades

Retrieve Available PackagesVerfügbare Pakete abrufen

2. Laden Sie das FTD-Upgrade-Paket mithilfe der grafischen Benutzeroberfläche (GUI) auf das FMC hoch. Dieser muss zuvor von der Cisco Software-Website heruntergeladen werden, basierend auf dem FTD-Modell und der FTD-Version.

3. Navigieren Sie zu Administration > Product Upgrades > Add Upgrade Package.

  • Wählen Sie Aktualisierungspaket hochladen aus.
  • Suchen Sie nach dem zuvor heruntergeladenen Image, und wählen Sie dann Hochladen aus.

Add Upgrade PackageAktualisierungspaket hinzufügen

Starten des Upgrade-Prozesses

Available Upgrade PackagesVerfügbare Upgrade-Pakete

1. Wählen Sie das richtige Upgrade-Paket aus, und klicken Sie dann auf Upgrade. Im Abschnitt "Systemübersicht" wird das Upgrade als aktiv angezeigt.

Active UpgradeAktives Upgrade

2. Wählen Sie "Fortsetzen", um fortzufahren.

Select DevicesGeräte auswählen

3. Es gibt eine weitere Option, nämlich das Upgrade von der Geräteliste aus zu starten. Navigieren Sie zu Devices > Device Management > wählen Sie HA Pair > Select Action > Upgrade Threat Defense Software aus.

Action UpgradeAktion-Upgrade

Prepare for UpgradeUpgrade vorbereiten

4. Auf beiden Optionen muss das HA-Paar ausgewählt werden und dann Zur Aktualisierung vorbereiten.

Überprüfungsbereitschaft

Bereitschaftsprüfungen bestätigen, ob die Appliances für ein Upgrade bereit sind:

Was bei der Bereitschaftsprüfung überprüft wird

  • Festplattenspeicher: Bestätigen Sie, dass das Gerät über ausreichend freien Speicherplatz auf allen erforderlichen Systempartitionen verfügt, um das Upgrade-Image zu entpacken und zu installieren.

  • NTP-Synchronisierung: Überprüft, ob die Systemuhr über das Network Time Protocol (NTP) synchronisiert wird, um gültige Zeitstempel und eine sichere Kommunikation zu gewährleisten.

  • Kompatibilität mit FMC-/FTD-Versionen: Stellt sicher, dass auf dem Management Center (FMC) eine Softwareversion ausgeführt wird, die gleich oder höher als die Zielversion des FTD-Geräts ist.

  • FXOS- und Plattformkompatibilität: Überprüft die Hardware- und FXOS-Anforderungen (z. B. an das Chassis der Firepower 4100/9300-Serie), um sicherzustellen, dass die Firmware des Chassis mit dem FTD-Zielcode übereinstimmt oder diesen unterstützt.

  • Hohe Verfügbarkeit und Cluster-Status: Validiert den HA-Synchronisierungsstatus, die Funktionen und die geräteübergreifende Kommunikation, bevor Änderungen beginnen.

  • Ausstehende Konfigurationen/Bereitstellungsstatus: Überprüft, ob nicht bereitgestellte Konfigurationsänderungen weitergeleitet oder bereinigt werden müssen.

Readiness CheckBereitschaftsprüfung

Readiness Check CompleteBereitschaftsprüfung abgeschlossen

5. Wählen Sie Upgrade starten, um fortzufahren.

FTD-Upgrade bei hoher Verfügbarkeit

Start UpgradeUpgrade starten

1. Der Fortschritt der Aktualisierung zeigt den Prozentsatz an:

Upgrade in ProgressUpgrade wird durchgeführt

2. Der Detaillierte Status zeigt den Fortschritt grafisch und die Protokolle der Datei status.log:

Detailed StatusDetaillierter Status

3. Der Fortschritt kann unter Benachrichtigungen > Aufgaben beobachtet werden.

Tasks NotificationsAufgabenbenachrichtigungen

note-icon

Anmerkung: Das Upgrade kann etwa 20 Minuten dauern. pro FTD.


4. Auf der Konsolen-CLI kann der Fortschritt im Aktualisierungsordner /ngfw/var/log/sf überprüft werden. wechseln in den Expertenmodus und wechseln in den Root-Zugriff.

5. Gehen Sie zum Upgrade-Paket: cd Cisco_FTD_Upgrade-10.0.0 und tail auf der status.log file: tail -f status.log.

> expert
admin@ftd-secundario:~$ sudo su
Password: 
root@ftd-secundario:/home/admin# cd /ngfw/var/log/sf
root@ftd-secundario:/ngfw/var/log/sf# cd Cisco_FTD_Upgrade-10.0.0
root@ftd-secundario:/ngfw/var/log/sf/Cisco_FTD_Upgrade-10.0.0# tail -f status.log
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_nofailover_fdm_ha.pl)
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_rm_old_var.sh)
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_z_must_remain_last_finalize_boot.sh)
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_zz_install_bundle.sh)
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_zzz_complete_upgrade_message.sh)
ui: Upgrade complete
ui: The system will now reboot.
ui: Upgrade completed successfully. (99% done).. Applications are starting.
ui: Upgrade completed with (100% done).. and FTD started successfully
state:finished

The system is going down for reboot NOW!
warning-icon

Warnung: Im Rahmen des Upgrades wird automatisch ein Failover durchgeführt. Bevor die sekundäre FTD neu startet und das Upgrade abschließt.

6. Nachdem das Upgrade auf dem sekundären Gerät abgeschlossen ist, wird es auf dem primären Gerät gestartet.

Primary Device UpgradePrimäres Geräte-Upgrade

7. Bestätigen Sie unter Geräte > Gerätemanagement, dass sich die neue Version neben dem Namen der Geräte in der Spalte Version befindet.

Bereitstellung

1. Implementieren Sie eine Richtlinie für Geräte unter Deploy > Deploy to this Device > Select HA Pair.

DeploymentBereitstellung

Aktive Peer-Switches (optional)

note-icon

Anmerkung: Um ein mögliches Failover zu verfolgen, legen Sie als Best Practice das primäre Gerät als aktiv und das sekundäre als Standby fest.

Ein manuelles Failover kann verwendet werden, um die primäre wieder auf "Aktiv" zu setzen.

2. Navigieren Sie zu den drei Punkten neben dem Bleistiftsymbol (bearbeiten), und wählen Sie Switch Active Peer (Aktiven Peer wechseln).

Switch Active PeerAktiven Peer wechseln

Validieren

Um den Hochverfügbarkeitsstatus zu überprüfen und sicherzustellen, dass Ihr Upgrade abgeschlossen ist, müssen Sie die folgenden Status überprüfen:

  • Primary: Aktiv
  • Sekundär: Standby-fähig
  • Beide befinden sich unter der Version, die die kürzlich geänderte Version ist (in diesem Beispiel 10.0.0).

1. Navigieren Sie in der FMC-GUI zu Geräte > Geräteverwaltung.

Validate VersionVersion überprüfen

2. Überprüfen Sie den Failover-Status über den CLI-Befehl, indem Sie den Befehl show failover state und show failover ausführen, um detailliertere Informationen zu erhalten:

Cisco Firepower Extensible Operating System (FX-OS) v2.18.0 (build 520)
Cisco Secure Firewall Threat Defense for VMware v10.0.0 (build 140)

> show failover state

               State          Last Failure Reason      Date/Time
This host  -   Primary
               Active         None
Other host -   Secondary
               Standby Ready  None

====Configuration State===
        Sync Skipped
====Communication State===
        Mac set

> show failover
Failover On 
Failover unit Primary
Failover LAN Interface: Failover GigabitEthernet0/2 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 311 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.24(1), Mate 9.24(1)
Serial Number: Ours 9AMGH3EJNUB, Mate 9AT2W4PTJSU
Last Failover at: 19:50:06 UTC Oct 15 2026
        This host: Primary - Active 
                Active time: 1699 (sec)
                slot 0: ASAv hw/sw rev (/9.24(1)) status (Up Sys)
                  Interface inside (192.168.0.1): Normal (Waiting)
                  Interface outside (10.0.0.1): Normal (Waiting)
                  Interface management (209.165.201.1): Normal (Monitored)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Secondary - Standby Ready 
                Active time: 1888 (sec)
                  Interface inside (192.168.0.2): Normal (Waiting)
                  Interface outside (10.0.0.2): Normal (Waiting)
                  Interface management (209.165.201.2): Normal (Monitored)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : Failover GigabitEthernet0/2 (up)
        Stateful Obj    xmit       xerr       rcv        rerr      
        General         1876       0          1525       0         
        sys cmd         419        0          419        0         
        up time         0          0          0          0         
        RPC services    0          0          0          0         
        TCP conn        166        0          2          0         
        UDP conn        0          0          0          0         
        ARP tbl         1286       0          1099       0         
        Xlate_Timeout   0          0          0          0         
        IPv6 ND tbl     0          0          0          0         
        VPN IKEv1 SA    0          0          0          0         
        VPN IKEv1 P2    0          0          0          0         
        VPN IKEv2 SA    0          0          0          0         
        VPN IKEv2 P2    0          0          0          0         
        VPN CTCP upd    0          0          0          0         
        VPN SDI upd     0          0          0          0         
        VPN DHCP upd    0          0          0          0         
        SIP Session     0          0          0          0         
        SIP Tx  0          0          0          0         
        SIP Pinhole     0          0          0          0         
        Route Session   0          0          0          0         
        Router ID       0          0          0          0         
        CTS SGTNAME     0          0          0          0         
        CTS PAC         0          0          0          0         
        TrustSec-SXP    0          0          0          0         
        IPv6 Route      0          0          0          0         
        STS Table       0          0          0          0         
        Umbrella Device-ID      0          0          0          0         
        Rule DB B-Sync  0          0          1          0         
        Rule DB P-Sync  5          0          4          0         
        Rule DB Delete  0          0          0          0         

        Logical Update Queue Information
                        Cur     Max     Total
        Recv Q:         0       11      2301
        Xmit Q:         0       1       2812
>

3. Wenn beide FTDs auf derselben Version installiert sind und der Hochverfügbarkeitsstatus einwandfrei ist, ist das Upgrade abgeschlossen.

Revisionsverlauf

Überarbeitung Veröffentlichungsdatum Kommentare
4.0
27-Oct-2026
Aktualisierte Rechtschreibung, Grammatik, Abstände, eingefügte horizontale Linien in separaten Abschnitten zur besseren Lesbarkeit, korrigierte CCW-Warnungen und alternativer Text.
3.0
08-Apr-2024
Aktualisierter Alternativer Text, Rechtschreibung und Formatierung.
2.0
02-Aug-2023
Erstveröffentlichung
1.0
28-Jul-2023
Erstveröffentlichung
TAC Authored

Beiträge von Cisco Ingenieuren

  • Marlene Preciado
    Technical Consulting Engineer

War dieses Dokument hilfreich?

FeedbackFeedback

Cisco kontaktieren

Dieses Dokument gilt für folgende Produkte.