Cisco Firepower Management Center バージョン 6.0 ～ 7.0 アップグレードガイド

偏向のない言語

この製品のマニュアルセットは、偏向のない言語を使用するように配慮されています。このマニュアルセットでの偏向のない言語とは、年齢、障害、性別、人種的アイデンティティ、民族的アイデンティティ、性的指向、社会経済的地位、およびインターセクショナリティに基づく差別を意味しない言語として定義されています。製品ソフトウェアのユーザーインターフェイスにハードコードされている言語、RFP のドキュメントに基づいて使用されている言語、または参照されているサードパーティ製品で使用されている言語によりドキュメントに例外が存在する場合があります。シスコのインクルーシブランゲージに対する取り組みの詳細は、こちらをご覧ください。

翻訳について

このドキュメントは、米国シスコ発行ドキュメントの参考和訳です。リンク情報につきましては、日本語版掲載時点で、英語版にアップデートがあり、リンク先のページが移動/変更されている場合がありますことをご了承ください。あくまでも参考和訳となりますので、正式な内容については米国サイトのドキュメントを参照ください。

マニュアルのコンテンツ
このマニュアル内で検索
ご利用いただける言語
Download Options

Book Title

Cisco Firepower Management Center バージョン 6.0 ～ 7.0 アップグレードガイド

Chapter Title

ASA with FirePOWER サービスのアップグレード

検索結果

Updated:
2020年2月4日

章のタイトル： ASA with FirePOWER サービスのアップグレード

ASA with FirePOWER サービスのアップグレード

アップグレード チェックリスト： ASA with FirePOWER Services

このチェックリストを使用して ASA with FirePOWER Services をアップグレードします。

アップグレードを行うたびにチェックリストを完了します。ステップの実行を省略すると、アップグレードが失敗する場合があります。 プロセスの間、展開環境内のアプライアンスが正常に通信していること、およびヘルスモニタによって報告された問題がないことを確認します。

アップグレードの計画

アップグレードパスを正しく計画し、そのパスに従うことによって、常に展開の互換性を保ちます。

✓ アクション/チェック 詳細

アップグレードパスを確認する

アップグレードパスにおける自分の位置を確認します。実行したアップグレードと次に実行するアップグレードを確認します。

Asa FirePOWER アップグレードパス：FMC 搭載アップグレードパス：ASA FirePOWER

バージョンを確認する

デバイスの現在のバージョンと対象となるバージョンを確認します。

  • ASA FirePOWER モジュール

  • ASA OS

ASA 5500-X シリーズ および ISA 3000 with FirePOWER サービス

FMC の互換性を確認する

デバイスのアップグレード後に FMC がそのデバイスを管理できるかどうか確認します。管理できない場合は、最初に FMC をアップグレードするようアップグレードパスを修正します。

FMC デバイスのバージョン互換性を維持できるか

リリースノートを読む

次のアップグレード/一連のアップグレードのリリースノートを読み、バージョン固有の警告とガイドラインに特に注意してください。

FirePOWER リリースノート

および

ASA リリースノート

アップグレード前のアクションおよびチェック

メンテナンスウィンドウ外で事前チェックを実行することによって、中断を最小化します。

✓ アクション/チェック 詳細

必要な設定変更を行う

必要なアップグレード前の設定変更を行うとともに、必要なアップグレード後の設定変更を行う準備をします。

FirePOWER リリースノート

および

Cisco ASA Upgrade Guide の Planning Your Upgrade

ディスク容量を確認する

FirePOWER ソフトウェアアップグレード用の予備のディスク容量を確認します。

時間テストとディスク容量の要件

アップグレードパッケージを取得する

正しいアップグレードパッケージを取得して、FMC にアップロードします。 署名付きの（.tar）パッケージは解凍しないでください。

アップグレードパッケージの取得およびプッシュ

帯域幅をチェックする

FMC からデバイスに大容量のデータを転送するための帯域幅があることを確認します。

Guidelines for Downloading Data from the Firepower Management Center to Managed Deviceshttps://www.cisco.com/c/en/us/support/docs/security/firepower-management-center/212043-Guidelines-for-Downloading-Data-from-the.html（トラブルシューティング テクニカルノーツ）

アップグレードパッケージをプッシュする

アップグレードパッケージをデバイスにプッシュします。バージョン 6.2.3+ が必要です。

管理対象デバイスへのアップグレード パッケージのプッシュ

準備状況チェックを実行する

準備状況チェックを実行します。バージョン 6.1+ が必要です。

 準備状況チェックの実行

アプライアンスへのアクセスを確認する

お使いのコンピュータが FMC の管理インターフェイスとデバイスの管理インターフェイスに、どちらもデバイス自体を通過せずに接続できることを確認してください。

アップグレード時のアプライアンスへのアクセス

メンテナンス時間帯をスケジュールする

影響が最小限になるメンテナンス時間帯をスケジュールします。実行する必要がある作業、トラフィックフローおよびインスペクションへのアップグレードの影響、およびアップグレードにかかる可能性がある時間を考慮してください。

ASA FirePOWER アップグレード時の動作

および

時間テストとディスク容量の要件

ASA と ASA with FirePOWER サービスのアップグレード

アップグレードによってトラフィックフローまたはインスペクションが中断する可能性があるため、メンテナンスウィンドウでアップグレードを実行します。

✓ アクション/チェック 詳細

スタンドアロン ASA デバイスをアップグレードする

スタンドアロン ASA デバイスの ASA FirePOWER モジュールをアップグレードします。

ASA もアップグレードする場合は、ASA をアップグレードしてリロードした直後に、FMC を使用して ASA FirePOWER モジュールをアップグレードします。

スタンドアロンユニットのアップグレード

および

ASA FirePOWER モジュールのアップグレード

ASA クラスタとフェールオーバーペアをアップグレードする

クラスタおよびフェールオーバーペアの ASA デバイスで ASA FirePOWER モジュールをアップグレードします。

トラフィックフローとインスペクションの中断を避けるには、これらのデバイスを 1 つずつ完全にアップグレードします。ASA をアップグレードする場合、各ユニットをリロードして ASA をアップグレードする直前に、FMC を使用して ASA FirePOWER モジュールをアップグレードします。

次のいずれかになります。

アクティブ/スタンバイ フェールオーバー ペアのアップグレード

アクティブ/アクティブ フェールオーバー ペアのアップグレード

ASA クラスタのアップグレード

および

ASA FirePOWER モジュールのアップグレード

Asa FirePOWER アップグレードパス：FMC 搭載アップグレードパス：ASA FirePOWER

次の表に、Firepower Management Center によって管理される ASA FirePOWER モジュール のアップグレードパスを示します。 現在のバージョンから目的のバージョンに直接アップグレードできない場合は、指示に従ってアップグレードパスに中間バージョンを含める必要があります。


（注）  
バージョン 6.0.0 にアップグレードするには、プレインストールパッケージが必要です。詳細については、『FireSIGHT System Release Notes Version 6.0.0 Preinstallation』を参照してください。
表 1. 推奨されるアップグレードパス：FMC を搭載した ASA FirePOWER

現在のバージョン

ターゲットバージョン

6.5.0

6.4.0

6.3.0

6.2.3

6.2.2

6.2.0

6.1.0

6.0.1

6.0.0

6.4.0

ASA 5585-X シリーズおよび ASA 5515-X の最後の Firepower サポート。

直接

—

—

—

—

—

—

—

—

6.3.0

直接

直接

—

—

—

—

—

—

—

6.2.3

ASA 5506-x シリーズおよび ASA 5512-x の最後の Firepower サポート。

直接

直接

直接

—

—

—

—

—

—

6.2.2

→6.4.0

→ 6.5.0

直接

直接

直接

—

—

—

—

—

6.2.0

→6.4.0

→ 6.5.0

直接

直接

直接

直接

—

—

—

—

6.1.0

→6.4.0

→ 6.5.0

直接

直接

直接

→ 6.2.0

→ 6.2.2

直接

—

—

—

6.0.1

→ 6.1.0

→6.4.0

→ 6.5.0

→ 6.1.0

→6.4.0

→ 6.1.0

→ 6.3.0

→ 6.1.0

→ 6.2.3

→ 6.1.0

→ 6.2.0

→ 6.2.2

→ 6.1.0

→ 6.2.0

直接

—

—

6.0.0

→ 6.0.1

→ 6.1.0

→6.4.0

→ 6.5.0

→ 6.0.1

→ 6.1.0

→6.4.0

→ 6.0.1

→ 6.1.0

→ 6.3.0

→ 6.0.1

→ 6.1.0

→ 6.2.3

→ 6.0.1

→ 6.1.0

→ 6.2.0

→ 6.2.2

→ 6.0.1

→ 6.1.0

→ 6.2.0

→ 6.0.1

→ 6.1.0

直接

—

5.4. x*

→ 6.0.0

→ 6.0.1

→ 6.1.0

→6.4.0

→ 6.5.0

→ 6.0.0

→ 6.0.1

→ 6.1.0

→6.4.0

→ 6.0.0

→ 6.0.1

→ 6.1.0

→ 6.3.0

→ 6.0.0

→ 6.0.1

→ 6.1.0

→ 6.2.3

→ 6.0.0

→ 6.0.1

→ 6.1.0

→ 6.2.0

→ 6.2.2

→ 6.0.0

→ 6.0.1

→ 6.1.0

→ 6.2.0

→ 6.0.0

→ 6.0.1

→ 6.1.0

→ 6.0.0

→ 6.0.1

直接

*バージョン 6.0 にアップグレードするには、バージョン 5.4.0.2/5.4.1.1 以降を実行している必要があります。

ASA のアップグレード

ASA と ASA FirePOWER のバージョンには幅広い互換性があります。ただし、厳密には ASA のアップグレードが必要でない場合でも、問題解決のために、サポートされた最新のバージョンへのアップグレードが必要になることがあります。詳細な互換性情報については、「ASA 5500-X シリーズ および ISA 3000 with FirePOWER サービス」を参照してください。

ASA クラスタリングまたはフェールオーバーペアが設定されていても、デバイスごとに個別に ASA をアップグレードします。ASA FirePOWER モジュールをアップグレードする正確なタイミング（ASA のリロードの前か後か）は、展開によって異なります。次の表に、スタンドアロンおよび HA/スケーラビリティ展開の ASA アップグレード順序の概要を示します。詳細な手順については、「ASA のアップグレード」を参照してください。

表 2. ASA + ASA FirePOWER のアップグレード順序
ASA 展開 アップグレード順序

スタンドアロンデバイス

  1. ASA をアップグレードします（リロードを含む）。

  2. ASA FirePOWER をアップグレードします。

ASA フェールオーバー：アクティブ/スタンバイ

スタンバイを常にアップグレードします。

  1. スタンバイの ASA をアップグレードします（ただし、リロードしません）。

  2. スタンバイの ASA FirePOWER をアップグレードします。

  3. スタンバイの ASA をリロードします。

  4. フェールオーバーします。

  5. 新しいスタンバイの ASA をアップグレードします。

  6. 新しいスタンバイの ASA FirePOWER をアップグレードします。

  7. 新しいスタンバイの ASA をリロードします。

ASA フェールオーバー：アクティブ/スタンバイ

アップグレードしないユニットの両方のフェールオーバーグループをアクティブにします。

  1. プライマリの両方のフェールオーバーグループをアクティブにします。

  2. セカンダリの ASA をアップグレードします（ただし、リロードしません）。

  3. セカンダリの ASA FirePOWER をアップグレードします。

  4. セカンダリの ASA をリロードします。

  5. セカンダリの両方のフェールオーバーグループをアクティブにします。

  6. プライマリの ASA をアップグレードします（ただし、リロードしません）。

  7. プライマリの ASA FirePOWER をアップグレードします。

  8. プライマリの ASA をリロードします。

ASA クラスタ

アップグレードの前に、各ユニットでクラスタリングを無効にします。一度に 1 つのユニットからアップグレードし、マスターユニットを最後に残します。

  1. スレーブユニットでクラスタリングを無効にします。

  2. そのスレーブユニットの ASA をアップグレードします（ただし、リロードしません）。

  3. ユニットの ASA FirePOWER をアップグレードします。

  4. ASA をリロードします。

  5. クラスタリングを再び有効にします。ユニットが再びクラスタに参加するのを待ちます。

  6. 各スレーブユニットに対して手順を繰り返します。

  7. マスターユニットでクラスタリングを無効にします。新しいマスターが引き継がれるまで待ちます。

  8. 前のマスターユニットの ASA をアップグレードします（ただし、リロードしません）。

  9. 前のマスターユニットの ASA FirePOWER をアップグレードします。

  10. クラスタリングを再び有効にします。

ASA のアップグレード

スタンドアロン、フェールオーバー、またはクラスタリング展開の ASA と ASDM をアップグレードするには、このセクションの手順を使用します。

スタンドアロンユニットのアップグレード

スタンドアロンユニットをアップグレードするには CLI または ASDM を使用します。

CLI を使用したスタンドアロンユニットのアップグレード

ここでは、ASDM イメージおよびASA イメージをインストールする方法について説明します。また、ASA FirePower モジュールをアップグレードするタイミングについても説明します。

始める前に

この手順では、FTP を使用します。TFTP、HTTP、またはその他のサーバ タイプについては、『ASA Command Reference』の copy コマンドを参照してください。

手順
ステップ 1

特権 EXEC モードで、ASA ソフトウェアをフラッシュメモリにコピーします。

copy ftp://[[user[:password]@]server[/path]/asa_image_name diskn:/[path/]asa_image_name

例:

ciscoasa# copy ftp://jcrichton:aeryn@10.1.1.1/asa-9-12-1-smp-k8.bin disk0:/asa-9-12-1-smp-k8.bin
ステップ 2

ASDM イメージをフラッシュメモリにコピーします。

copy ftp://[[user[:password]@]server[/path]/asdm_image_name diskn:/[path/]asdm_image_name

例:

ciscoasa# copy ftp://jcrichton:aeryn@10.1.1.1/asdm-7121.bin disk0:/asdm-7121.bin
ステップ 3

グローバル コンフィギュレーション モードにアクセスします。

configure terminal

例:

ciscoasa# configure terminal
ciscoasa(config)#
ステップ 4

設定されている現在のブートイメージを表示します（最大 4 個）。

show running-config boot system

ASA は、表示された順序でイメージを使用します。最初のイメージが使用できない場合は次のイメージが使用され、以下同様です。新しいイメージ URL をリストの先頭に挿入することはできません。新しいイメージが先頭であることを指定するには、既存のエントリをすべて削除してから、次の手順に従ってイメージの URL を目的の順序で入力します。

例:

ciscoasa(config)# show running-config boot system
boot system disk0:/cdisk.bin
boot system disk0:/asa931-smp-k8.bin
ステップ 5

既存のブート イメージ コンフィギュレーションがある場合は削除します。新しいブートイメージを最初の選択肢として入力できるようにするためです。

no boot system diskn:/[path/]asa_image_name

例:

ciscoasa(config)# no boot system disk0:/cdisk.bin
ciscoasa(config)# no boot system disk0:/asa931-smp-k8.bin
ステップ 6

ブートする ASA イメージを設定します（先ほどアップロードしたもの）。

boot system diskn:/[path/]asa_image_name

このイメージが使用できない場合に使用するバックアップイメージに対して、このコマンドを繰り返します。たとえば、先ほど削除したイメージを再入力できます。

例:

ciscoasa(config)# boot system disk0:/asa-9-12-1-smp-k8.bin
ステップ 7

使用する ASDM イメージを設定します（先ほどアップロードしたもの）。

asdm image diskn:/[path/]asdm_image_name

使用するように設定できる ASDM イメージは 1 つだけであるため、最初に既存のコンフィギュレーションを削除する必要はありません。

例:

ciscoasa(config)# asdm image disk0:/asdm-7121.bin
ステップ 8

新しい設定をスタートアップ コンフィギュレーションに保存します。

write memory

ステップ 9

ASA をリロードします。

reload

ステップ 10

ASA FirePOWER モジュールをアップグレードする場合は、ASA REST API を無効にします。無効にしない場合アップグレードは失敗します。

no rest-api agent

次のコマンドを実行して、アップグレード後に REST API を再度有効にすることができます。

rest-api agent

（注）   

FirePOWER モジュールのバージョン 6.0 以降を実行している場合、ASA 5506-X シリーズは ASA の REST API をサポートしません。
ステップ 11

ASA FirePOWER モジュールをアップグレードします。

ASDM を使用したローカルコンピュータからのスタンドアロンユニットのアップグレード

Upgrade Software from Local Computer ツールにより、コンピュータからフラッシュファイルシステムにイメージファイルをアップロードし、ASA をアップグレードできます。

手順
ステップ 1

メイン ASDM アプリケーションウィンドウで、[ツール（Tools）] > [Upgrade Software from Local Computer] の順に選択します。

[ソフトウェアのアップグレード（Upgrade Software）] ダイアログボックスが表示されます。

ステップ 2

[アップロードするイメージ（Image to Upload）] ドロップダウンリストから、[ASDM] を選択します。

ステップ 3

[ローカルファイルのパス（Local File Path）] フィールドで [ローカルファイルを参照（Browse Local Files）] をクリックして PC 上のファイルを見つけます。

ステップ 4

[フラッシュファイルシステムのパス（Flash File System Path）] フィールドで [フラッシュを参照（Browse Flash）] をクリックしてフラッシュファイルシステム上のディレクトリまたはファイルを見つけます。

ステップ 5

[イメージのアップロード（Upload Image）] をクリックします。

アップグレードプロセスには数分かかる場合があります。

ステップ 6

このイメージを ASDM イメージとして設定するように求められます。[はい（Yes）] をクリックします。

ステップ 7

ASDM を終了して、コンフィギュレーションを保存したことを確認します。[OK] をクリックします。

アップグレード ツールを終了します。注：ASA ソフトウェアをアップグレードした後で、設定を保存し、ASDM を終了して再接続します。

ステップ 8

これらの手順を繰り返し、[アップロードするイメージ（Image to Upload）] ドロップダウンリストで [ASA] を選択します。この手順は、その他のタイプのファイルのアップロードでも同じです。

ステップ 9

[ツール（Tools）] > [システムのリロード（System Reload）] を選択して、ASA をリロードします。

リロードの詳細の確認を求める新しいウィンドウが表示されます。

  1. [リロード時の実行コンフィギュレーションの保存（Save the running configuration at the time of reload）] オプションボタン（デフォルト）をクリックします。

  2. リロードする時刻を選択します（たとえば、デフォルトの [Now]）。

  3. [スケジュールのリロード（Schedule Reload）] をクリックします。

リロードが開始されると、[リロードのステータス（Reload Status）] ウィンドウにリロードの進行状況が表示されます。ASDM を終了するオプションも表示されます。

ステップ 10

ASA のリロード後、ASDM を再起動します。

コンソール ポートでリロードの状況を確認できます。または、数分待った後に ASDM を使用して、接続可能になるまで再試行することもできます。
ステップ 11

ASA FirePOWER モジュールをアップグレードする場合は、[ツール（Tools）] > [コマンド ライン インターフェイス（Command Line Interface）] を選択し、 no rest-api agent を入力して ASA REST API を無効にします。

REST API を無効にしない場合、ASA FirePOWER モジュールのアップグレードは失敗します。次のコマンドを実行して、アップグレード後に REST API を再度有効にすることができます。

rest-api agent

（注）   

FirePOWER モジュールのバージョン 6.0 以降を実行している場合、ASA 5506-X シリーズは ASA の REST API をサポートしません。
ステップ 12

ASA FirePOWER モジュールをアップグレードします。

ASDM Cisco.com ウィザードを使用したスタンドアロンユニットのアップグレード

Upgrade Software from Cisco.com Wizard により、ASDM および ASA を最新のバージョンに自動的にアップグレードできます。

このウィザードでは、次の操作を実行できます。

  • アップグレード用の ASA イメージファイルまたは ASDM イメージファイルを選択する。


    （注）  

    ASDM は最新のイメージバージョンをダウンロードし、そこにはビルド番号が含まれています。たとえば、9.9(1) をダウンロードする場合に、ダウンロードが 9.9(1.2) となる可能性があります。この動作は想定されているため、計画したアップグレードを続行できます。

  • 実行したアップグレードの変更点を確認する。

  • イメージをダウンロードし、インストールする。

  • インストールのステータスを確認する。

  • インストールが正常に完了した場合は、ASA をリロードして、コンフィギュレーションを保存し、アップグレードを完了する。

始める前に

内部的な変更により、このウィザードでは ASDM 7.10(1) 以降の使用のみがサポートされています。また、イメージの命名が変更されたため、ASA 9.10(1) 以降にアップグレードするには、ASDM 7.12(1) 以降を使用する必要があります。ASDM は ASA の以前のリリースと下位互換性があるため、実行している ASA バージョンを問わず、ASDM をアップグレードすることができます。

手順
ステップ 1

[ツール（Tools）] > [ASA/ASDM更新のチェック（Check for ASA/ASDM Updates）] を選択します。

マルチコンテキストモードでは、システムからこのメニューにアクセスします。

[Cisco.com認証情報（Cisco.com Authentication）] ダイアログボックスが表示されます。

ステップ 2

Cisco.com のユーザ ID とパスワードを入力して、[ログイン（Login）] をクリックします。

[Cisco.com Upgrade Wizard] が表示されます。

（注）   

利用可能なアップグレードがない場合は、ダイアログボックスが表示されます。ウィザードを終了するには、[OK] をクリックします。

ステップ 3

[次へ（Next）] をクリックして [ソフトウェアの選択（Select Software）] 画面を表示します。

現在の ASA バージョンおよび ASDM バージョンが表示されます。

ステップ 4

ASA バージョンおよび ASDM バージョンをアップグレードするには、次の手順を実行します。

  1. [ASA] 領域で、[次のバージョンにアップグレード（Upgrade to）] チェックボックスをオンにしてから、アップグレードする ASA バージョンをドロップダウン リストから選択します。

  2. [ASDM] 領域で、[アップグレード先（Upgrade to）] チェックボックスをオンにしてから、アップグレードする ASDM バージョンをドロップダウン リストから選択します。

ステップ 5

[次へ（Next）] をクリックして [変更の確認（Review Changes）] 画面を表示します。

ステップ 6

次の項目を確認します。

  • ダウンロードした ASA イメージファイルや ASDM イメージファイルが正しいファイルであること。

  • アップロードする ASA イメージファイルや ASDM イメージファイルが正しいファイルであること。

  • 正しい ASA ブートイメージが選択されていること。

ステップ 7

[次へ（Next）] をクリックして、アップグレードインストールを開始します。

アップグレードインストールの進行状況を示すステータスを表示できます。

[結果（Results）] 画面が表示され、アップグレード インストール ステータス（成功または失敗）など、追加の詳細が示されます。

ステップ 8

アップグレードインストールが成功した場合に、アップグレードバージョンを有効にするには、[設定の保存とデバイスのリロード（Save configuration and reload device now）] チェックボックスをオンにして、ASA を再起動し、ASDM を再起動します。

ステップ 9

[終了（Finish）] をクリックして、ウィザードを終了し、コンフィギュレーションに対して行った変更を保存します。

（注）   

次に高いバージョン（存在する場合）にアップグレードするには、ウィザードを再起動する必要があります。

ステップ 10

ASA のリロード後、ASDM を再起動します。

コンソールポートでリロードの状況を確認できます。または、数分待った後に ASDM を使用して、接続可能になるまで再試行することもできます。
ステップ 11

ASA FirePOWER モジュールをアップグレードする場合は、[ツール（Tools）] > [コマンドラインインターフェイス（Command Line Interface）] を選択し、 no rest-api agent を入力して ASA REST API を無効にします。

REST API を無効にしない場合、ASA FirePOWER モジュールのアップグレードは失敗します。次のコマンドを実行して、アップグレード後に REST API を再度有効にすることができます。

rest-api agent

（注）   

FirePOWER モジュールのバージョン 6.0 以降を実行している場合、ASA 5506-X シリーズは ASA の REST API をサポートしません。
ステップ 12

ASA FirePOWER モジュールをアップグレードします。

アクティブ/スタンバイ フェールオーバー ペアのアップグレード

アクティブ/スタンバイ フェールオーバー ペアをアップグレードしてゼロ ダウンタイム アップグレードを実現するには、CLI または ASDM を使用します。

CLI を使用したアクティブ/スタンバイ フェールオーバー ペアのアップグレード

アクティブ/スタンバイ フェールオーバー ペアをアップグレードするには、次の手順を実行します。

始める前に

  • アクティブ装置で次の手順を実行します。SSH アクセスの場合、アクティブな IP アドレスに接続します。アクティブ装置は常にこの IP アドレスを保有しています。CLI に接続する場合は、ASA プロンプトを調べてフェールオーバー ステータスを確認します。フェールオーバー ステータスと優先順位（プライマリまたはセカンダリ）を表示するように ASA プロンプトを設定できます。これは、接続しているユニットを特定するのに役立ちます。prompt コマンドを参照してください。代わりに、show failover コマンドを入力して、このユニットのステータスと優先順位（プライマリまたはセカンダリ）を表示します。

  • この手順では、FTP を使用します。TFTP、HTTP、またはその他のサーバ タイプについては、『ASA Command Reference』の copy コマンドを参照してください。

手順
ステップ 1

特権 EXEC モード時にアクティブ装置で、ASA ソフトウェアをアクティブ装置のフラッシュ メモリにコピーします。

copy ftp://[[user[:password]@]server[/path]/asa_image_name diskn:/[path/]asa_image_name

例:

asa/act# copy ftp://jcrichton:aeryn@10.1.1.1/asa991-smp-k8.bin disk0:/asa991-smp-k8.bin
ステップ 2

ソフトウェアをスタンバイ装置にコピーします。アクティブ装置で指定したのと同じパスを指定してください。

failover exec mate copy /noconfirm ftp://[[user[:password]@]server[/path]/asa_image_name diskn:/[path/]asa_image_name

例:

asa/act# failover exec mate copy /noconfirm ftp://jcrichton:aeryn@10.1.1.1/asa991-smp-k8.bin disk0:/asa991-smp-k8.bin
ステップ 3

ASDM イメージをアクティブ装置のフラッシュ メモリにコピーします。

copy ftp://[[user[:password]@]server[/path]/asdm_image_name diskn:/[path/]asdm_image_name

例:

asa/act# copy ftp://jcrichton:aeryn@10.1.1.1/asdm-771791.bin disk0:/asdm-771791.bin
ステップ 4

ASDM イメージをスタンバイ装置にコピーします。アクティブ装置で指定したのと同じパスを指定してください。

failover exec mate copy /noconfirm ftp://[[user[:password]@]server[/path]/asdm_image_name diskn:/[path/]asdm_image_name

例:

asa/act# failover exec mate copy /noconfirm ftp://jcrichton:aeryn@10.1.1.1/asdm-771791.bin disk0:/asdm-771791.bin
ステップ 5

まだグローバル コンフィギュレーション モードを開始していない場合は、グローバル コンフィギュレーション モードを開始します。

configure terminal

ステップ 6

設定されている現在のブート イメージを表示します（最大 4 個）。

show running-config boot system

例:

asa/act(config)# show running-config boot system
boot system disk0:/cdisk.bin
boot system disk0:/asa931-smp-k8.bin

ASA は、表示された順序でイメージを使用します。最初のイメージが使用できない場合は次のイメージが使用され、以下同様です。新しいイメージ URL をリストの先頭に挿入することはできません。新しいイメージが先頭であることを指定するには、既存のエントリをすべて削除してから、次の手順に従ってイメージの URL を目的の順序で入力します。

ステップ 7

既存のブート イメージ コンフィギュレーションがある場合は削除します。新しいブートイメージを最初の選択肢として入力できるようにするためです。

no boot system diskn:/[path/]asa_image_name

例:

asa/act(config)# no boot system disk0:/cdisk.bin
asa/act(config)# no boot system disk0:/asa931-smp-k8.bin
ステップ 8

ブートする ASA イメージを設定します（先ほどアップロードしたもの）。

boot system diskn:/[path/]asa_image_name

例:

asa/act(config)# boot system disk0://asa991-smp-k8.bin

このイメージが使用できない場合に使用するバックアップ イメージに対して、このコマンドを繰り返します。たとえば、先ほど削除したイメージを再入力できます。

ステップ 9

使用する ASDM イメージを設定します（先ほどアップロードしたもの）。

asdm image diskn:/[path/]asdm_image_name

例:

asa/act(config)# asdm image disk0:/asdm-771791.bin

使用するように設定できる ASDM イメージは 1 つだけであるため、最初に既存のコンフィギュレーションを削除する必要はありません。

ステップ 10

新しい設定をスタートアップ コンフィギュレーションに保存します。

write memory

これらの設定変更は、スタンバイ ユニットに自動的に保存されます。

ステップ 11

ASA FirePOWER モジュールをアップグレードする場合は、ASA REST API を無効にします。無効にしない場合アップグレードは失敗します。

no rest-api agent

ステップ 12

スタンバイ装置の ASA FirePOWER モジュールをアップグレードします。

ASDM によって管理される ASA FirePOWER モジュールの場合、ASDM をスタンバイ管理 IP アドレスに接続します。アップグレードが完了するまで待ちます。

ステップ 13

スタンバイ装置をリロードして新しいイメージを起動します。

failover reload-standby

スタンバイ装置のロードが完了するまで待ちます。show failover コマンドを使用して、スタンバイ ユニットが Standby Ready 状態かどうかを検証します。

ステップ 14

強制的にアクティブ装置からスタンバイ装置へのフェールオーバーを行います。

no failover active

SSH セッションから切断されている場合は、新しいアクティブ/元のスタンバイ ユニット上に現在あるメイン IP アドレスに再接続します。

ステップ 15

以前のアクティブ装置の ASA FirePOWER モジュールをアップグレードします。

ASDM によって管理される ASA FirePOWER モジュールの場合、ASDM をスタンバイ管理 IP アドレスに接続します。アップグレードが完了するまで待ちます。

ステップ 16

新しいアクティブ装置から、元のアクティブ装置（今の新しいスタンバイ装置）をリロードします。

failover reload-standby

例:

asa/act# failover reload-standby
（注）   

元のアクティブ ユニットのコンソール ポートに接続されている場合は、代わりに reload コマンドを入力して、元のアクティブ ユニットをリロードする必要があります。

ASDM を使用したアクティブ/スタンバイ フェールオーバー ペアのアップグレード

アクティブ/スタンバイ フェールオーバー ペアをアップグレードするには、次の手順を実行します。

始める前に

ローカル管理コンピュータに ASA と ASDM のイメージを配置します。

手順
ステップ 1

スタンバイ IP アドレスに接続して、standby ユニット上で ASDM を起動します。

ステップ 2

メイン ASDM アプリケーション ウィンドウで、[ツール（Tools）] > [Upgrade Software from Local Computer] の順に選択します。

[ソフトウェアのアップグレード（Upgrade Software）] ダイアログボックスが表示されます。

ステップ 3

[アップロードするイメージ（Image to Upload）] ドロップダウン リストから、[ASDM] を選択します。

ステップ 4

[ローカルファイルのパス（Local File Path）] フィールドにコンピュータ上のファイルへのローカル パスを入力するか、[ローカルファイルの参照（Browse Local Files）] をクリックして PC 上のファイルを見つけます。

ステップ 5

[フラッシュファイルシステムのパス（Flash File System Path）] フィールドにフラッシュファイルシステムへのパスを入力するか、[フラッシュの参照（Browse Flash）] をクリックしてフラッシュファイルシステム上のディレクトリまたはファイルを検索します。

ステップ 6

[イメージのアップロード（Upload Image）] をクリックします。アップグレード プロセスには数分かかる場合があります。

このイメージを ASA イメージとして設定するように求められる場合は、[いいえ（No）] をクリックします。アップグレード ツールを終了します。

ステップ 7

これらの手順を繰り返し、[アップロードするイメージ（Image to Upload）] ドロップダウンリストで [ASA] を選択します。

このイメージを ASA イメージとして設定するように求められる場合は、[いいえ（No）] をクリックします。アップグレード ツールを終了します。

ステップ 8

メイン IP アドレスに接続して ASDM をアクティブなユニットに接続し、スタンバイ ユニットで使用したのと同じファイルの場所を使用して、ASDM ソフトウェアをアップロードします。

ステップ 9

このイメージを ASDM イメージとして設定するように求められたら、[はい（Yes）] をクリックします。

ASDM を終了して、コンフィギュレーションを保存したことを確認します。[OK] をクリックします。アップグレード ツールを終了します。注：ASA ソフトウェアをアップグレードした後で、設定を保存し、ASDM をリロードします。

ステップ 10

スタンバイ ユニットで使用したのと同じファイルの場所を使用して、ASA ソフトウェアをアップロードします。

ステップ 11

このイメージを ASA イメージとして設定するように求められたら、[はい（Yes）] をクリックします。

新しいイメージを使用するために、ASA をリロードするよう求められます。[OK] をクリックします。アップグレード ツールを終了します。

ステップ 12

コンフィギュレーションの変更を保存するには、ツールバーの [保存（Save）] アイコンをクリックします。

これらの設定変更は、スタンバイ ユニットに自動的に保存されます。

ステップ 13

ASA FirePOWER モジュールをアップグレードする場合は、[ツール（Tools）] > [コマンドラインインターフェイス（Command Line Interface）] を選択し、no rest-api enable を入力して ASA REST API を無効にします。

REST API を無効にしない場合、ASA FirePOWER モジュールのアップグレードは失敗します。
ステップ 14

スタンバイ装置の ASA FirePOWER モジュールをアップグレードします。

ASDM によって管理される ASA FirePOWER モジュールの場合、ASDM をスタンバイ管理 IP アドレスに接続します。アップグレードの完了を待ってから、ASDM をアクティブ装置に接続します。

ステップ 15

[モニタリング（Monitoring）] > [プロパティ（Properties）] > [フェールオーバー（Failover）] > [ステータス（Status）] の順に選択し、[スタンバイのリロード（Reload Standby）] をクリックして、スタンバイ装置をリロードします。

[システム（System）] ペインを開いたまま、スタンバイ ユニットがリロードされるのを確認します。

ステップ 16

スタンバイユニットがリロードしたら、[モニタリング（Monitoring）] > [プロパティ（Properties）] > [フェールオーバー（Failover）] > [ステータス（Status）] の順に選択し、[スタンバイの作成（Make Standby）] をクリックして、アクティブなユニットをスタンバイユニットにフェールオーバーします。

ASDM は新しいアクティブ ユニットに自動的に再接続されます。

ステップ 17

以前のアクティブ装置の ASA FirePOWER モジュールをアップグレードします。

ASDM によって管理される ASA FirePOWER モジュールの場合、ASDM をスタンバイ管理 IP アドレスに接続します。アップグレードの完了を待ってから、ASDM をアクティブ装置に接続します。

ステップ 18

[モニタリング（Monitoring）] > [プロパティ（Properties）] > [フェールオーバー（Failover）] > [ステータス（Status）] の順に選択し、[スタンバイのリロード（Reload Standby）] をクリックして、（新しい）スタンバイユニットをリロードします。

アクティブ/アクティブ フェールオーバー ペアのアップグレード

アクティブ/アクティブ フェールオーバー ペアをアップグレードしてゼロ ダウンタイム アップグレードを実現するには、CLI または ASDM を使用します。

CLI を使用したアクティブ/アクティブ フェールオーバー ペアのアップグレード

アクティブ/アクティブ フェールオーバー コンフィギュレーションの 2 つの装置をアップグレードするには、次の手順を実行します。

始める前に

  • 標準出荷単位で次の手順を実行します。

  • これらの手順をシステム実行スペースで実行します。

  • この手順では、FTP を使用します。TFTP、HTTP、またはその他のサーバ タイプについては、『ASA Command Reference』の copy コマンドを参照してください。

手順
ステップ 1

特権 EXEC モード時にプライマリ ユニットで、ASA ソフトウェアをフラッシュ メモリにコピーします。

copy ftp://[[user[:password]@]server[/path]/asa_image_name diskn:/[path/]asa_image_name

例:

asa/act/pri# copy ftp://jcrichton:aeryn@10.1.1.1/asa991-smp-k8.bin disk0:/asa991-smp-k8.bin
ステップ 2

ソフトウェアをセカンダリ装置にコピーします。プライマリ装置で指定したのと同じパスを指定してください。

failover exec mate copy /noconfirm ftp://[[user[:password]@]server[/path]/asa_image_name diskn:/[path/]asa_image_name

例:

asa/act/pri# failover exec mate copy /noconfirm ftp://jcrichton:aeryn@10.1.1.1/asa991-smp-k8.bin disk0:/asa991-smp-k8.bin
ステップ 3

ASDM イメージをプライマリ装置のフラッシュ メモリにコピーします。

copy ftp://[[user[:password]@]server[/path]/asdm_image_name diskn:/[path/]asdm_image_name

例:

asa/act/pri# ciscoasa# copy ftp://jcrichton:aeryn@10.1.1.1/asdm-771791.bin disk0:/asdm-771791.bin
ステップ 4

ASDM イメージをセカンダリ装置にコピーします。標準出荷単位で指定したのと同じパスを指定してください。

failover exec mate copy /noconfirm ftp://[[user[:password]@]server[/path]/asdm_image_name diskn:/[path/]asdm_image_name

例:

asa/act/pri# failover exec mate copy /noconfirm ftp://jcrichton:aeryn@10.1.1.1/asdm-771791.bin disk0:/asdm-771791.bin
ステップ 5

まだグローバル コンフィギュレーション モードを開始していない場合は、グローバル コンフィギュレーション モードを開始します。

configure terminal

ステップ 6

設定されている現在のブート イメージを表示します（最大 4 個）。

show running-config boot system

例:

asa/act/pri(config)# show running-config boot system
boot system disk0:/cdisk.bin
boot system disk0:/asa931-smp-k8.bin

ASA は、表示された順序でイメージを使用します。最初のイメージが使用できない場合は次のイメージが使用され、以下同様です。新しいイメージ URL をリストの先頭に挿入することはできません。新しいイメージが先頭であることを指定するには、既存のエントリをすべて削除してから、次の手順に従ってイメージの URL を目的の順序で入力します。

ステップ 7

既存のブート イメージ コンフィギュレーションがある場合は削除します。新しいブートイメージを最初の選択肢として入力できるようにするためです。

no boot system diskn:/[path/]asa_image_name

例:

asa/act/pri(config)# no boot system disk0:/cdisk.bin
asa/act/pri(config)# no boot system disk0:/asa931-smp-k8.bin
ステップ 8

ブートする ASA イメージを設定します（先ほどアップロードしたもの）。

boot system diskn:/[path/]asa_image_name

例:

asa/act/pri(config)# boot system disk0://asa991-smp-k8.bin

このイメージが使用できない場合に使用するバックアップ イメージに対して、このコマンドを繰り返します。たとえば、先ほど削除したイメージを再入力できます。

ステップ 9

使用する ASDM イメージを設定します（先ほどアップロードしたもの）。

asdm image diskn:/[path/]asdm_image_name

例:

asa/act/pri(config)# asdm image disk0:/asdm-771791.bin

使用するように設定できる ASDM イメージは 1 つだけであるため、最初に既存のコンフィギュレーションを削除する必要はありません。

ステップ 10

新しい設定をスタートアップ コンフィギュレーションに保存します。

write memory

これらの設定変更は、セカンダリ ユニットに自動的に保存されます。

ステップ 11

ASA FirePOWER モジュールをアップグレードする場合は、ASA REST API を無効にします。無効にしない場合アップグレードは失敗します。

no rest-api agent

ステップ 12

プライマリ装置の両方のフェールオーバー グループをアクティブにします。

failover active group 1

failover active group 2

例:

asa/act/pri(config)# failover active group 1
asa/act/pri(config)# failover active group 2
ステップ 13

セカンダリ ユニットの ASA FirePOWER モジュールをアップグレードします。

ASDM によって管理される ASA FirePOWER モジュールの場合、ASDM をフェールオーバー グループ 1 または 2 のスタンバイ管理 IP アドレスに接続します。アップグレードが完了するまで待ちます。

ステップ 14

セカンダリ装置をリロードして新しいイメージを起動します。

failover reload-standby

セカンダリ装置のロードが完了するまで待ちます。show failover コマンドを使用して、両方のフェールオーバー グループが Standby Ready 状態であることを確認します。

ステップ 15

セカンダリ装置で、両方のフェールオーバー グループを強制的にアクティブにします。

no failover active group 1

no failover active group 2

例:

asa/act/pri(config)# no failover active group 1
asa/act/pri(config)# no failover active group 2
asa/stby/pri(config)#

SSH セッションから切断されている場合は、セカンダリ ユニット上に現在あるフェールオーバー グループ 1 の IP アドレスに再接続します。

ステップ 16

プライマリ ユニットの ASA FirePOWER モジュールをアップグレードします。

ASDM によって管理される ASA FirePOWER モジュールの場合、ASDM をフェールオーバー グループ 1 または 2 のスタンバイ管理 IP アドレスに接続します。アップグレードが完了するまで待ちます。

ステップ 17

プライマリ装置をリロードします。

failover reload-standby

例:

asa/act/sec# failover reload-standby
（注）   

プライマリ ユニットのコンソール ポートに接続されている場合は、代わりに reload コマンドを入力して、プライマリ ユニットをリロードする必要があります。

SSH セッションから切断される場合があります。
ステップ 18

フェールオーバー グループは、preempt コマンドを使用して設定されている場合、プリエンプト遅延の経過後、指定された装置で自動的にアクティブになります。

ASDM を使用したアクティブ/アクティブ フェールオーバー ペアのアップグレード

アクティブ/アクティブ フェールオーバー コンフィギュレーションの 2 つの装置をアップグレードするには、次の手順を実行します。

始める前に

  • これらの手順をシステム実行スペースで実行します。

  • ローカル管理コンピュータに ASA と ASDM のイメージを配置します。

手順
ステップ 1

フェールオーバー グループ 2 の管理アドレスに接続して、セカンダリ ユニットで ASDM を起動します。

ステップ 2

メイン ASDM アプリケーションウィンドウで、[ツール（Tools）] > [Upgrade Software from Local Computer] の順に選択します。

[ソフトウェアのアップグレード（Upgrade Software）] ダイアログボックスが表示されます。

ステップ 3

[アップロードするイメージ（Image to Upload）] ドロップダウンリストから、[ASDM] を選択します。

ステップ 4

[ローカルファイルのパス（Local File Path）] フィールドにコンピュータ上のファイルへのローカルパスを入力するか、[ローカルファイルの参照（Browse Local Files）] をクリックして PC 上のファイルを見つけます。

ステップ 5

[フラッシュファイルシステムのパス（Flash File System Path）] フィールドにフラッシュファイルシステムへのパスを入力するか、[フラッシュの参照（Browse Flash）] をクリックしてフラッシュファイルシステム上のディレクトリまたはファイルを検索します。

ステップ 6

[イメージのアップロード（Upload Image）] をクリックします。アップグレード プロセスには数分かかる場合があります。

このイメージを ASA イメージとして設定するように求められる場合は、[いいえ（No）] をクリックします。アップグレード ツールを終了します。

ステップ 7

これらの手順を繰り返し、[アップロードするイメージ（Image to Upload）] ドロップダウンリストで [ASA] を選択します。

このイメージを ASA イメージとして設定するように求められる場合は、[いいえ（No）] をクリックします。アップグレード ツールを終了します。

ステップ 8

フェールオーバー グループ 1 の管理 IP アドレスに接続して ASDM をプライマリ ユニットに接続し、セカンダリ ユニットで使用したのと同じファイルの場所を使用して、ASDM ソフトウェアをアップロードします。

ステップ 9

このイメージを ASDM イメージとして設定するように求められたら、[はい（Yes）] をクリックします。

ASDM を終了して、コンフィギュレーションを保存したことを確認します。[OK] をクリックします。アップグレード ツールを終了します。注：ASA ソフトウェアをアップグレードした後で、設定を保存し、ASDM をリロードします。

ステップ 10

セカンダリ ユニットで使用したのと同じファイルの場所を使用して、ASA ソフトウェアをアップロードします。

ステップ 11

このイメージを ASA イメージとして設定するように求められたら、[はい（Yes）] をクリックします。

新しいイメージを使用するために、ASA をリロードするよう求められます。[OK] をクリックします。アップグレード ツールを終了します。

ステップ 12

コンフィギュレーションの変更を保存するには、ツールバーの [保存（Save）] アイコンをクリックします。

これらの設定変更は、セカンダリ ユニットに自動的に保存されます。
ステップ 13

ASA FirePOWER モジュールをアップグレードする場合は、[ツール（Tools）] > [コマンドラインインターフェイス（Command Line Interface）] を選択し、no rest-api enable を入力して ASA REST API を無効にします。

REST API を無効にしない場合、ASA FirePOWER モジュールのアップグレードは失敗します。
ステップ 14

[モニタリング（Monitoring）] > [フェールオーバー（Failover）] > [フェールオーバーグループ#（Failover Group #）] の順に選択して、プライマリユニット上の両方のフェールオーバーグループをアクティブにします。ここで # は、プライマリユニットに移動するフェールオーバーグループの数です。[Make Active] をクリックします。

ステップ 15

セカンダリ ユニットの ASA FirePOWER モジュールをアップグレードします。

ASDM によって管理される ASA FirePOWER モジュールの場合、ASDM をフェールオーバー グループ 1 または 2 のスタンバイ管理 IP アドレスに接続します。アップグレードの完了を待ってから、ASDM をプライマリ ユニットに接続します。

ステップ 16

[モニタリング（Monitoring）] > [フェールオーバー（Failover）] > [システム（System）] の順に選択し、[スタンバイのリロード（Reload Standby）] をクリックして、セカンダリユニットをリロードします。

[システム（System）] ペインを開いたまま、セカンダリユニットがリロードされるのを確認します。

ステップ 17

セカンダリユニットが起動したら、[モニタリング（Monitoring）] > [フェールオーバー（Failover）] > [フェールオーバーグループ#（Failover Group #）] の順に選択して、セカンダリユニット上の両方のフェールオーバーグループをアクティブにします。ここで # は、セカンダリユニットに移動するフェールオーバーグループの数です。[スタンバイの作成（Make Standby）] をクリックします。

ASDM は、セカンダリ ユニット上のフェールオーバー グループ 1 の IP アドレスに自動的に再接続されます。

ステップ 18

プライマリ ユニットの ASA FirePOWER モジュールをアップグレードします。

ASDM によって管理される ASA FirePOWER モジュールの場合、ASDM をフェールオーバー グループ 1 または 2 のスタンバイ管理 IP アドレスに接続します。アップグレードの完了を待ってから、ASDM をセカンダリ ユニットに接続します。

ステップ 19

[モニタリング（Monitoring）] > [フェールオーバー（Failover）] > [システム（System）] の順に選択し、[スタンバイのリロード（Reload Standby）] をクリックして、プライマリユニットをリロードします。

ステップ 20

フェールオーバーグループは、[プリエンプトの有効化（Preempt Enabled）] を使用して設定されると、プリエンプト遅延の経過後、指定された装置で自動的にアクティブになります。ASDM は、プライマリ ユニット上のフェールオーバー グループ 1 の IP アドレスに自動的に再接続されます。

ASA クラスタのアップグレード

ASA クラスタをアップグレードしてゼロ ダウンタイム アップグレードを実現するには、CLI または ASDM を使用します。

CLI を使用した ASA クラスタのアップグレード

ASA クラスタ内のすべての装置をアップグレードするには、次の手順を実行します。この手順では、FTP を使用します。TFTP、HTTP、またはその他のサーバ タイプについては、『ASA Command Reference』の copy コマンドを参照してください。

始める前に

  • マスター ユニットで次の手順を実行します。ASA FirePOWER モジュールもアップグレードしている場合は、各スレーブ ユニットへのコンソール アクセスまたは ASDM アクセスが必要です。クラスタ ユニットと状態（マスターまたはスレーブ）を表示するように ASA プロンプトを設定できます。これは、接続しているユニットを特定するのに役立ちます。prompt コマンドを参照してください。代わりに、show cluster info コマンドを入力して、各ユニットの役割を表示します。

  • コンソール ポートを使用する必要があります。クラスタリングのイネーブルまたはディセーブルを、リモート CLI 接続から行うことはできません。

  • マルチ コンテキスト モードでは、システム実行スペースで後続の手順を実行します。

手順
ステップ 1

特権 EXEC モード時にマスター ユニットで、ASA ソフトウェアをクラスタ内のすべてのユニットにコピーします。

cluster exec copy /noconfirm ftp://[[user[:password]@]server[/path]/asa_image_name diskn:/[path/]asa_image_name

例:

asa/unit1/master# cluster exec copy /noconfirm 
ftp://jcrichton:aeryn@10.1.1.1/asa991-smp-k8.bin disk0:/asa991-smp-k8.bin
ステップ 2

ASDM イメージをクラスタ内のすべての装置にコピーします。

cluster exec copy /noconfirm ftp://[[user[:password]@]server[/path]/asdm_image_name diskn:/[path/]asdm_image_name

例:

asa/unit1/master# cluster exec copy /noconfirm ftp://jcrichton:aeryn@10.1.1.1/asdm-771791.bin disk0:/asdm-771791.bin
ステップ 3

まだグローバル コンフィギュレーション モードを開始していない場合は、ここで開始します。

configure terminal

例:

asa/unit1/master# configure terminal
asa/unit1/master(config)#
ステップ 4

設定されている現在のブート イメージを表示します（最大 4 個）。

show running-config boot system

例:

asa/unit1/master(config)# show running-config boot system
boot system disk0:/cdisk.bin
boot system disk0:/asa931-smp-k8.bin

ASA は、表示された順序でイメージを使用します。最初のイメージが使用できない場合は次のイメージが使用され、以下同様です。新しいイメージ URL をリストの先頭に挿入することはできません。新しいイメージが先頭であることを指定するには、既存のエントリをすべて削除してから、次の手順に従ってイメージの URL を目的の順序で入力します。

ステップ 5

既存のブート イメージ コンフィギュレーションがある場合は削除します。新しいブートイメージを最初の選択肢として入力できるようにするためです。

no boot system diskn:/[path/]asa_image_name

例:

asa/unit1/master(config)# no boot system disk0:/cdisk.bin
asa/unit1/master(config)# no boot system disk0:/asa931-smp-k8.bin
ステップ 6

ブートする ASA イメージを設定します（先ほどアップロードしたもの）。

boot system diskn:/[path/]asa_image_name

例:

asa/unit1/master(config)# boot system disk0://asa991-smp-k8.bin

このイメージが使用できない場合に使用するバックアップ イメージに対して、このコマンドを繰り返します。たとえば、先ほど削除したイメージを再入力できます。

ステップ 7

使用する ASDM イメージを設定します（先ほどアップロードしたもの）。

asdm image diskn:/[path/]asdm_image_name

例:

asa/unit1/master(config)# asdm image disk0:/asdm-771791.bin

使用するように設定できる ASDM イメージは 1 つだけであるため、最初に既存のコンフィギュレーションを削除する必要はありません。

ステップ 8

新しい設定をスタートアップ コンフィギュレーションに保存します。

write memory

これらの設定変更は、スレーブ ユニットに自動的に保存されます。

ステップ 9

ASA FirePOWER モジュールをアップグレードする場合は、ASA REST API を無効にします。無効にしない場合、ASA FirePOWER モジュールのアップグレードは失敗します。

no rest-api agent

ステップ 10

ASDM によって管理されている ASA FirePOWER モジュールをアップグレードする場合、ASDM を個別の管理 IP アドレスに接続する必要があります。このため、各ユニットの IP アドレスをメモしておく必要があります。

show running-config interface management_interface_id

使用されている cluster-pool プール名をメモします。

show ip[v6] local pool poolname

クラスタ ユニットの IP アドレスをメモします。

例:

asa/unit2/slave# show running-config interface gigabitethernet0/0
!
interface GigabitEthernet0/0
 management-only
 nameif inside
 security-level 100
 ip address 10.86.118.1 255.255.252.0 cluster-pool inside-pool
asa/unit2/slave# show ip local pool inside-pool
Begin           End             Mask            Free     Held     In use
10.86.118.16    10.86.118.17    255.255.252.0       0        0        2

Cluster Unit                    IP Address Allocated
unit2                           10.86.118.16
unit1                           10.86.118.17
asa1/unit2/slave#
ステップ 11

スレーブ ユニットをアップグレードします。

ASA FirePOWER モジュールもアップグレードするかどうかによって、以下の手順を選択します。ASA FirePOWER モジュールもアップグレードする場合、ASA FirePOWER プロシージャは ASA のリロードの回数を最小化します。これらの手順にスレーブ コンソールまたは ASDM を使用することを選択できます。すべてのコンソール ポートに使用可のアクセスを持っておらず、ただしネットワークを介して ASDM アクセスできる場合は、コンソールの代わりに ASDM を使用できます。

（注）   

アップグレード プロセス中は、cluster master unit コマンドを使用して強制的にスレーブ装置をマスターに変更しないでください。ネットワークの接続性とクラスタの安定性に関連した障害が発生する恐れがあります。最初にすべてのスレーブ ユニットをアップグレードしてリロードし、次にこの手順を実行すると、現在のマスター ユニットから新しいマスター ユニットへの移行を確実かつスムーズに行うことができます。

ASA FirePOWER モジュールのアップグレードがない場合：

  1. マスター ユニットでメンバー名を表示するには、cluster exec unit ? または show cluster info コマンドを入力します。

  2. スレーブ ユニットをリロードします。

    cluster exec unit slave-unit reload noconfirm

    例:
    
asa/unit1/master# cluster exec unit unit2 reload noconfirm

  3. 各スレーブ ユニットに対して手順を繰り返します。

    接続損失を回避し、トラフィックを安定させるために、各装置が起動しクラスタに再接続するのを待ち（約 5 分）、次の装置にこれらの手順を繰り返します。装置がクラスタに再接続したことを確認するには、show cluster info を入力します。

ASA FirePOWER モジュールのアップグレードもある場合（スレーブ コンソールを使用）：

  1. スレーブ ユニットのコンソール ポートに接続し、グローバル コンフィギュレーション モードに入ります。

    enable

    configure terminal

    例:
    
asa/unit2/slave> enable
Password: 
asa/unit2/slave# configure terminal
asa/unit2/slave(config)#

  2. クラスタリングを無効にします。

    cluster group name

    no enable

    リロード時にクラスタリングを有効にするために、この構成を保存しないでください。複数の障害やアップグレード処理中の再参加を避けるために、クラスタリングを無効にする必要があります。このユニットでは、すべてのアップグレードとリロードが完了した後に再参加のみする必要があります。

    例:
    
asa/unit2/slave(config)# cluster group cluster1
asa/unit2/slave(cfg-cluster)# no enable
Cluster disable is performing cleanup..done.
All data interfaces have been shutdown due to clustering being disabled. To recover either enable clustering or remove cluster group configuration.

Cluster unit unit2 transitioned from SLAVE to DISABLED
asa/unit2/ClusterDisabled(cfg-cluster)#

  3. スレーブ ユニットの ASA FirePOWER モジュールをアップグレードします。

    ASDM によって管理される ASA FirePOWER モジュールの場合、事前にメモした個別の管理 IP アドレスに ASDM を接続します。アップグレードが完了するまで待ちます。

  4. スレーブ ユニットをリロードします。

    reload noconfirm

  5. 各スレーブ ユニットに対して手順を繰り返します。

    接続損失を回避し、トラフィックを安定させるために、各装置が起動しクラスタに再接続するのを待ち（約 5 分）、次の装置にこれらの手順を繰り返します。装置がクラスタに再接続したことを確認するには、show cluster info を入力します。

ASA FirePOWER モジュールのアップグレードもある場合（ASDM を使用）：

  1. 事前にメモしたこのスレーブ ユニットの個別の管理 IP アドレスに ASDM を接続します。

  2. [構成（Configuration）] > [デバイス管理ハイアベイラビリティとスケーラビリティ（Device ManagementHigh Availability and Scalability）] > [ASAクラスタ（ASA Cluster）] > [クラスタの設定（Cluster Configuration）] > . の順に選択します。

  3. [ASAクラスタに参加（Participate in ASA cluster）] チェックボックスをオフにします。

    複数の障害やアップグレード処理中の再参加を避けるために、クラスタリングを無効にする必要があります。このユニットでは、すべてのアップグレードとリロードが完了した後に再参加のみする必要があります。

    [ASAクラスタ設定の構成（Configure ASA cluster settings）] チェックボックスをオフにしないでください。オフにすると、すべてのクラスタ コンフィギュレーションがクリアされ、ASDM が接続されている管理インターフェイスを含むすべてのインターフェイスもシャットダウンします。この場合、接続を復元するには、コンソール ポートで CLI にアクセスする必要があります。

    （注）   

    ASDM の以前のバージョンは、この画面でのクラスタの無効化をサポートしていません。この場合、[ツール（Tools）] > [コマンドラインインターフェイス（Command Line Interface）] ツールを使用します。[複数のライン（Multiple Line）] ラジオボタンをクリックして、cluster group name と no enable を入力します。クラスタ グループ名は、[ホーム（Home）] > [デバイス ダッシュボード（Device Dashboard）] > [デバイス情報（Device Information）] > [ASA クラスタ（ASA Cluster）] エリアで確認できます。

  4. [適用（Apply）] をクリックします。

  5. ASDM から出るように促されます。同じ IP アドレスに ASDM を再接続します。

  6. ASA FirePOWER モジュールをアップグレードします。

    アップグレードが完了するまで待ちます。

  7. ASDM で、[ツール（Tools）] > [システムのリロード（System Reload）] を選択します。

  8. [実行コンフィギュレーションを保存しないでリロードする（Reload without saving the running configuration）] オプション ボタンをクリックします。

    この装置のリロード時にクラスタリングを有効にするために、この構成を保存しないようにします。

  9. [スケジュールのリロード（Schedule Reload）] をクリックします。

  10. [はい（Yes）] をクリックしてリロードを続行します。

  11. 各スレーブ ユニットに対して手順を繰り返します。

    接続損失を回避し、トラフィックを安定させるために、各装置が起動しクラスタに再接続するのを待ち（約 5 分）、次の装置にこれらの手順を繰り返します。装置がクラスタに再接続したことを確認するには、マスターユニットの [モニタリング（Monitoring）] > [ASAクラスタ（ASA Cluster）] > [クラスタの概要（Cluster Summary）] ペインを確認します。

ステップ 12

マスター ユニットをアップグレードします。

  1. クラスタリングを無効にします。

    cluster group name

    no enable

    新しいマスター ユニットが選択されトラフィックが安定するまで、5 分間待ちます。

    リロード時にクラスタリングを有効にするために、この構成を保存しないでください。

    可能であれば、新しいマスター ユニットができるだけ迅速かつ正常に選出されるように、マスター ユニットのクラスタを手動で無効にすることをお勧めします。

    例:
    
asa/unit1/master(config)# cluster group cluster1
asa/unit1/master(cfg-cluster)# no enable
Cluster disable is performing cleanup..done.
All data interfaces have been shutdown due to clustering being disabled. To recover either enable clustering or remove cluster group configuration.

Cluster unit unit1 transitioned from MASTER to DISABLED
asa/unit1/ClusterDisabled(cfg-cluster)#

  2. このユニットの ASA FirePOWER モジュールをアップグレードします。

    ASDM によって管理される ASA FirePOWER モジュールの場合、事前にメモした個別の管理 IP アドレスに ASDM を接続します。この時点で、メイン クラスタ IP アドレスは新しいマスター ユニットに属しています。元のマスター ユニットは、その個別の管理 IP アドレスに引き続きアクセスできます。

    アップグレードが完了するまで待ちます。

  3. このユニットをリロードします。

    reload noconfirm

    元のマスター ユニットがクラスタに再接続すると、そのユニットはスレーブになります。

ASDM を使用した ASA クラスタのアップグレード

ASA クラスタ内のすべての装置をアップグレードするには、次の手順を実行します。

始める前に

  • マスター ユニットで次の手順を実行します。ASA FirePOWER モジュールもアップグレードしている場合は、各スレーブ ユニットへの ASDM アクセスが必要です。

  • マルチ コンテキスト モードでは、システム実行スペースで後続の手順を実行します。

  • ローカル管理コンピュータに ASA と ASDM のイメージを配置します。

手順
ステップ 1

メイン クラスタ IP アドレスに接続して、マスター ユニットで ASDM を起動します。

この IP アドレスは、常にマスター ユニットに保持されます。
ステップ 2

メイン ASDM アプリケーション ウィンドウで、[ツール（Tools）] > [Upgrade Software from Local Computer] の順に選択します。

[Upgrade Software from Local Computer] ダイアログボックスが表示されます。

ステップ 3

[クラスタ内のすべてのデバイス（All devices in the cluster）] オプション ボタンをクリックします。

[ソフトウェアのアップグレード（Upgrade Software）] ダイアログボックスが表示されます。

ステップ 4

[アップロードするイメージ（Image to Upload）] ドロップダウンリストから、[ASDM] を選択します。

ステップ 5

[ローカルファイルのパス（Local File Path）] フィールドで [ローカルファイルの参照（Browse Local Files）] をクリックして、コンピュータ上のファイルを見つけます。

ステップ 6

（任意） [フラッシュファイルシステムのパス（Flash File System Path）] フィールドにフラッシュファイルシステムへのパスを入力するか、[フラッシュの参照（Browse Flash）] をクリックしてフラッシュファイルシステム上のディレクトリまたはファイルを検索します。

デフォルトでは、このフィールドにはパス（disk0:/filename）が入力されています。

ステップ 7

[イメージのアップロード（Upload Image）] をクリックします。アップグレード プロセスには数分かかる場合があります。

ステップ 8

このイメージを ASDM イメージとして設定するように求められます。[はい（Yes）] をクリックします。

ステップ 9

ASDM を終了して、コンフィギュレーションを保存したことを確認します。[OK] をクリックします。

アップグレード ツールを終了します。注：ASA ソフトウェアをアップグレードした後で、設定を保存し、ASDM をリロードします。

ステップ 10

これらの手順を繰り返し、[アップロードするイメージ（Image to Upload）] ドロップダウン リストから [ASA] を選択します。

ステップ 11

コンフィギュレーションの変更を保存するには、ツールバーの [保存（Save）] アイコンをクリックします。

これらの設定変更は、スレーブ ユニットに自動的に保存されます。
ステップ 12

[構成（Configuration）] > [デバイス管理（Device Management）] > [ハイアベイラビリティとスケーラビリティ（High Availability and Scalability）] > [ASAクラスタ（ASA Cluster）] > [クラスタメンバー（Cluster Members）] で、各ユニットの個別の管理 IP アドレスをメモして、後で ASDM をスレーブ ユニットに直接接続できるようにします。

ステップ 13

ASA FirePOWER モジュールをアップグレードする場合は、[ツール（Tools）] > [コマンドラインインターフェイス（Command Line Interface）] を選択し、no rest-api enable を入力して ASA REST API を無効にします。

REST API を無効にしない場合、ASA FirePOWER モジュールのアップグレードは失敗します。
ステップ 14

スレーブ ユニットをアップグレードします。

ASA FirePOWER モジュールもアップグレードするかどうかによって、以下の手順を選択します。ASA FirePOWER モジュールもアップグレードする場合、ASA FirePOWER プロシージャは ASA のリロードの回数を最小化します。

（注）   

アップグレードプロセス中は、[モニタリング（Monitoring）] > [ASAクラスタ（ASA Cluster）] > [クラスタの概要（Cluster Summary）] > [マスターの変更先（Change Master To）] ドロップダウンリストを使用してスレーブユニットを強制的にマスターにしないでください。ネットワークの接続性とクラスタの安定性に関連した障害が発生することがあります。最初にすべてのスレーブ ユニットをリロードし、次にこの手順を実行すると、現在のマスター ユニットから新しいマスター ユニットへの移行をスムーズに行うことができます。

ASA FirePOWER モジュールのアップグレードがない場合：

  1. マスター ユニットで、 [ツール（Tools ）] > [システムリロード（System Reload）] の順に選択します。

  2. [デバイス（Device）] ドロップダウン リストからスレーブ ユニット名を選択します。

  3. [スケジュールのリロード（Schedule Reload）] をクリックします。

  4. [はい（Yes）] をクリックしてリロードを続行します。

  5. 各スレーブ ユニットに対して手順を繰り返します。

    接続損失を回避し、トラフィックを安定させるために、各装置が起動しクラスタに再接続するのを待ち（約 5 分）、次の装置にこれらの手順を繰り返します。装置がクラスタに再接続したことを確認するには、[モニタリング（Monitoring）] > [ASAクラスタ（ASA Cluster）] > [クラスタの概要（Cluster Summary）] ペインを表示します。

ASA FirePOWER モジュールのアップグレードもある場合：

  1. マスター ユニットで、[構成（Configuration）] > [デバイス管理（Device Management）] > [ハイアベイラビリティとスケーラビリティ（High Availability and Scalability）] > [ASAクラスタ（ASA Cluster）] > [クラスタメンバー（Cluster Members）] の順に選択します。

  2. アップグレードするスレーブ ユニットを選択して [削除（Delete）] をクリックします。

  3. [適用（Apply）] をクリックします。

  4. ASDM を終了し、事前にメモした個別の管理 IP アドレスに接続して、ASDM をスレーブ ユニットに接続します。

  5. ASA FirePOWER モジュールをアップグレードします。

    アップグレードが完了するまで待ちます。

  6. ASDM で、[ツール（Tools）] > [システムのリロード（System Reload）] を選択します。

  7. [実行コンフィギュレーションを保存しないでリロードする（Reload without saving the running configuration）] オプション ボタンをクリックします。

    この装置のリロード時にクラスタリングを有効にするために、この構成を保存しないようにします。

  8. [スケジュールのリロード（Schedule Reload）] をクリックします。

  9. [はい（Yes）] をクリックしてリロードを続行します。

  10. 各スレーブ ユニットに対して手順を繰り返します。

    接続損失を回避し、トラフィックを安定させるために、各装置が起動しクラスタに再接続するのを待ち（約 5 分）、次の装置にこれらの手順を繰り返します。装置がクラスタに再接続したことを確認するには、[モニタリング（Monitoring）] > [ASAクラスタ（ASA Cluster）] > [クラスタの概要（Cluster Summary）] ペインを表示します。

ステップ 15

マスター ユニットをアップグレードします。

  1. マスター ユニットの ASDM で、[構成（Configuration）] > [デバイス管理（Device Management）] > [ハイアベイラビリティとスケーラビリティ（High Availability and Scalability）] > [ASAクラスタ（ASA Cluster）] > [クラスタの設定（Cluster Configuration）] の順に選択します。

  2. [ASAクラスタに参加（Participate in ASA cluster）] チェックボックスをオフにして、[適用（Apply）] をクリックします。

    ASDM から出るように促されます。

  3. 新しいマスター ユニットが選択されトラフィックが安定するまで、最大で 5 分間待ちます。

    元のマスター ユニットがクラスタに再接続すると、そのユニットはスレーブになります。

  4. 事前にメモした個別の管理 IP アドレスに接続して、ASDM を元のマスター ユニットに再接続します。

    この時点で、メイン クラスタ IP アドレスは新しいマスター ユニットに属しています。元のマスター ユニットは、その個別の管理 IP アドレスに引き続きアクセスできます。

  5. ASA FirePOWER モジュールをアップグレードします。

    アップグレードが完了するまで待ちます。

  6. [Tools] > [System Reload] を選択します。

  7. [実行コンフィギュレーションを保存しないでリロードする（Reload without saving the running configuration）] オプション ボタンをクリックします。

    この装置のリロード時にクラスタリングを有効にするために、この構成を保存しないようにします。

  8. [Schedule Reload] をクリックします。

  9. [はい（Yes）] をクリックしてリロードを続行します。

    ASDM から出るように促されます。メイン クラスタ IP アドレスで ASDM を再起動すると、新しいマスター ユニットに再接続されます。

ASA FirePOWER モジュールのアップグレード

この手順を使用して、FMC によって管理されている ASA FirePOWER モジュールをアップグレードします。モジュールをいつアップグレードするかは、ASAをアップグレードするかどうか、およびASAの展開によって異なります。

  • スタンドアロン ASA デバイスをアップグレードする場合：ASA もアップグレードする場合は、ASA をアップグレードしてリロードした直後に、FMC を使用して ASA FirePOWER モジュールをアップグレードします。

  • ASA クラスタとフェールオーバ ペアをアップグレードする場合：トラフィック フローとインスペクションの中断を避けるには、これらのデバイスを 1 つずつ完全にアップグレードします。ASA をアップグレードする場合、各ユニットをリロードして ASA をアップグレードする直前に、FMC を使用して ASA FirePOWER モジュールをアップグレードします。

詳細については、「Asa FirePOWER アップグレードパス：FMC 搭載アップグレードパス：ASA FirePOWER」と ASA アップグレード手順を参照してください。


注意    
アップグレードしているアプライアンスとの間での変更の展開、またはアップグレードしているアプライアンスの手動での再起動やシャットダウンは行わないでください。進行中のアップグレードを再開しないでください。事前のチェック中に、アップグレードプロセスが停止しているように見える場合がありますが、これは想定内の動作です。アップグレードに失敗する、アプライアンスが応答しないなど、アップグレードで問題が発生した場合には Cisco TAC にお問い合わせください。

始める前に

ASA と FMC のアップグレードを含め、アップグレード パス内の場所を確認します。この手順のために完全に計画および準備されていることを確認します。

手順

ステップ 1

アップグレード対象デバイスに構成を展開します。

メニューバーで、[展開（Deploy）] をクリックします。FMCデバイスを選択し、[展開（Deploy）] をもう一度クリックします。アップグレードする前に展開すると、失敗する可能性が減少します。

展開する際にリソースを要求すると、いくつかのパケットがインスペクションなしでドロップされることがあります。 さらに、いくつかの設定を展開することで Snort が再起動されます。これにより、トラフィックのインスペクションが中断し、デバイスのトラフィックの処理方法によっては、再起動が完了するまでトラフィックが中断する場合があります。詳細については、ASA FirePOWER アップグレード時の動作 を参照してください。

ステップ 2

（バージョン 6.1 以降へのアップグレード）ASA REST API を無効にします。

REST API を無効にしない場合、アップグレードは失敗します。ASA FirePOWER モジュールのバージョン 6.0 以降も実行している場合、ASA 5506-X シリーズのデバイスでは ASA REST API はサポートされません。

ASA の CLI を使用して、REST API を無効にします。

no rest-api agent

次のコマンドを実行して、アップグレード後に REST API を再度有効にすることができます。

rest-api agent

ステップ 3

アップグレード前の最終的なチェックを実行します。

  • 正常性のチェック：メッセージセンターを使用します（メニューバーの [システムステータス（System Status）] アイコンをクリックします）。導入環境内のアプライアンスが正常に通信していること、およびヘルス モニタによって報告された問題がないことを確認します。

  • タスクの実行：また、メッセージ センターで、必須タスクが完了していることを確認します。 アップグレードの開始時に実行中のタスクは停止し、失敗したタスクとなり、再開できません。後で失敗ステータスメッセージを手動で削除できます。

  • ディスク容量のチェック：最終的なディスク容量のチェックを実行します。空きディスク容量が十分でない場合、アップグレードは失敗します。ディスク容量の要件については、「時間テストとディスク容量の要件」を参照してください。
ステップ 4

[システム（System）] > [更新（Updates）] を選択します。

ステップ 5

使用するアップグレード パッケージの横にある [インストール（Install）] アイコンをクリックして、アップグレードするデバイスを選択します。

アップグレードするデバイスがリストに表示されない場合は、間違ったアップグレード パッケージを選択しています。

（注）   
同時にアップグレードするデバイスは 5 台までにすることを強く推奨します。FMC では選択したすべてのデバイスがそのプロセスを完了するまで、アップグレードを停止することはできません。いずれかのデバイスのアップグレードに問題がある場合、問題を解決する前に、すべてのデバイスのアップグレードを完了する必要があります。
ステップ 6

[インストール（Install）] をクリックし、アップグレードして、デバイスを再起動することを確認します。

トラフィックは、デバイスの設定および展開方法に応じて、アップグレードの間ドロップするか、検査なしでネットワークを通過します。詳細については、ASA FirePOWER アップグレード時の動作 を参照してください。

ステップ 7

メッセージ センターでアップグレードの進行状況をモニタします。

デバイスのアップグレード中は、構成をそのデバイスに展開しないでください。メッセージ センターに進行状況が数分間表示されない、またはアップグレードが失敗したことが示されている場合でも、アップグレードを再開したり、デバイスを再起動したりしないでください。代わりに、Cisco TAC にお問い合わせください。

ステップ 8

成功したことを確認します。

アップグレードが完了したら、[デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、アップグレードしたデバイスのソフトウェア バージョンが正しいことを確認します。

ステップ 9

メッセージ センターを使用して、導入環境に問題がないことを再度確認します。
ステップ 10

侵入ルール（SRU）および脆弱性データベース（VDB）を更新します。

シスコ サポート & ダウンロード サイトで利用可能な SRU や VDB が現在実行中のバージョンより新しい場合は、新しいバージョンをインストールします。詳細については、Firepower Management Center Configuration Guideを参照してください。侵入ルールを更新する場合、ポリシーを自動的に再適用する必要はありません。後で適用します。

ステップ 11

リリース ノートに記載されているアップグレード後の構成の変更をすべて完了します。
ステップ 12

アップグレードしたデバイスに構成を再度展開します。

このドキュメントは役に立ちましたか?

Feedbackフィードバック

シスコに問い合わせ