Firewall Threat Defense のリリース固有のアップグレードの警告とガイドライン、およびアップグレードに影響する機能とバグについては、http://www.cisco.com/go/ftd-notes で、現在のバージョンからターゲットバージョンまでのすべてのリリースノートを確認してください。

ほとんどの場合、FXOS のメジャーバージョンの最新ビルドを使用することを推奨します。

リリース固有の FXOS アップグレードの警告とガイドライン、およびアップグレードに影響する機能とバグについては、現在のバージョンと対象バージョン間のすべてのリリースノートを確認してください（http://www.cisco.com/go/firepower9300-rns）。

ファームウェア アップグレードのガイドライン（FXOS 2.13 以前へのアップグレード）については、ファームウェア アップグレード ガイド「Cisco Firepower 4100/9300 FXOS ファームウェア アップグレード ガイド」を参照してください。

アップグレードしても、Firewall Threat Defense Virtual インスタンスのシリアル番号や UUID は変更されません。

クラスターをアップグレードする前に、ベースイメージとテンプレートイメージ ID を更新します。

パブリッククラウドでクラスタをアップグレードする前に、ターゲットバージョンのイメージをクラウドイメージリポジトリにコピーし、クラスタ展開テンプレートのイメージ ID を更新します（実際には、既存のテンプレートを変更したコピーで置き換えることを推奨します）。これにより、アップグレード後に新しいインスタンス（クラスタスケーリング中に起動されたインスタンスなど）が正しいバージョンを使用するようになります。クラスタにパッチが適用されている場合など、必要なイメージがマーケットプレイスにない場合は、インスタンス固有（Day 0）の設定がなく、正しいバージョンを実行しているスタンドアロンの Firewall Threat Defense Virtual インスタンスのスナップショットからカスタムイメージを作成します。

自動スケーリングされたクラスターをアップグレードする前に、正常性チェックを一時停止します。

AWS 向け Firewall Threat Defense Virtual の場合、自動スケーリングされたクラスタのアップグレードの前に HealthCheck プロセスと ReplaceUnhealthy プロセスを一時停止します。これにより、アップグレード後の再起動中に Auto Scaling グループによってインスタンスが終了されなくなります。一時停止したプロセスは、後で再開できます。手順については、Amazon EC2 Auto Scaling のユーザーガイドの「Suspend and resume Amazon EC2 Auto Scaling processes」を参照してください。

このセクションでは、アップグレードおよびダウングレード機能の概要について説明します。

サポートされるアップグレード

次の表に、Firewall Threat Defense ソフトウェアでサポートされている直接アップグレードを示します。

（注）	パッチは 4 桁目のみを変更できます。以前のメジャーリリースまたはメンテナンスリリースからパッチに直接アップグレードすることはできません。

Firepower 4100/9300 アップグレードでサポートされている FXOS バージョン

Firepower 4100/9300 の場合、この表には、対応する FXOS バージョンがリストされています。シャーシのアップグレードが必要な場合、Firewall Threat Defense のアップグレードはブロックされます。ほとんどの場合、各バージョンで最新のビルドを推奨します。最小ビルドについては、「Cisco Secure Firewall Threat Defense 互換性ガイド」を参照してください。

サポートされるダウングレード

アップグレードに成功したにもかかわらず、システムが期待どおりに機能しない場合は、以前のバージョンに戻せることがあります。「Firewall Threat Defense の復元」を参照してください。

[管理（Administration）] > [アップグレードと更新（Upgrades & updates）] > [製品アップグレード（Product Upgrades）] には利用可能なすべてのアップグレードが一覧表示されます（推奨リリースには特別なマークが付いています）。簡単にパッケージを選択してインターネットから直接 クラウド提供型 Firewall Management Center にダウンロードしたり、手動でダウンロードしたパッケージをアップロードしたりできます。詳細については、次の表を参照してください。一般的な問題の解決策については、「アップグレードパッケージのトラブルシューティング」を参照してください。

（注）	インターネットにアクセスできるデバイスは、クラウド提供型 Firewall Management Center のパッケージなしでアップグレードできます。デバイスは適切な時期にパッケージを取得します。「デバイスへのアップグレードパッケージのコピー」を参照してください。

アップグレードするには、アップグレードパッケージがデバイスにある必要があります。

Firewall Threat Defense アップグレードパッケージのコピー

アップグレードするデバイスを選択すると、アップグレードウィザードからアップグレードパッケージをコピーするよう求められます。デバイスは、次のソース を順番に試します。いずれかが失敗すると、通常、デバイスは次のソースを試します。

内部サーバー。

設定されている場合、内部サーバーが優先されます。インターネットまたは クラウド提供型 Firewall Management Center からアップグレードパッケージを取得することが不可能または現実的ではない場合に推奨されます。たとえば、デバイスがインターネットにアクセスできない場合、クラウド提供型 Firewall Management Center に十分なディスク容量がない場合、またはデバイスと ダウンロード場所間の帯域幅が不足している場合などです。クラウド提供型 Firewall Management Center では特に、デバイス アップグレード パッケージ用のディスク容量が限られています。

内部サーバーからのダウンロードに失敗した場合は、インターネットにアクセスできる新しいデバイス（Firewall Threat Defense 7.6 以降またはシャーシ 7.4.1 以降）で次に試してください。古いデバイスやインターネットにアクセスできないデバイスでは、クラウド提供型 Firewall Management Center を試してください。

参照： 内部サーバーからデバイスへのアップグレードパッケージのコピー

インターネット。ほとんどのケースで推奨。

デバイスがインターネットにアクセスでき、デバイスとダウンロード場所の間に十分な帯域幅がある場合に推奨されます。インターネットアクセスは毎週テストされます。ホットフィックスではサポートされていません。

デフォルトでは、インターネットにアクセスできるデバイスは クラウド提供型 Firewall Management Center の前にインターネットを試します。ただし、デバイスのインターネットアクセスが低速または不安定な場合は、グローバルアップグレード設定を使用して、デバイスに クラウド提供型 Firewall Management Center からアップグレードパッケージを取得させることができます。インターネットからのダウンロードが失敗すると、デバイスは クラウド提供型 Firewall Management Center を試します。

参照：クラウド提供型 Firewall Management Center によるアップグレードパッケージの管理

クラウド提供型 Firewall Management Center。

デバイスがインターネットに到達できないか、インターネットアクセスが低速または不安定であるが、クラウド提供型 Firewall Management Center に十分なディスク容量があり、クラウド提供型 Firewall Management Center とデバイスの間に十分な帯域幅がある場合に推奨されます。内部サーバーからのダウンロードまたは直接ダウンロードが失敗した場合のフォールバックとして、デバイス アップグレード パッケージを クラウド提供型 Firewall Management Center に保存することもできます。

クラウド提供型 Firewall Management Center は、ほとんどのデバイスアップグレードパッケージをインターネットから直接取得できます。ホットフィックスを適用している場合は、アップグレードパッケージを手動でアップロードします。

参照： クラウド提供型 Firewall Management Center によるアップグレードパッケージの管理

シャーシ アップグレード パッケージのコピー

については、前述の Firewall Threat Defense の方法を使用します。これらのシャーシ アップグレード パッケージは、アプリケーション インスタンスの外部に保存されることに注意してください。これにより、すべてのインスタンスから Firewall Threat Defense のアップグレードにアクセスできる状態を維持したまま、シャーシをアップグレードできます。ただし、これは、不要なシャーシ アップグレード パッケージを手動で削除する必要がある（アップグレードプロセスで自動的に削除されない）ことを意味します。

Firepower 4100/9300 シャーシ アップグレード パッケージの場合は、シスコ サポートおよびダウンロード サイト からアップグレードパッケージを手動でダウンロードし、Firewall Chassis Manager または CLI（FTP、SCP、SFTP、または TFTP）を使用してパッケージをデバイスにコピーします。アップグレードパッケージの手動ダウンロードと、現在の展開のアップグレード手順を参照してください。

別の理由（たとえば、ホットフィックス、Firepower 4100/9300 シャーシのアップグレード、または内部サーバーの使用など）により直接ダウンロードできない場合、アップグレードパッケージを手動でダウンロードします。

パッケージは、シスコ サポートおよびダウンロード サイト：https://www.cisco.com/go/ftd-software で入手できます。

Threat Defense パッケージ

ファミリまたはシリーズのすべてのモデルに同じアップグレードパッケージを使用します。 適切なソフトウェアを見つけるには、使用しているモデルを選択または検索し、適切なバージョンのソフトウェアのダウンロードページを参照します。使用可能なアップグレードパッケージは、インストールパッケージ、ホットフィックス、およびその他の該当するダウンロードとともに表示されます。アップグレードパッケージのファイル名には、プラットフォーム、、ソフトウェアバージョン、およびビルドが反映されています。アップグレードパッケージは署名されており、ファイル名の最後は .sh.REL.tar です。解凍したり、名前を変更したりしないでください。

Secure Firewall 3100/4200 のシャーシパッケージ

の場合、脅威防御とシャーシのアップグレードはパッケージを共有します。

Firepower 4100/9300 用シャーシパッケージ

正しい FXOS パッケージを見つけるには、デバイスモデルを選択または検索し、対象の FXOS バージョンとビルドの Firepower Extensible Operating System のダウンロードページを参照します。FXOS パッケージは、リカバリパッケージおよび MIB パッケージとともにリストされています。ファームウェアは、FXOS 2.14.1 以降へのアップグレードに含まれています。

アプライアンス アクセス

デバイスは、アップグレード中、またはアップグレードが失敗した場合に、トラフィックを渡すことを停止できます。アップグレードする前に、ユーザーの位置からのトラフィックがデバイスの管理インターフェイスにアクセスするためにデバイス自体を通過する必要がないことを確認してください。デバイスを経由せずに クラウド提供型 Firewall Management Center の管理インターフェイスにアクセスできる必要もあります。

帯域幅

管理ネットワークに大量のデータ転送を実行するための帯域幅があることを確認します。可能な場合は常に、アップグレードパッケージを事前にアップロードしてください。アップグレード時にアップグレードパケージをデバイスに転送する際の帯域幅が不十分な場合、アップグレード時間が長くなったり、アップグレードがタイムアウトしたりする可能性があります。『Guidelines for Downloading Data from the Firepower Management Center to Managed Devices』（トラブルシューティング テクニカルノーツ）を参照してください。

設定

展開の正常性

正常に展開され、通信が確立されていることを確認します。正常性モニターまたは [デバイス管理（Device Management）] ページで報告された問題がある場合は、続行する前にそれらを解決します。

正常性テストに失敗すると、アップグレードできなかったり、アップグレードが失敗したりする可能性があります。ご自身で解決できる NTP の問題を除き、展開で次のいずれかのテストに失敗した場合は、Cisco TAC にお問い合わせください。結果は、正常性モニターの [正常性ステータス（Health Status）]（ホーム）ページ（[トラブルシューティング（Troubleshooting）] > [ヘルス（Health）] > [モニター（Monitor）]）で報告されます。

（注）	これらの定期的な正常性テストを無効にしても、アップグレードの前にシステムでそれらのテストが実施されなくなることはありません。既存の結果がない場合、アップグレードの一部として準備状況チェックが実行されるため、アップグレードの時間が長くなります。

ホットフィックスを除き、アップグレードはシステムに保存されているすべてのバックアップを削除します。アップグレードの前後に、安全な遠隔地にバックアップし、正常に転送が行われることを確認することを強くお勧めします。

• アップグレード前：アップグレードが致命的な失敗であった場合は、再イメージ化を実行し、復元する必要がある場合があります。再イメージ化によって、システムパスワードを含むほとんどの設定が工場出荷時の初期状態に戻ります。最近のバックアップがある場合は、通常の操作にすばやく戻ることができます。

• アップグレード後：これにより、新しくアップグレードされた展開のスナップショットが作成されます。