Sommario

Introduzione

Prerequisiti

Premesse

Percorsi di aggiornamento di Cisco IOS XE

Elenco di controllo pre-aggiornamento

Procedura di aggiornamento generale

Processo di aggiornamento software Cisco IOS XE

Modalità di installazione

SLP (Smart Licensing Using Policy)

Ultima versione Cisco IOS XE supportata per moduli ASR1000

Introduzione

In questo documento vengono descritte considerazioni chiave, problemi noti e best practice per l'aggiornamento del software dei router Cisco ASR serie 1000 in modalità autonoma.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

- Software Cisco IOS® XE

- Configurazione e gestione di base dei router

Componenti usati

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Premesse

L'aggiornamento del router Cisco ASR serie 1000 a Cisco IOS XE 17.x e alle versioni più recenti offre i vantaggi delle funzionalità più recenti, dei miglioramenti della sicurezza e delle prestazioni. In questa guida vengono descritti i passaggi necessari, inclusi gli aggiornamenti intermedi per le versioni precedenti e alcune considerazioni su ROMmon (ROM Monitor), FPGA (Field-Programmable Gate Array) e Smart Licensing.

Percorsi di aggiornamento di Cisco IOS XE

La tabella riepiloga i percorsi di aggiornamento consigliati per le piattaforme ASR serie 1000 in base alla versione software corrente:

Versione corrente

Passaggio provvisorio n. 1

Passaggio provvisorio n. 2

Fase finale

3.x/16.x (1-8)

16,9 x (RP2)

o 16.12.x (altri modelli)

17.9.x (solo se sono in uso licenze PAK/RTU, non è stata effettuata alcuna istantanea)

17.12 o successiva

16.(9-12),x

N/D

17.9.x (solo se sono in uso licenze PAK/RTU, non è stata effettuata alcuna istantanea)

17.12 o successiva

Perché è importante: Alcune versioni precedenti richiedono aggiornamenti intermedi per la compatibilità o il supporto di funzionalità. In questo modo la piattaforma viene avviata correttamente e funziona dopo l'aggiornamento.

Note importanti

Snapshot della licenza PAK

- Se si ha una licenza PAK senza istantanea e si desidera eseguire l'aggiornamento a Cisco IOS XE 17.12.1a o versioni successive, è necessario prima aggiornare il sistema alla versione provvisoria (17.9.x) per poter creare automaticamente lo snapshot della licenza PAK e completare il processo di conversione DLC (Device-Led Conversion), quindi aggiornare il sistema alla versione di destinazione.

- Per i dettagli, vedere FN-74148 e Snapshots per le licenze PAK.

Deprecazione cifrari deboli

A partire da Cisco IOS XE 17.1.1a:

- I gruppi DES, 3DES, MD5 e DH 1, 2 e 5 sono obsoleti e non sono più supportati

- Utilizzare invece i gruppi AES, SHA e DH 14+

- Anche le trasformazioni esp-gmac sono deprecate

- Vedere FN-72510 per ulteriori informazioni.

Attenzione: Se sono configurati dispositivi di crittografia deprecati e viene eseguito l'aggiornamento del software a Cisco IOS XE 17.11.1a o versione successiva, la negoziazione del tunnel IPsec non riesce e determina l'interruzione del servizio.

Per continuare temporaneamente a utilizzare cifrature deboli durante la migrazione, disabilitare il comando CSDL compliance with crypto engine compliance shield disable e riavviare.

Elenco di controllo pre-aggiornamento

- Esegui backup della configurazione corrente e delle licenze locali (se applicabile)

- Assicurarsi di disporre di almeno 2 GB di spazio libero su bootflash

- Assegnazione di 15-20 minuti per il downtime

- Esaminare le note sulla versione pertinenti per tutte le versioni coinvolte nel percorso di aggiornamento.

Procedura di aggiornamento generale

Percorso A: da Cisco IOS XE 3.x/16.x (1-8).x a 17.12 o versioni successive:

1. Aggiornare ROMmon, se necessario (vedere Aggiornamento ROMmon).

2. Eseguire l'aggiornamento a Cisco IOS XE 16.9.x (per ASR 1000-RP2) o 16.12.x per altri modelli.

3. Aggiornare FPGA se necessario (vedere Aggiornamento FPGA/CPLD).

4. Se le licenze PAK sono state usate senza snapshot: dopo l'aggiornamento a Cisco IOS XE 17.9.x, il sistema acquisisce automaticamente una copia istantanea della chiave PAK e completa il processo DLC (Device-Led Conversion).

5. Eseguire l'aggiornamento alla versione di destinazione (Cisco IOS XE 17.12 o versione successiva).

Percorso B: da Cisco IOS XE 16.0(9-12).x a 17.12 o versioni successive:

1. Aggiornare ROMmon, se necessario (vedere Aggiornamento ROMmon).

2. Aggiornare FPGA se necessario (vedere Aggiornamento FPGA/CPLD).

3. Se le licenze PAK sono state usate senza snapshot: eseguire l'aggiornamento a Cisco IOS XE 17.9.x, al termine dell'aggiornamento il sistema acquisisce automaticamente una copia istantanea della chiave PAK e completa il processo DLC (Device-Led Conversion).

4. Eseguire l'aggiornamento alla versione di destinazione (Cisco IOS XE 17.12 o versione successiva).

Aggiornamento ROMmon (richiesto)

ROMmon è il firmware del bootloader installato in moduli hardware specifici del router Cisco IOS XE. L'aggiornamento garantisce che l'hardware possa avviare ed eseguire le immagini Cisco IOS XE 17.x più recenti.

Versione consigliata al momento della stesura di questo documento: 17.15(4r)

Avviso: Dopo aver eseguito l'aggiornamento a ROMmon 17.3(1r) o versione successiva, non è possibile ripristinare: ASR 1001-X, ASR 1001-HX, ASR 1002-HX, ASR 1000-RP3

Avviso: Dopo aver aggiornato ROMmon alla versione 17.15(4r), non è possibile effettuare il downgrade a una versione precedente su nessuna scheda/piattaforma.

- Controllare la versione ROMmon corrente installata sul modulo RP (fare riferimento a "Versione firmware" in fondo all'output).
Router#show platform

<...>

Slot      CPLD Version        Firmware Version

--------- ------------------- ---------------------------------------

0         19060309            16.9(4r)

R0        19060309            16.9(4r)   <<<<<

F0        19060309            16.9(4r)

- Se la versione è precedente alla 17.3(1r), procedere con l'aggiornamento.

Procedura di aggiornamento di ROMmon:

Passaggio 1. Copiare l'immagine ROMmon su bootflash.

copy tftp: bootflash:

2. Verificare che il checksum MD5 dell'immagine ROMmon corrisponda al valore pubblicato per questo file nella pagina di download del software

verify /md5 bootflash:asr1000-rommon.1715-4r.SPA.pkg

Passaggio 3. Aggiornare ROMmon monitor.

upgrade rom-monitor filename bootflash:asr1000-rommon.1715-4r.SPA.pkg all

Nota: Quando si esegue l'aggiornamento da ROMmon a 17.15(4r) tramite upgrade rom-monitor filename all, ricaricare prima manualmente le schede ESP utilizzando lo slot hw-module <F0/F1>. Quando le schede raggiungono lo stato ok, ricaricare l'intero chassis con il comando reload. Il modulo ESP rimane disattivato per un massimo di 15 minuti durante il ripristino.

Nota: Per ASR1000-MIP100, ROMmon non viene aggiornato — la versione 16.3(2r) viene inserita intenzionalmente nella versione 17.15(4r) (per supportare il comando upgrade rom-monitor filename all). Si tratta di un comportamento normale.

Risorse:

- Guida all'aggiornamento di ROMmon

- Download di ROMmon 17.15(4r)

Aggiornamento FPGA/CPLD

Le versioni FPGA o CPLD (Complex Programmable Logic Device) gestiscono le funzioni hardware di basso livello. Versioni non corrette o obsolete possono causare errori di avvio o problemi di funzionamento dell'hardware con le nuove immagini Cisco IOS XE.

Come confermare la versione CPLD/FPGA

- Eseguire il comando show hw-programmable all per verificare le versioni correnti di CPLD/FPGA di ciascun modulo.

- La versione CPLD viene visualizzata anche nella sezione inferiore dell'output del comando show platform.

Quando aggiornare CPLD/FPGA

1. ASR 1000-RP2: Se la versione FPGA è precedente a 17071402, è necessario effettuare l'aggiornamento.

Nota: Le versioni ROMmon precedenti alla 16.9(5r) o FPGA precedenti alla 17071402 non possono avviare immagini IOS XE superiori a 1 GB. Vedere l'ID bug Cisco CSCvm9095

1. Altre piattaforme: eseguire l'aggiornamento se CPLD/FPGA è meno recente della versione consigliata.

Versioni consigliate

In questa tabella vengono elencate le versioni consigliate e i rispettivi collegamenti di download per CPLD e FPGA per ciascuna piattaforma ASR 1000.

Piattaforma

CPLD

FPGA

Scarica

ASR 1000-RP2

14111801

18102401

Scarica

ASR 1000-RP3

19091111

—

Scarica

ASR 1001-X

19060309

—

Scarica

ASR 1002-X

14012203

20034

Scarica

ASR 1001-HX

19030215

16051716

Scarica

ASR 1002-HX

19030211

15102108

Scarica

Note specifiche della piattaforma:

- ASR 1001-X, ASR 1001-HX, ASR 1002-HX: I collegamenti per il download rimandano a un file .bin - uno speciale strumento di aggiornamento FPGA destinato a CVE-2019-1649 (Cisco Secure Boot Hardware Tampering Vulnerability). Deve essere eseguito dal prompt ROMmon. Vedere istruzioni dettagliate.

- ASR 1000-RP2, ASR 1000-RP3, ASR 1002-X: I collegamenti per il download fanno riferimento a un file di firmware .pkg standard.  Passaggi aggiornamento:

Passaggio 1. Copiare l'immagine su bootflash.

copy tftp: bootflash:

Passaggio 2. Aggiornare il componente hardware programmabile.

upgrade hw-programmable fpga filename bootflash:<hw-programmables-image.pkg> r0

Processo di aggiornamento software Cisco IOS XE

A seconda della versione del software in uso, il processo di aggiornamento di Cisco IOS XE alla versione 17.x di destinazione richiede un passaggio di aggiornamento temporaneo o può essere un aggiornamento diretto.

In questa sezione vengono descritte entrambe le opzioni.

Percorso A: Aggiornamento con passaggio provvisorio

Nota: Utilizzare questo percorso se la versione corrente è Cisco IOS XE 3.x o 16.0(1-8).x.

Passaggi di aggiornamento

Passaggio 1. Copiare l'immagine provvisoria in bootflash e verificare

copy tftp://<interim-image.bin> bootflash:

verify /md5 bootflash:<interim-image.bin>

Passaggio 2. Impostare i parametri di avvio per l'immagine provvisoria

configure terminal

no boot system

boot system bootflash:<interim-image.bin>

boot system bootflash:<current-image.bin>

end

write memory

Passaggio 3. Impostare il registro di configurazione e caricarlo nuovamente

configure terminal

config-register 0x2102

end

write memory

reload

Una volta avviato il router nella versione provvisoria, verificare la funzionalità e lo stato della licenza.

Passaggio 4. Copiare l'immagine finale su bootflash e verificare

copy tftp://<final-image.bin> bootflash:

verify /md5 bootflash:<final-image.bin>

Passaggio 5. Aggiornare l'istruzione di avvio all'immagine finale, salvare la configurazione e ricaricarla

configure terminal

no boot system

boot system bootflash:<final-image.bin>

boot system bootflash:<interim-image.bin>

end

write memory

reload

Percorso B: Aggiorna a Cisco IOS XE 17.x

Nota: Utilizzare questo percorso se la versione corrente è Cisco IOS XE 16.x(9-12).x. Queste versioni sono compatibili con un aggiornamento diretto a Cisco IOS XE 17.x.

Non è necessario alcun passo intermedio a meno che la destinazione non sia Cisco IOS XE 17.12 o versioni successive e che non siano state usate licenze PAK senza aver creato una copia istantanea. In questo caso, è consigliabile eseguire prima un aggiornamento temporaneo alla versione 17.9.x, in modo da poter raccogliere la copia istantanea PAK.

Passaggi di aggiornamento

Passaggio 1. Copiare l'immagine finale su bootflash e verificare

copy tftp://<final-image.bin> bootflash:

verify /md5 bootflash:<final-image.bin>

Passaggio 2. Configurare l'immagine d'avvio

configure terminal

no boot system

boot system bootflash:<final-image.bin>

boot system bootflash:<current-image.bin>

end

write memory

Passaggio 3. Impostare il registro di configurazione e caricarlo nuovamente

configure terminal

config-register 0x2102

end

write memory

reload

Modalità di installazione

Da Cisco IOS XE 17.15.1a, tutte le piattaforme vengono fornite in modalità di installazione per impostazione predefinita. È possibile avviare, aggiornare e effettuare il downgrade utilizzando i comandi di installazione.

Istruzioni per la conversione dalla modalità bundle alla modalità di installazione, l'aggiornamento e il downgrade in modalità di installazione: Installazione del software utilizzando i comandi di installazione

SLP (Smart Licensing Using Policy)

Requisito: la policy di utilizzo delle licenze Smart diventa obbligatoria nelle versioni Cisco IOS XE 17.3.2 e successive.

Riferimento: Panoramica e guida all'integrazione di Cisco SLP

Ultima versione Cisco IOS XE supportata per moduli ASR1000

ID parte

Ultima versione supportata di Cisco IOS XE

ASR 1000-MIP100

17,18 x

EPA-1X100GE

EPA-QSFP-1X100GE

EPA-2X40GE

EPA-18X1GE

EPA-10X10GE

17,18 x

ASR 1000-ESP100-X

ASR 1000-ESP200-X

17,18 x

ASR 1000-RP3

17,18 x

ASR 1000-ESP100

ASR 1000-ESP200

17.15 x

ASR 1000-RP2

17,9 x

ASR 1000-SIP40

17,9 x

ASR 1000-6TGE

ASR 1000-2T+20X1GE

17,9 x