アップグレード前の重要なガイドライン
各オペレーティング システムのアップグレード ガイドライン、制約事項、および設定移行をチェックします。
ASA のアップグレード ガイドライン
アップグレードを行う前に、移行およびその他のガイドラインを確認してください。
バージョン固有のガイドラインおよび移行
現在お使いのバージョンにより、1 つまたは複数の設定の移行が必要になる場合があります。またアップグレード時に、最初のバージョンから最後のバージョンまですべてのバージョンの設定ガイドラインを考慮する必要があります。
9.24 ガイドライン
-
ASDM 7.24 には Java 11 が必要：ASDM 7.24 には Java 11 が必要になりました。ASA イメージにバンドルされている Oracle バージョンの場合、Oracle JDK 11 をインストールする必要があります（https://www.oracle.com/java/technologies/javase/jdk11-archive-downloads.html）。以降のバージョンは互換性がありません。リスクを最小限に抑え、Java との互換性と安定性を向上させるために、シスコでは段階的に Java 8 から Java 11 への移行を開始していきます。7.24 に付属している ASDM ランチャー 1.9 (10) 以降にアップグレードした場合でも、ASDM の以前のバージョンを起動できます。
OpenJRE バージョンでは、Java をインストールする必要はありません。これは組み込みです。
-
ASA 仮想 を 9.24 からダウングレードできません：新しい Grub ブートローダーを含む 9.24 にアップグレードした後は、以前のバージョンにダウングレードできません。新しいバージョンにアップグレードするには、まず 9.24 にアップグレードする必要があります。
9.23 ガイドライン
-
ASA SSH スタックは 9.23 で廃止されました。ASA SSH スタックは使用できなくなりました。Cisco SSH スタックが唯一のスタックになりました。Cisco SSH スタックは EDDSA をサポートしていないため、アップグレードする前に、サポートされている鍵ペアの設定を変更する必要があります。
-
デフォルトの鍵ペアを生成します。
crypto key generate {ecdsa elliptic-curve size | rsa modulus size}
label キーワードを追加しないでください。SSH はデフォルトの鍵ペア（指定した Default-type-Key）のみを使用します。
-
ssh key-exchange hostkey eddsa コマンドを設定した場合は、no 形式を使用して削除する必要があります。このコマンドを使用すると、予期しない結果が生じる可能性があります。
-
9.22 ガイドライン
-
9.22 における、スマートライセンスのデフォルト転送の変更：9.22 において、スマートライセンスのデフォルト転送が Smart Call Home から Smart Transport に変更されました。必要な場合は、transport type callhome コマンドを使用して Smart Call Home を使用するように ASA を設定できます。9.22 にアップグレードすると、転送が自動的に Smart Transport に変更されます。ダウングレードすると、転送は Smart Call Home に戻ります。Smart Transport を使用する場合は、transport type smart を指定する必要があります。また、Smart Transport のライセンスの URL は（tools.cisco.com ではなく）https://smartreceiver.cisco.com であるため、アップストリームルータでその URL を許可するようにしてください。
-
組み込みスイッチがあるモデルの場合、9.22 以降ではサブインターフェイスで VLAN 1 を使用できません。組み込みスイッチがあるモデルの場合、VLAN 1 を使用してサブインターフェイスを作成することはできません。VLAN 1 は、スイッチポートの論理的な VLAN インターフェイス用に予約されています。1010 を 9.22(1) 以降にアップグレードし、また VLAN 1 をサブインターフェイスに割り当てている場合、まず、サブインターフェイスの VLAN ID を新しい VLAN に変更する必要があります。アップグレード後、存在する場合は、VLAN 1 がサブインターフェイスから削除されます。
9.20 のガイドライン
-
9.20(4) におけるスマートライセンスのデフォルト転送の変更：9.20(4) において、スマートライセンスのデフォルトの転送が Smart Call Home から Smart Transport に変更されました。必要な場合は、transport type callhome コマンドを使用して Smart Call Home を使用するように ASA を設定できます。9.20(4) にアップグレードすると、転送が自動的に Smart Transport に変更されます。ダウングレードすると、転送は Smart Call Home に戻ります。Smart Transport を使用する場合は、transport type smart を指定する必要があります。また、Smart Transport のライセンスの URL は（tools.cisco.com ではなく）https://smartreceiver.cisco.com であるため、アップストリームルータでその URL を許可するようにしてください。
-
プレフィックスリストと一致するルートマップを指定する OSPFv3 redistribute コマンドは、9.20(2) で削除されます。9.20(2) にアップグレードすると、指定された route-map が match ip address prefix-list を使用する OSPFv3 redistribute コマンドが設定から削除されます。プレフィックスリストはサポートされていませんが、パーサーでは引き続きこのコマンド使用できます。アップグレードする前に、match ip address コマンドで ACL を指定するルートマップを使用するように OSPFv3 を再設定する必要があります。
メモ
OSPFv2 の IPv4 プレフィックスリストを使用したルートマップの再配布はサポートされていません。
9.19 のガイドライン
-
ASDM 7.19(1) には Oracle Java バージョン 8u261 以降が必要です。ASDM 7.19 にアップグレードする前に、Oracle Java（使用している場合）をバージョン 8u261 以降に更新してください。このバージョンでは、ASDM Launcher のアップグレードに必要な TLSv1.3 がサポートされています。OpenJRE は影響を受けません。
9.18 のガイドライン
-
9.18(2)/7.18(1.152) 以降で ASDM 署名付きイメージをサポート：ASA は、ASDM イメージがシスコのデジタル署名付きイメージであるかどうかを検証するようになりました。この修正を適用した ASA バージョンで古い ASDM イメージを実行しようとすると、ASDM がブロックされ、「%ERROR: Signature not valid for file disk0:/<filename>」というメッセージが ASA CLI に表示されます。ASDM リリース 7.18(1.152) 以降は、この修正が適用されていないものも含め、すべての ASA バージョンと下位互換性があります。（CSCwb05291、CSCwb05264）
-
同じポートを使用した同じインターフェイスで HTTPS/ASDM（HTTPS 認証を使用）および SSL を有効にした場合の 9.18(1) アップグレードの問題：同じインターフェイス上で SSL（[webvpn] > [インターフェイスの有効化（enable interface）]）と HTTPS/ASDM（http ）アクセスの両方を有効にした場合、https://ip_address から AnyConnect にアクセスでき、https://ip_address/admin から ASDM にアクセスできます。どちらもポート 443 を使用します。ただし、HTTPS 認証（aaa authentication http console）も有効にする場合は、9.18(1) 以降、ASDM アクセス用に別のポートを指定する必要があります。http コマンドを使用してアップグレードする前に、ポートを変更してください。（CSCvz92016）
-
ASDM アップグレードウィザード：ASD API 移行のため、ASA 9.18 以降にアップグレードするには ASDM 7.18 以降を使用する必要があります。ASDM は以前の ASA バージョンと下位互換性があるため、どの ASA バージョンでも ASDM を 7.18 以降にアップグレードできます。
9.17 のガイドライン
-
9.17(1.13)/7.18(1.152) 以降で ASDM 署名付きイメージをサポート：ASA は、ASDM イメージがシスコのデジタル署名付きイメージであるかどうかを検証するようになりました。この修正を適用した ASA バージョンで古い ASDM イメージを実行しようとすると、ASDM がブロックされ、「%ERROR: Signature not valid for file disk0:/<filename>」というメッセージが ASA CLI に表示されます。ASDM リリース 7.18(1.152) 以降は、この修正が適用されていないものも含め、すべての ASA バージョンと下位互換性があります。（CSCwb05291、CSCwb05264）
-
9.17(1) 以降でのクライアントレス SSL VPN はサポートされていません。クライアントレス SSL VPN はサポートされなくなりました。
-
webvpn：次のサブコマンドが削除されています。
-
apcf
-
java-trustpoint
-
onscreen-keyboard
-
port-forward
-
portal-access-rule
-
rewrite
-
smart-tunnel
-
-
group-policy webvpn：次のサブコマンドが削除されています。
-
port-forward
-
smart-tunnel
-
ssl-clientless
-
-
-
ASDM アップグレードウィザード：2022 年 3 月以降の内部変更により、アップグレードウィザードは ASDM 7.17(1.152) より前のバージョンでは機能しなくなります。ウィザードを使用するには、手動で 7.17(1.152) にアップグレードする必要があります。
9.16 のガイドライン
-
9.16(3.19)/7.18(1.152) 以降で ASDM 署名付きイメージをサポート：ASA は、ASDM イメージがシスコのデジタル署名付きイメージであるかどうかを検証するようになりました。この修正を適用した ASA バージョンで古い ASDM イメージを実行しようとすると、ASDM がブロックされ、「%ERROR: Signature not valid for file disk0:/<filename>」というメッセージが ASA CLI に表示されます。ASDM リリース 7.18(1.152) 以降は、この修正が適用されていないものも含め、すべての ASA バージョンと下位互換性があります。（CSCwb05291、CSCwb05264）
-
MD5 ハッシュと DES 暗号化を使用する SNMPv3 ユーザーはサポートされなくなり、9.16(1) にアップグレードするとユーザーが削除されます。アップグレードする前に、snmp-server user コマンドを使用してユーザー設定をより高いセキュリティアルゴリズムに変更してください。
-
9.16(1) では SSH ホストキーアクションが必要：RSA に加えて、EDDSA および ECDSA ホストキーのサポートが追加されました。ASA は、存在する場合、EDDSA、ECDSA、RSA の順にキーの使用を試みます。9.16(1) にアップグレードすると、ASA は既存の RSA キーを使用するようにフォールバックします。ただし、できるだけ早くcrypto key generate {eddsa | ecdsa} コマンドを使用してセキュリティレベルの高いセキュリティキーを生成することを推奨します。また、ssh key-exchange hostkey rsa コマンドで RSA キーを使用するように ASA を明示的に設定する場合は、2048 ビット以上のキーを生成する必要があります。アップグレードの互換性のために、ASA はデフォルトのホストキー設定が使用されている場合にのみ、より小さい RSA ホストキーを使用します。RSA のサポートは今後のリリースで削除されます。
-
9.16 以降では、RSA キーを使用した証明書は ECDSA 暗号と互換性がない：ECDHE_ECDSA 暗号グループを使用する場合は、ECDSA 対応キーを含む証明書を使用してトラストポイントを設定します。
-
ssh version コマンドは 9.16(1) で削除されました：このコマンドは削除されました。SSH バージョン 2 のみサポートされます。
-
9.16 以降にアップグレードすると、別の証明書のシリアル番号が表示される場合がある：9.16 で ASA は OpenSSL の使用を開始しました。これにより、証明書の負の値が異なる方法で計算されるため、アップグレード後に異なるシリアル番号が表示されることがあります。この変更は動作に影響しません（CSCvv30338）。
-
SAMLv1 機能は 9.16(1) で削除されました：SAMLv1 のサポートは削除されました。
-
9.16(1) では DH グループ 2、5、24 はサポートされません：SSL DH グループ設定の DH グループ 2、5、および 24 のサポートは削除されました。ssl dh-groupコマンドが更新され、コマンドオプション group2、group5およびgroup24が削除されました。
9.12 のガイドライン
-
9.12(4.50)/7.18(1.152) 以降で ASDM 署名付きイメージをサポート：ASA は、ASDM イメージがシスコのデジタル署名付きイメージであるかどうかを検証するようになりました。この修正を適用した ASA バージョンで古い ASDM イメージを実行しようとすると、ASDM がブロックされ、「%ERROR: Signature not valid for file disk0:/<filename>」というメッセージが ASA CLI に表示されます。ASDM リリース 7.18(1.152) 以降は、この修正が適用されていないものも含め、すべての ASA バージョンと下位互換性があります。（CSCwb05291、CSCwb05264）
-
ASDM アップグレード ウィザード：内部的な変更により、このウィザードでは ASDM 7.10(1) 以降の使用のみがサポートされています。また、イメージの命名が変更されたため、ASA 9.10(1) 以降にアップグレードするには、ASDM 7.12(1) 以降を使用する必要があります。ASDM には ASA の以前のリリースと下位互換性があるため、実行している ASA バージョンを問わず、ASDM をアップグレードすることができます。
-
9.12(1) での SSH セキュリティの改善と新しいデフォルト設定：次の SSH セキュリティの改善点を参照してください。
-
SSH バージョン 1 はサポートされなくなりました。バージョン 2 のみがサポートされています。ssh version 1 コマンドは ssh version 2 に移行されます。
-
Diffie-Hellman Group 14 SHA256 キー交換のサポート。この設定がデフォルト（ssh key-exchange group dh-group14-sha256 ）になりました。以前のデフォルトは Group 1 SHA1 でした。SSH クライアントが Diffie-Hellman Group 14 SHA256 をサポートしていることを確認してください。サポートしていない場合は、「Couldn't agree on a key exchange algorithm」などのエラーが表示されることがあります。たとえば、OpenSSH では Diffie-Hellman Group 14 SHA256 がサポートされています。
-
HMAC-SHA256 整合性暗号のサポート。デフォルトは、高セキュリティの暗号セット（ssh cipher integrity high コマンドによって定義された hmac-sha1 および hmac-sha2-256）になりました。以前のデフォルトは中程度のセットでした。
-
-
NULL-SHA TLSv1 暗号は廃止され、9.12(1) では削除されている：NULL-SHA は暗号化を提供せず、現在の脅威に対して安全とは見なされなくなったため、tls-proxy mode コマンド/オプションおよび show ssl ciphers all の出力に TLSv1 でサポートされている暗号を一覧表示すると削除されます。ssl cipher tlsv1 all コマンドと ssl cipher tlsv1 custom NULL-SHA コマンドも廃止され、削除されます。
-
9.12(1) ではデフォルトの trustpool が削除されている：PSB 要件、SEC-AUT-DEFROOT に準拠するため、「デフォルト」の信頼できる CA バンドルが ASA イメージから削除されています。その結果、 crypto ca trustpool import default コマンドと crypto ca trustpool import clean default コマンドも、その他の関連ロジックとともに削除されています。ただし、既存の展開では、これらのコマンドを使用して以前にインポートされた証明書はそのまま残ります。
-
ssl encryption コマンドは 9.12(1) で削除されている：9.3(2) では、廃止が公表され、ssl cipher に置き換えられます。9.12(1) では、ssl encryption が削除され、サポートされなくなりました。
クラスタリングのガイドライン
次の例外を除いて、ASA クラスタリングのゼロ ダウンタイム アップグレードに関する特別な要件はありません。
（注） |
ゼロ ダウンタイム ダウングレードは、正式にはクラスタリングでサポートされていません。 |
-
Firepower 4100/9300 フェールオーバーとフローオフロードのクラスタリング ヒットレス アップグレードの要件：フローオフロード機能でのバグ修正により、FXOS と ASA のいくつかの組み合わせはフローオフロードをサポートしていません（互換性テーブルを参照）。フローオフロードは、ASA のデフォルトでは無効になっています。フローオフロードの使用時にフェールオーバーまたはクラスタリング ヒットレス アップグレードを実行するには、次のアップグレードパスに従って、FXOS 2.3.1.130 以降にアップグレードする際に常に互換性のある組み合わせを実行していることを確認する必要があります。
-
ASA を 9.8(3) 以降にアップグレードします。
-
FXOS を 2.3.1.130 以降にアップグレードします。
-
ASA を最終バージョンにアップグレードします。
たとえば、FXOS 2.2.2.26/ASA 9.8(1) を実行していて、FXOS 2.6.1/ASA 9.12(1) にアップグレードする場合は、次を実行できます。
-
ASA を 9.8(4) にアップグレードします。
-
FXOS を 2.6.1 アップグレードします。
-
ASA を 9.12(1) にアップグレードします。
-
-
Firepower 4100/9300 クラスタを FXOS 2.3/ASA 9.9(2) にアップグレード：制御ユニットが FXOS 2.3/9.9(2) 以降で動作している場合、9.8 以前の ASA 上のデータユニットはクラスタに再参加できません。それらのデータユニットは、ASA バージョンを 9.9(2)+ にアップグレードした後に参加できます [CSCvi54844]。
-
分散サイト間 VPN：障害の発生したユニットでの分散サイト間 VPN セッションは他のユニットで安定するまでに最大 30 分かかります。この間は、さらなるユニット障害によってセッションが失われる可能性があります。このため、クラスタのアップグレード時は、トラフィックの損失を防ぐために次の手順を実行してください。これらの手順をアップグレード タスクに統合するには、FXOS/ASA クラスタのアップグレード手順を参照してください。
（注）
9.9(1) から 9.9(2) 以降にアップグレードする場合、ゼロ ダウンタイム アップグレードは分散サイト間 VPN ではサポートされません。9.9(2) でのアクティブ セッション再配布の機能拡張のために、一部のユニットを 9.9(2) で実行し他のユニットを 9.9(1) で実行することはできません。
-
制御ユニットのないシャーシでは、ASA コンソールを使用して 1 つのモジュールでクラスタリングを無効にします。
cluster group name
no enable
このシャーシ上の FXOS と ASA をアップグレードする場合は、シャーシの再起動後にクラスタリングが無効になるように設定を保存します。
write memory
-
クラスタが安定するのを待ちます。すべてのバックアップ セッションが作成されたことを確認してください。
show cluster vpn-sessiondb summary
-
このシャーシ上のモジュールごとに、手順 1 と 2 を繰り返します。
-
FXOS CLI または Firepower Chassis Manager を使用してシャーシ上の FXOS をアップグレードします。
-
シャーシがオンラインになったら、FXOS CLI または Firepower Chassis Manager を使用して各モジュール上の ASA イメージを更新します。
-
モジュールがオンラインになったら、ASA コンソールで各モジュール上のクラスタリングを再度有効にします。
cluster group name
enable
write memory
-
2 番目のシャーシで手順 1 ～ 6 を繰り返します。必ず、まずデータユニットでクラスタリングを無効にしてから、最後に制御ユニットでクラスタリングを無効にしてください。
新しい制御ユニットが、アップグレードされたシャーシから選択されます。
-
クラスタが安定したら、制御ユニットで ASA コンソールを使用して、クラスタ内のすべてのモジュール間でアクティブ セッションを再配布します。
cluster redistribute vpn-sessiondb
-
-
クラスタリングを含む 9.9(1) 以降に関するアップグレードの問題：9.9(1) 以降では、バックアップの配布が改善されています。新しいバックアップ配布方法を利用するには、次の手順で 9.9(1) 以降へのアップグレードを実行する必要があります。これを行わない場合、アップグレードされたユニットは引き続き古い方法を使用します。
-
クラスタからすべてのセカンダリ ユニットを削除します（クラスタはプライマリ ユニットのみで構成されます）。
-
1 つのセカンダリ ユニットをアップグレードし、クラスタに再参加させます。
-
プライマリ ユニットでクラスタリングを無効にします。そのユニットをアップグレードし、クラスタに再参加させます。
-
残りのセカンダリ ユニットをアップグレードし、それらを一度に 1 つずつクラスタに再参加させます。
-
-
Firepower 4100/9300 クラスタの ASA 9.8(1) 以前へのアップグレード：アップグレードプロセスの一部であるデータユニット（no enable ）のクラスタリングを無効にすると、そのユニット宛てのトラフィックは、トラフィックが新しい所有者 [CSCvc85008] にリダイレクトされるまで、最大で 3 秒間ドロップされる場合があります。
-
CSCvb24585 に関する修正が行われている次のリリースにアップグレードする場合は、ゼロ ダウンタイム アップグレードがサポートされない可能性があります。この修正により、3DES がデフォルト（中レベル）の SSL 暗号から低レベルの暗号セットに移行されました。3DES のみを含むカスタム暗号を設定する場合、接続の相手側が 3DES を含まないデフォルト（中レベル）の暗号を使用していると、不一致が生じる可能性があります。
-
9.1(7.12)
-
9.2(4.18)
-
9.4(3.12)
-
9.4(4)
-
9.5(3.2)
-
9.6(2.4)
-
9.6(3)
-
9.7(1)
-
9.8(1)
-
-
完全修飾ドメイン名（FQDN）ACL のアップグレードに関する問題：CSCuv92371 が原因で、FQDN を含む ACL は、クラスタまたはフェールオーバー ペアのセカンダリ ユニットへの不完全な ACL 複製を引き起こす可能性があります。このバグは、9.1(7)、9.5(2)、9.6(1)、およびいくつかの暫定リリースにおいて発生します。CSCuy34265 の修正プログラムを含む 9.1(7.6) 以降、9.5(3) 以降、9.6(2) 以降にアップグレードすることをお勧めします。ただし、設定の複製の性質上、ゼロ ダウンタイム アップグレードは使用できません。さまざまなアップグレード方法の詳細については、CSCuy34265 を参照してください。
-
Firepower Threat Defense バージョン 6.1.0 クラスタは、サイト間クラスタリングをサポートしていません（6.2.0 以降では FlexConfig を使用してサイト間機能を設定できます）。FXOS 2.1.1 で 6.1.0 クラスタを展開または再展開している場合、（サポートされていない）サイト ID の値を入力しているときは、6.2.3 にアップグレードする前に、FXOS の各ユニットでサイト ID を削除（0 に設定）する必要があります。これを行わない場合、ユニットはアップグレード後にクラスタに再参加できません。すでにアップグレード済みの場合は、各ユニットでサイト ID を 0 に変更して問題を解決してください。サイト ID を表示または変更するには、FXOS の構成ガイドを参照してください。
-
9.5(2) 以降へのアップグレード（CSCuv82933）：制御ユニットをアップグレードする前に「show cluster info 」と入力すると、アップグレードされたデータユニットが「DEPUTY_BULK_SYNC」と表示されます。他にも正しい状態と一致しない状態が表示されます。すべてのユニットをアップグレードすると状態が正しく表示されるようになるので、この表示は無視しても構いません。
-
9.0(1) または 9.1(1) からのアップグレード（CSCue72961）：ゼロ ダウンタイム アップグレードはサポートされていません。
フェールオーバーのガイドライン
次の例外を除き、フェールオーバー用のゼロ ダウンタイム アップグレードに関する特別な要件はありません。
-
Firepower 1010 では、無効な VLAN ID によって問題が発生する可能性があります。9.15(1) にアップグレードする前に、3968 〜 4047 の範囲内のスイッチポートに VLAN を使用していないことを確認してください。これらの ID は内部使用専用であり、9.15(1) には、これらの ID を使用していないことを確認するチェックが含まれます。たとえば、フェールオーバーペアのアップグレード後にこれらの ID が使用されていた場合、フェールオーバーペアは一時停止状態になります。詳細については、「CSCvw33057」を参照してください。
-
Firepower 4100/9300 フェールオーバーとフローオフロードのクラスタリング ヒットレス アップグレードの要件：フローオフロード機能でのバグ修正により、FXOS と ASA のいくつかの組み合わせはフローオフロードをサポートしていません（互換性テーブルを参照）。フローオフロードは、ASA のデフォルトでは無効になっています。フローオフロードの使用時にフェールオーバーまたはクラスタリング ヒットレス アップグレードを実行するには、次のアップグレードパスに従って、FXOS 2.3.1.130 以降にアップグレードする際に常に互換性のある組み合わせを実行していることを確認する必要があります。
-
ASA を 9.8(3) 以降にアップグレードします。
-
FXOS を 2.3.1.130 以降にアップグレードします。
-
ASA を最終バージョンにアップグレードします。
たとえば、FXOS 2.2.2.26/ASA 9.8(1) を実行していて、FXOS 2.6.1/ASA 9.12(1) にアップグレードする場合は、次を実行できます。
-
ASA を 9.8(4) にアップグレードします。
-
FXOS を 2.6.1 アップグレードします。
-
ASA を 9.12(1) にアップグレードします。
-
-
8.4(6)、9.0(2)、および 9.1(2) のアップグレードの問題：CSCug88962 が原因で、8.4(6)、9.0(2)、および 9.1(3) へのゼロ ダウンタイム アップグレードを実行することはできません。代わりに 8.4(5) または 9.0(3) にアップグレードする必要があります。9.1(1) をアップグレードする場合、CSCuh25271 が原因で、9.1(3) リリースに直接アップグレードすることはできません。したがってゼロ ダウンタイム アップグレードのための回避策はありません。9.1 (3) 以降にアップグレードする前に、9.1(2) にアップグレードする必要があります。
-
完全修飾ドメイン名（FQDN）ACL のアップグレードに関する問題：CSCuv92371 が原因で、FQDN を含む ACL は、クラスタまたはフェールオーバー ペアのセカンダリ ユニットへの不完全な ACL 複製を引き起こす可能性があります。このバグは、9.1(7)、9.5(2)、9.6(1)、およびいくつかの暫定リリースにおいて発生します。CSCuy34265 の修正プログラムを含む 9.1(7.6) 以降、9.5(3) 以降、9.6(2) 以降にアップグレードすることをお勧めします。ただし、設定の複製の性質上、ゼロ ダウンタイム アップグレードは使用できません。さまざまなアップグレード方法の詳細については、CSCuy34265 を参照してください。
-
VTI および VXLAN VNI 用の 9.7(1) ～ 9.7(1.X) およびそれ以降のアップグレードに関する問題：Virtual Tunnel Interfaces（VTI）と VXLAN Virtual Network Identifier（VNI）の両方のインターフェイスを設定すると、フェールオーバー用のゼロ ダウンタイム アップグレードは実行できません。両方のユニットが同じバージョンになるまでは、これらのインターフェイス タイプの接続はスタンバイ ユニットに複製されません。（CSCvc83062）
-
9.8(2) 以降にアップグレードする前に、FIPS モードではフェールオーバーキーを 14 文字以上にする必要があります。FIPS モードで 9.8(2) 以降にアップグレードする前に、failover key または failover ipsec pre-shared-key を 14 文字以上に変更する必要があります。フェールオーバーキーが短すぎる場合、最初のユニットをアップグレードしたときにフェールオーバーキーが拒否され、フェールオーバーキーを有効な値に設定するまで、両方のユニットがアクティブになります。
-
GTP インスペクションのアップグレードの問題：GTP のデータ構造が新しいノードに複製されないため、アップグレード中にダウンタイムが発生する可能性があります。
その他のガイドライン
-
Cisco ASA クライアントレス SSL VPN ポータルのカスタマイズにおける整合性の脆弱性：ASA 上のクライアントレス SSL VPN に対して複数の脆弱性修正が行われているため、修正版へソフトウェアをアップグレードする必要があります。脆弱性の詳細と修正された ASA バージョンのリストについては、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20141008-asa を参照してください。脆弱性をもった構成で以前のバージョンの ASA を運用したことがある場合は、現在実行中のバージョンに関係なく、ポータルのカスタマイズが危殆化されていないか確認する必要があります。過去に攻撃者がカスタマイゼーション オブジェクトを危殆化した場合、ASA を修正版にアップグレードした後にも危殆化されたオブジェクトが存続します。ASA をアップグレードすることで今後の危殆化を阻止できますが、すでに危殆化されているカスタマイゼーション オブジェクトは一切変更されず、システムに存続します。
FXOS のアップグレード ガイドライン
アップグレードする前に、選択したアップグレード パスの各 FXOS バージョンのリリース ノートをお読みください。リリース ノートには、新機能や変更された機能を含む、各 FXOS リリースに関する重要な情報が記載されています。
アップグレードを行うには、対処する必要のある設定変更が必要な場合があります。たとえば、FXOS リリースでサポートされている新しいハードウェアが、FXOS ファームウェアの更新を要求する場合があります。
FXOS リリース ノートはこちらから入手できます：https://www.cisco.com/c/en/us/support/security/firepower-9000-series/products-release-notes-list.html。
フィードバック