Contents

Issue

The main issue addressed is the workflow and technical requirements for performing a High Availability (HA) upgrade on Cisco Firepower Threat Defense (FTD) devices (specifically FPR1120) managed by a Firepower Management Center (FMC) 4700 running version 7.4.2. This article details the preparatory steps, best practices, and considerations to ensure a successful FTD HA upgrade operation.

Environment

- Technology: Cisco Secure Firewall Firepower - 7.4

- Subtechnology: Firepower Threat Defense (FTD) - Software Update / Security Update / Reimage / Migration / Backup and Restore

- Product Family: FPRLOW (includes FPR1120)

- Firepower Threat Defense (FTD) in High Availability (HA) Pair

- Managed by Firepower Management Center (FMC) 4700

- FMC software version: 7.4.2

- Planned upgrade activity scheduled within a defined maintenance window

Resolution

Adhere to this detailed workflow to ensure a successful upgrade of FTD HA pairs managed by FMC:

1. For a maintenance window, ensure that at least 1 hour of time is reserved for each device requiring upgrade.

1. Upgrade FTD HA managed by FMC.

2. At the Firepower device as root user, ensure that the system can pass a database integrity check.

```

> expert

admin@FTD-1:~$ sudo su

Password:

root@FTD-1:/Volume/home/admin# DBCheck.pl

```

1. Ensure that the troubleshooting file of the device has been generated to run pre-checks on any issues that could impact upgrade.

1. Troubleshoot Firepower File Generation Procedures.

2. Generate configuration backups for the ASA/FTD/FMC prior to any upgrade attempts.

3. Ensure familiarity with feature changes in all intermediate versions of Firepower when going from one version to another.

1. Release notes

4. For high availability/failover, ensure that the failover link is stable and that synchronization is healthy.

Step 1: Prepare for the Upgrade

Before starting the upgrade process, it is essential to generate and store configuration backups of both the FTD HA devices and the FMC. This ensures that configurations can be restored in the event of an upgrade failure or unexpected issue.

To back up FMC configuration:

Navigate to System > Tools > Backup/Restore in the FMC GUI

To ensure FTD device configuration state is preserved, confirm that the latest configuration deployment has been completed from the FMC to both HA peers.

Example output (FMC GUI):

Backup completed successfully.

Step 2: Verify the Current Status of FTD HA Pair

Before proceeding with the upgrade, check the HA status to confirm both peers are healthy and synchronized.

# From the FMC CLI, use this command to check device status:

device# show failover

Example output:

This host: Primary - Active

Other host: Secondary - Standby Ready

State: Normal

Step 3: Schedule and Communicate the Maintenance Window

Ensure the maintenance window is clearly defined and all stakeholders are informed. For this workflow, the maintenance was scheduled accordingly:

- Start time: 18/11/2025 12:00:00 (UTC -3 Argentina/Buenos_Aires)

- End time: 18/11/2025 14:00:00 (UTC -3 Argentina/Buenos_Aires)

Step 4: Initiate the FTD HA Upgrade

Initiate the upgrade from the FMC, ensuring that you adhere to the Cisco-recommended procedure for upgrading HA pairs. During the upgrade process, the upgrade is typically performed in a rolling fashion:

1. Upgrade the standby unit

2. Failover

3. Active unit

# In FMC GUI, navigate to Devices > Device Management > [HA Pair] > Upgrade

These are the on-screen instructions to select the appropriate image and initiate the upgrade.

Step 5: Monitor the Upgrade Process

Closely monitor the progress of the upgrade for both units. Use the FMC GUI job monitoring section or the CLI for status updates.

# To check upgrade progress via CLI:

device# show upgrade status

Example output:

Upgrade in progress on standby unit...

Upgrade completed on standby unit.

Initiating failover...

Upgrade in progress on active unit...

Upgrade completed on both units.

HA Pair is synchronized.

Step 6: Post-Upgrade Verification

After the upgrade completes, verify that:

- Both FTD devices are running the intended software version.

- HA status reports both units as healthy and synchronized.

- All intended services and network flows are operating as expected.

device# show version

Example output:

Cisco Firepower Threat Defense Version 7.4.2

device# show failover

Example output:

This host: Primary - Active

Other host: Secondary - Standby Ready

State: Normal

Step 7: Ensure Backups Are Up-to-Date

As a final step, generate fresh backups of both FMC and FTD after the upgrade to capture the current, upgraded configuration state.

Repeat backup process as described in Step 1.

Cause

None. This is a standard upgrade workflow for Cisco FTD HA managed by FMC.

Related Content

- Cisco Technical Support & Downloads

- Upgrade FTD HA Managed by FMC

- Troubleshoot Firepower File Generation Procedures

- Release Notes