Aggiorna FTD HA gestito da FMC

Opzioni per il download

  • PDF     (1.8 MB)
    Visualizza con Adobe Reader su diversi dispositivi
  • ePub     (1.6 MB)
    Visualizza in diverse app su iPhone, iPad, Android, Sony Reader o Windows Phone
  • Mobi (Kindle)     (1.2 MB)
    Visualizza su dispositivo Kindle o tramite app Kindle su più dispositivi
Aggiornato:27 ottobre 2026
ID documento:220668

Linguaggio senza pregiudizi

La documentazione per questo prodotto è stata redatta cercando di utilizzare un linguaggio senza pregiudizi. Ai fini di questa documentazione, per linguaggio senza di pregiudizi si intende un linguaggio che non implica discriminazioni basate su età, disabilità, genere, identità razziale, identità etnica, orientamento sessuale, status socioeconomico e intersezionalità. Le eventuali eccezioni possono dipendere dal linguaggio codificato nelle interfacce utente del software del prodotto, dal linguaggio utilizzato nella documentazione RFP o dal linguaggio utilizzato in prodotti di terze parti a cui si fa riferimento. Scopri di più sul modo in cui Cisco utilizza il linguaggio inclusivo.

Informazioni su questa traduzione

Cisco ha tradotto questo documento utilizzando una combinazione di tecnologie automatiche e umane per offrire ai nostri utenti in tutto il mondo contenuti di supporto nella propria lingua. Si noti che anche la migliore traduzione automatica non sarà mai accurata come quella fornita da un traduttore professionista. Cisco Systems, Inc. non si assume alcuna responsabilità per l’accuratezza di queste traduzioni e consiglia di consultare sempre il documento originale in inglese (disponibile al link fornito).

Introduzione

In questo documento viene descritto il processo di aggiornamento di Cisco Secure Firewall Threat Defense in High Availability gestito da un centro di gestione dei firewall.

Prerequisiti

Requisiti

Cisco raccomanda la conoscenza dei seguenti argomenti:

  • Concetti e configurazione di High Availability (HA)
  • Configurazione di Centro gestione firewall sicuro
  • Configurazione Cisco Secure Firewall Threat Defense (FTD)

Componenti usati

Le informazioni fornite in questo documento si basano su:

  • Virtual Cisco Firewall Threat Defense (FTD), versione 7.7.0
  • Virtual Firewall Management Center (FMC), versione 10.0.0

Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.

Panoramica

FMC esegue l'aggiornamento di un peer alla volta. Prima Standby, quindi Attivo e completamento di un failover automatico prima del completamento dell'aggiornamento attivo.

Premesse

Il pacchetto di aggiornamento deve essere scaricato da Cisco prima dell'aggiornamento.

Alla chiusura della CLI, eseguire il comando show high-availability config nel file FTD attivo per controllare lo stato dell'elevata disponibilità:

> show high-availability config
Failover On 
Failover unit Primary
Failover LAN Interface: Failover GigabitEthernet0/2 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 311 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.23(1), Mate 9.23(1)
Serial Number: Ours 9AMGH3EJNUB, Mate 9AT2W4PTJSU
Last Failover at: 22:36:55 UTC Oct 14 2026
        This host: Primary - Active 
                Active time: 3505 (sec)
                slot 0: ASAv hw/sw rev (/9.23(1)) status (Up Sys)
                  Interface inside (192.168.0.1): Normal (Waiting)
                  Interface outside (10.0.0.1): Normal (Waiting)
                  Interface management (209.165.201.1): Normal (Monitored)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Secondary - Standby Ready 
                Active time: 0 (sec)
                  Interface inside (192.168.0.2): Normal (Waiting)
                  Interface outside (10.0.0.2): Normal (Waiting)
                  Interface management (209.165.201.2): Normal (Monitored)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : Failover GigabitEthernet0/2 (up)
        Stateful Obj    xmit       xerr       rcv        rerr      
        General         3501       0          462        0         
        sys cmd         462        0          462        0         
        up time         0          0          0          0         
        RPC services    0          0          0          0         
        TCP conn        606        0          0          0         
        UDP conn        0          0          0          0         
        ARP tbl         2421       0          0          0         
        Xlate_Timeout   0          0          0          0         
        IPv6 ND tbl     0          0          0          0         
        VPN IKEv1 SA    0          0          0          0         
        VPN IKEv1 P2    0          0          0          0         
        VPN IKEv2 SA    0          0          0          0         
        VPN IKEv2 P2    0          0          0          0         
        VPN CTCP upd    0          0          0          0         
        VPN SDI upd     0          0          0          0         
        VPN DHCP upd    0          0          0          0         
        SIP Session     0          0          0          0         
        SIP Tx  0          0          0          0         
        SIP Pinhole     0          0          0          0         
        Route Session   0          0          0          0         
        Router ID       0          0          0          0         
        CTS SGTNAME     0          0          0          0         
        CTS PAC         0          0          0          0         
        TrustSec-SXP    0          0          0          0         
        IPv6 Route      0          0          0          0         
        STS Table       0          0          0          0         
        Umbrella Device-ID      0          0          0          0         
        Rule DB B-Sync  1          0          0          0         
        Rule DB P-Sync  11         0          0          0         
        Rule DB Delete  0          0          0          0         

        Logical Update Queue Information
                        Cur     Max     Total
        Recv Q:         0       10      462
        Xmit Q:         0       12      5391

Se non sono visibili errori, procedere con l'aggiornamento.

Aggiornamento

Carica pacchetto di aggiornamento

Il pacchetto di aggiornamento del CCP può essere ricevuto in due modi:
1. Scaricarlo dalla GUI di FMC, Amministrazione > Aggiornamenti prodotti > Opzione Fare clic per recuperare l'elenco dei pacchetti disponibili > Selezionare la versione desiderata.

warning-icon

Avviso: Verificare che la versione del FMC sia successiva o uguale alla nuova versione del FTD da aggiornare.

Amministrazione > Aggiornamenti dei prodotti

Administration, Product UpgradesAmministrazione, aggiornamenti dei prodotti

Retrieve Available PackagesRecupera pacchetti disponibili

2. Caricare il pacchetto di aggiornamento FTD nel FMC utilizzando l'interfaccia grafica utente (GUI). Questa operazione deve essere stata precedentemente scaricata dal sito software Cisco in base al modello e alla versione FTD.

3. Passare a Amministrazione > Aggiornamenti prodotti > Aggiungi pacchetto di aggiornamento.

  • Selezionare Carica pacchetto di aggiornamento.
  • Cercare l'immagine scaricata in precedenza, quindi selezionare Upload (Carica).

Add Upgrade PackageAggiungi pacchetto di aggiornamento

Avvia il processo di aggiornamento

Available Upgrade PackagesPacchetti di aggiornamento disponibili

1. Selezionare il pacchetto di aggiornamento corretto, quindi fare clic su Aggiorna. Nella sezione Panoramica del sistema, l'Aggiornamento viene visualizzato come attivo.

Active UpgradeAggiornamento attivo

2. Selezionare Riprendi per continuare.

Select DevicesSeleziona dispositivi

3. Esiste un'altra opzione, che sta avviando l'aggiornamento dall'elenco Dispositivi. Selezionare Dispositivi > Gestione dispositivi > Seleziona coppia HA > Seleziona azione > Aggiorna software di difesa dalle minacce.

Action UpgradeAggiornamento azioni

Prepare for UpgradePrepara per l'aggiornamento

4. In entrambe le opzioni, è necessario selezionare la coppia HA, quindi Preparare per l'aggiornamento.

Verifica preparazione

I controlli di idoneità confermano se gli accessori sono pronti per un aggiornamento:

Elementi verificati dalla verifica della fattibilità

  • Spazio su disco: Conferma che il dispositivo dispone di spazio di archiviazione sufficiente in tutte le partizioni di sistema necessarie per decomprimere e installare l'immagine di aggiornamento.

  • Sincronizzazione NTP Verifica che l'orologio di sistema sia sincronizzato tramite il protocollo NTP (Network Time Protocol) per mantenere timestamp validi e comunicazioni protette.

  • Compatibilità con la versione FMC/FTD: Verifica che il centro di gestione (CCP) esegua una versione software uguale o superiore alla versione di destinazione del dispositivo FTD.

  • Compatibilità FXOS e piattaforma: Verifica i requisiti a livello hardware e FXOS (ad esempio sugli chassis Firepower serie 4100/3900) per verificare che il firmware dello chassis corrisponda o supporti il codice FTD di destinazione.

  • Alta disponibilità (HA) e stato del cluster: Verifica che lo stato di sincronizzazione HA, i ruoli e le comunicazioni tra dispositivi siano integri prima di iniziare qualsiasi modifica.

  • Configurazioni in sospeso / Stato distribuzione: Controlla se è necessario eseguire il push o la pulizia di modifiche alla configurazione non distribuite.

Readiness CheckVerifica preparazione

Readiness Check CompleteVerifica preparazione completata

5. Selezionare Avvia aggiornamento per continuare.

Aggiorna FTD in alta disponibilità

Start UpgradeAvvia aggiornamento

1. L'avanzamento dell'aggiornamento visualizza la percentuale:

Upgrade in ProgressAggiornamento in corso

2. Lo stato dettagliato (Detailed status) mostra lo stato di avanzamento in modo grafico e i log relativi allo stato.log:

Detailed StatusStato dettagliato

3. I progressi possono essere osservati in Notifiche > Task.

Tasks NotificationsNotifiche attività

note-icon

Nota: L'aggiornamento può richiedere circa 20 minuti. per FTD.


4. Dalla CLI della console è possibile verificare lo stato nella cartella di aggiornamento /ngfw/var/log/sf; passare alla modalità expert e accedere alla directory principale.

5. Passare al pacchetto di aggiornamento: cd Cisco_FTD_Upgrade-10.0.0 e seguire le istruzioni nel file status.log file: tail -f status.log.

> expert
admin@ftd-secundario:~$ sudo su
Password: 
root@ftd-secundario:/home/admin# cd /ngfw/var/log/sf
root@ftd-secundario:/ngfw/var/log/sf# cd Cisco_FTD_Upgrade-10.0.0
root@ftd-secundario:/ngfw/var/log/sf/Cisco_FTD_Upgrade-10.0.0# tail -f status.log
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_nofailover_fdm_ha.pl)
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_rm_old_var.sh)
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_z_must_remain_last_finalize_boot.sh)
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_zz_install_bundle.sh)
ui: Upgrade in progress: (64% done. 5 mins to reboot). Finishing the upgrade... (999_finish/999_zzz_complete_upgrade_message.sh)
ui: Upgrade complete
ui: The system will now reboot.
ui: Upgrade completed successfully. (99% done).. Applications are starting.
ui: Upgrade completed with (100% done).. and FTD started successfully
state:finished

The system is going down for reboot NOW!
warning-icon

Avviso: Il failover viene eseguito automaticamente come parte dell'aggiornamento. Prima che l'FTD secondario si riavvii e completi l'aggiornamento.

6. Al termine dell'aggiornamento nel dispositivo secondario, l'aggiornamento viene avviato nel dispositivo principale.

Primary Device UpgradeAggiornamento dispositivo primario

7. Confermare in Dispositivi > Gestione dispositivi che la nuova versione sia accanto al nome dei dispositivi, sotto la colonna Versione.

Implementazione

1. Distribuire una policy ai dispositivi in Distribuisci > Distribuisci su questo dispositivo > Seleziona coppia HA.

DeploymentImplementazione

Switch Active Peer (opzionale)

note-icon

Nota: Per tenere traccia di eventuali failover, è consigliabile impostare il dispositivo principale su Attivo e il dispositivo secondario su Standby.

È possibile utilizzare un failover manuale per reimpostare il database primario su Attivo.

2. Passare ai tre punti accanto all'icona a forma di matita (modifica), quindi selezionare Cambia peer attivo.

Switch Active PeerSwitch Active Peer

Convalida

Per convalidare lo stato Alta disponibilità e assicurarsi che l'aggiornamento sia completato, è necessario verificare i seguenti stati:

  • Primario: Active
  • Secondario: Pronto per lo standby
  • Entrambi si trovano nella versione modificata di recente (10.0.0 in questo esempio).

1. Nell'interfaccia utente di FMC, selezionare Devices > Device Management (Dispositivi > Gestione dispositivi).

Validate VersionConvalida versione

2. Al termine della CLI, controllare lo stato del failover eseguendo il comando show failover state e show failover per informazioni più dettagliate:

Cisco Firepower Extensible Operating System (FX-OS) v2.18.0 (build 520)
Cisco Secure Firewall Threat Defense for VMware v10.0.0 (build 140)

> show failover state

               State          Last Failure Reason      Date/Time
This host  -   Primary
               Active         None
Other host -   Secondary
               Standby Ready  None

====Configuration State===
        Sync Skipped
====Communication State===
        Mac set

> show failover
Failover On 
Failover unit Primary
Failover LAN Interface: Failover GigabitEthernet0/2 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 311 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.24(1), Mate 9.24(1)
Serial Number: Ours 9AMGH3EJNUB, Mate 9AT2W4PTJSU
Last Failover at: 19:50:06 UTC Oct 15 2026
        This host: Primary - Active 
                Active time: 1699 (sec)
                slot 0: ASAv hw/sw rev (/9.24(1)) status (Up Sys)
                  Interface inside (192.168.0.1): Normal (Waiting)
                  Interface outside (10.0.0.1): Normal (Waiting)
                  Interface management (209.165.201.1): Normal (Monitored)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Secondary - Standby Ready 
                Active time: 1888 (sec)
                  Interface inside (192.168.0.2): Normal (Waiting)
                  Interface outside (10.0.0.2): Normal (Waiting)
                  Interface management (209.165.201.2): Normal (Monitored)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : Failover GigabitEthernet0/2 (up)
        Stateful Obj    xmit       xerr       rcv        rerr      
        General         1876       0          1525       0         
        sys cmd         419        0          419        0         
        up time         0          0          0          0         
        RPC services    0          0          0          0         
        TCP conn        166        0          2          0         
        UDP conn        0          0          0          0         
        ARP tbl         1286       0          1099       0         
        Xlate_Timeout   0          0          0          0         
        IPv6 ND tbl     0          0          0          0         
        VPN IKEv1 SA    0          0          0          0         
        VPN IKEv1 P2    0          0          0          0         
        VPN IKEv2 SA    0          0          0          0         
        VPN IKEv2 P2    0          0          0          0         
        VPN CTCP upd    0          0          0          0         
        VPN SDI upd     0          0          0          0         
        VPN DHCP upd    0          0          0          0         
        SIP Session     0          0          0          0         
        SIP Tx  0          0          0          0         
        SIP Pinhole     0          0          0          0         
        Route Session   0          0          0          0         
        Router ID       0          0          0          0         
        CTS SGTNAME     0          0          0          0         
        CTS PAC         0          0          0          0         
        TrustSec-SXP    0          0          0          0         
        IPv6 Route      0          0          0          0         
        STS Table       0          0          0          0         
        Umbrella Device-ID      0          0          0          0         
        Rule DB B-Sync  0          0          1          0         
        Rule DB P-Sync  5          0          4          0         
        Rule DB Delete  0          0          0          0         

        Logical Update Queue Information
                        Cur     Max     Total
        Recv Q:         0       11      2301
        Xmit Q:         0       1       2812
>

3. Se entrambi gli FTD si trovano nella stessa versione e lo stato di alta disponibilità è integro, l'aggiornamento è completato.

Cronologia delle revisioni

Revisione Data di pubblicazione Commenti
4.0
27-Oct-2026
Controllo ortografico, grammaticale, spaziatura e righe orizzontali inserite aggiornate per separare le sezioni in modo da garantirne la leggibilità, gli avvisi CCW fissi e il testo alternativo.
3.0
08-Apr-2024
Testo alternativo, ortografia e formattazione aggiornati.
2.0
02-Aug-2023
Release iniziale
1.0
28-Jul-2023
Versione iniziale
TAC Authored

Contributo dei tecnici Cisco

  • Marlene Preciado
    Tecnico di consulenza

Questo documento ti è stato utile?

FeedbackFeedback

Contattaci

Questo documento si applica a questi prodotti