内容

お問い合わせ内容

ソフトウェアのアップグレード後、Secure Firewall Threat Defense(FTD)クラスタデータノードがクラスタへの参加に失敗します。確認された症状は次のとおりです。

1.show cluster historyの出力に、「Configuration replication failed」エラーメッセージが表示され、ユニットの状態がDATA_NODE_CONFIGからDISABLEDに変わります。

> show cluster history

…

09:52:55 UTC May 8 2026

DISABLED              ELECTION              Enabled from CLI

09:52:55 UTC May 8 2026

ELECTION              ONCALL                Event: Cluster unit unit-1-1 state

is CONTROL_NODE

09:52:55 UTC May 8 2026

ONCALL                DATA_NODE_COLD        Received cluster control message

09:52:55 UTC May 8 2026

DATA_NODE_COLD        DATA_NODE_APP_SYNC    Client progression done

09:54:39 UTC May 8 2026

DATA_NODE_APP_SYNC    DATA_NODE_CONFIG      Data node application configuration sync done

09:54:53 UTC May 8 2026

DATA_NODE_CONFIG      DISABLED              Configuration replication failed

2. ファイル/mnt/disk0/cluster_trace.log*には、keyコマンドの設定複製の失敗と、クラスタのDISABLED状態への移行に関連するメッセージが含まれています。

May 08 09:54:50.538 [INFO]start to monitor Port-channel47

May 08 09:54:50.538 [DBUG]Send CCP message to all: CCP_MSG_HWIDB_STATE

May 08 09:54:50.568 [INFO]start to monitor Ethernet1/5

May 08 09:54:50.568 [DBUG]Send CCP message to all: CCP_MSG_HWIDB_STATE

May 08 09:54:50.738 [CRIT]Config syncing failure: context single_vf, line 1027, CLI " key

>".

May 08 09:54:50.748 [DBUG]Send event (PROGRESSION_FAILURE, n/a, n/a, 94350991600520) to FSM. Current state DATA_NODE_CONFIG

May 08 09:54:50.748 [INFO]cluster_fsm_disable: The clustering re-enable timer is stopped.

May 08 09:54:50.748 [DBUG]Send CCP message to all: CCP_MSG_QUIT from unit-2-1 for reason CLUSTER_QUIT_REASON_RETIREMENT

May 08 09:54:50.748 [DBUG]Send event (CONTROL_NODE_GONE, n/a, n/a, 94350991600224) to FSM. Current state DISABLED

3. ファイル/ngfw/var/log/ASAconsole.log*には、keyコマンドの設定複製の失敗およびクラスタのDISABLED状態への移行に関連するメッセージも含まれています。

2026-05-08 09:49:51 Detected Cluster Control Node.

2026-05-08 09:50:01 Beginning configuration replication from Control Node.

…

2026-05-08 09:50:02 livecore enabled

2026-05-08 09:50:02 ........................

2026-05-08 09:50:02  key

2026-05-08 09:50:02      ^

2026-05-08 09:50:02 ERROR: % Input should be less than 64 characters at '^' marker.

2026-05-08 09:50:02 *** Output from config line 1027, " key

..."

2026-05-08 09:50:02

2026-05-08 09:50:02 Failed configuration replication from Control Node.

2026-05-08 09:50:02 Cluster disable is performing cleanup..done.

2026-05-08 09:50:04 Unit unit-2-1 is quitting due to system failure for 3 time(s) (last failure is Internal clustering error). Rejoin will be attempted after 20 minutes.

環境

- マルチインスタンスクラスタ展開でのFTDを備えたFirepower 4145。マルチインスタンスまたはネイティブモードでFirepower 4100/9300を実行するクラスタも影響を受けます。

- FTDクラスタはFMCで管理されます。

- FTDソフトウェアバージョンを7.6.2から7.6.4にアップグレードします。その他のソースソフトウェアまたはターゲットソフトウェアのバージョンも影響を受ける可能性があります。

解決策

当初、クラスタキーは64文字の長さの文字列として設定されていました。『Firepower 4100/9300 CLIまたはChassis Manager(FCM)用Secure FXOS』の設定ガイドの「論理デバイス」の項によると、クラスタキーは1 ～ 63文字のASCII文字列です。そのため、FCMユーザインターフェイスの論理デバイス設定を使用して、クラスタキーの長さが64文字未満に短縮されました。

原因

クラスタキーの最大長の制限は文書化されていますが、FXOSソフトウェアレベル（FXOS CLIまたはFCM）では適用されません。 ユーザは、文字数を超えてクラスタキーを設定できます。最大の文字数にもかかわらず、ユニットはバージョン7.6.2でもクラスタに参加できます。ただし、アップグレード後は、キーの長さの検証が強制的に実行され、クラスタへの参加が失敗します。これは、文書化されていない動作の変更です。これらの症状は、Cisco Bug ID CSCwn53819で内部的に再現および追跡されています。

また、再現作業の一環として、Cisco Bug ID CSCwu35563およびCisco Bug ID CSCwu35553が提出され、FCMおよびFXOS CLIでのクラスタキー長の検証の欠如が追跡されています。

関連コンテンツ

- Chassis ManagerおよびFXOS CLIコンフィギュレーションガイド

- Cisco Bug ID CSCwn53819

- Cisco Bug ID CSCwu35563

- Cisco Bug ID CSCwu35553