Firewall Threat Defense の復元
復元とアンインストール
Firewall Threat Defense のアップグレードの復元
Firewall Threat Defense パッチのアンインストール
- アンインストールのガイドライン
- Firewall Threat Defense のパッチのアンインストール

Firewall Threat Defense の復元

アップグレードが成功してもシステムが期待通りに機能しない場合、以前のバージョンに戻すことができます。

復元とアンインストール

復元するかアンインストールするかは、リリースタイプによって異なります。

表 1. 復元とアンインストール

復元

アンインストール

リリース

1 桁目（メジャー）、2 桁目（メジャーまたはマイナー）、および 3 桁目（メンテナンス）がバージョン 7.2.x ～ 10.0.x にアップグレードされます。

（注）

バージョン 10.0 より前では、2 桁目のリリースをメジャーリリースと呼びます。バージョン 10.0 以降では、これらはマイナーリリースと呼ばれます。3 桁目のリリースは、常にメンテナンスリリースです。ラベルに関係なく、これらすべてを元に戻すことができます。

バージョン 10.0 以前へのパッチ（4 桁目のアップグレード）。

詳細

ソフトウェアを、最後のアップグレードの直前の状態（スナップショット）に戻します。詳細については、「元に戻る設定」を参照してください。

ソフトウェアをパッチを適用したバージョンに戻します。設定は変更されません。

制約事項

コンテナインスタンスまたは Secure Firewall 200 ではサポートされていません。復元を妨げるその他のシナリオについては、「復元を妨げるシナリオ」を参照してください。

アンインストールがサポートされていない、または推奨されていないシナリオについては、「アンインストールのガイドライン」を参照してください。

復元/アンインストール元

[デバイス（Devices）] > [デバイス管理（Device Management）] を使用して Firewall Threat Defense のアップグレードを元に戻します。

デバイスでエキスパートモード（CLI）を使用して Firewall Threat Defense のパッチをアンインストールします。

例：復元とアンインストール

パッチ適用後に元に戻すと、パッチも削除されます。次に例を示します。

Firewall Threat Defense をバージョン 7.2.0 から 7.2.5 にアップグレードします。
バージョン 7.2.5 → 7.2.5.2 にパッチを適用します。
次のいずれかを実行できます。
- パッチをアンインストールして、バージョン 7.2.5 に戻します。
  
  これにより、パッチのみが削除されます。
- アップグレードを元に戻して、バージョン 7.2.0 に戻します。
  
  これにより、パッチとメンテナンスリリースが削除されます。

Firewall Threat Defense のアップグレードの復元

復元ガイドライン

このセクションでは、復元の一般的なガイドラインについて説明します。バージョン固有の復元の問題を確認するには、リリースノート https://cisco.com/go/fmc-ftd-release-notes を参照してください。

高可用性またはクラスタ化デバイスの復元

クラウド提供型 Firewall Management Center Web インターフェイスを使用して Firewall Threat Defense を復元する場合、個々の高可用性ユニットまたはクラスタ化されたノードを選択することはできません。

すべてのユニットやノードを同時に復元させたほうが、復元が成功する可能性が高くなります。クラウド提供型 Firewall Management Center から復元を開始すると、システムは自動的にこれを実行します。デバイス CLI を使用する必要がある場合は、これを手動で行います。すべてのユニットとノードでセッションを開き、それぞれで復元が可能であることを確認してから、プロセスを同時に開始します。同時復元とは、すべてのデバイスがスタンドアロンであるかのように、トラフィックフローと検査の中断がインターフェイスの設定のみに依存することを意味します。

復元は、完全または部分的にアップグレードされた高可用性ペアおよびクラスタでサポートされます。部分的なアップグレードの場合、アップグレードされたユニット/ノードが元に戻されます。元に戻しても高可用性やクラスタが壊れることはありませんが、これを手動で実行して、新たなスタンドアロンデバイスを元に戻すことができます。

復元は、現在のクラウド提供型 Firewall Management Center によってユニットとしてアップグレードされた（またはユニットとしてアップグレードが試行された）高可用性ペアおよびクラスタでのみサポートされます。たとえば、スタンドアロンデバイスをアップグレードして高可用性ペアを形成してから、そのペアを元に戻すことはできません。同様に、すべてのユニットが一致するまで（つまり、すべてのアクティブなクラスタユニットがクラスタとして一括でアップグレードされるまで）クラスタを元に戻すことはできません。

Firepower 4100/9300 の復元

Firepower 4100/9300 の場合、Firewall Threat Defense を復元しても、シャーシ（FXOS）は復元されません。マルチインスタンスモードでは、復元はコンテナインスタンスでサポートされていません。

Firewall Threat Defense のメジャーバージョンには特別に認定および推奨されている付随の FXOS バージョンがあります。Firewall Threat Defense の以前のバージョンに戻った後、推奨されていないバージョンの FXOS（新しすぎる）を実行している可能性があります。

新しいバージョンの FXOS は旧バージョンの Firewall Threat Defense と下位互換性がありますが、シスコでは推奨の組み合わせについて拡張テストを実施しています。FXOS を手動ではダウングレードできないため、このような状況下で推奨の組み合わせを稼働するには、完全な再イメージ化が必要になります。

Secure Firewall 3100/4200 の復元

の場合、復元はコンテナインスタンスでサポートされていないため、シャーシを復元する必要はありません。アプライアンスモードでは、復元が完全にサポートされています。

復元を妨げるシナリオ

次のいずれかの状況で復元を試みると、システムはエラーを表示します。

表 2. 復元を妨げるシナリオ
シナリオ	ソリューション
低メモリデバイス：コンテナインスタンス Cisco Secure Firewall 200	なし。一部のデバイスには復元スナップショットを保存するための十分なメモリがないため、復元はサポートされていません。
次の理由により、スナップショットを復元することはできません。デバイスをアップグレードしたときに、復元を有効にしていませんでした。クラウド提供型 Firewall Management Center またはデバイスからスナップショットを削除したか、スナップショットの期限が切れました。別のクラウド提供型 Firewall Management Center でデバイスをアップグレードしました。現在実行しているバージョンに戻しました（連続して複数の復元を実行しようとしています）。	なし。復元スナップショットは、クラウド提供型 Firewall Management Center とデバイスに 30 日間保存され、その後自動的に削除され、復元できなくなります。ディスク容量を節約するためにどのアプライアンスからでもスナップショットを手動で削除できますが、復元の機能が失われます。システムは 1 つのスナップショットのみを保存します。複数回復元することはできません。つまり、次のとおりです。サポート対象：A → B → C → B サポート対象外：A → B → C → B → A
最後のアップグレードに失敗しました。	アップグレードをキャンセルして、デバイスをアップグレード前の状態に戻します。または、問題を修正して再試行してください。アップグレードは成功したが、アップグレードされたデバイスが想定どおりに機能しない場合に、復元を使用します。失敗したアップグレードや進行中のアップグレードをキャンセルすることとは異なります。元に戻すこともキャンセルすることもできない場合は、イメージを再作成する必要があります。
アップグレード以降に、管理アクセスインターフェイスが変更されています。	元に戻して、もう一度お試しください。
いずれかまたは両方のデバイスがアップグレードされた後に形成された高可用性ペア。	可能であれば、高可用性を解消し、新たなスタンドアロンユニットを復元します。
クラスタのユニットが異なるバージョンからアップグレードされました。	すべて一致するまでユニットを削除し、クラスタメンバーを調整してから、小さなクラスタを復元します。新しくスタンドアロンユニットを復元することもできます。
クラスタでのアップグレード後に 1 つ以上のユニットがクラスタに追加されました。これには、アップグレードされたデバイスを使用して新たに形成されたクラスタが含まれます。	新しいユニットを削除し、クラスタメンバーを調整してから、小さなクラスタを復元します。新しくスタンドアロンユニットを復元することもできます。
クラスタでクラウド提供型 Firewall Management Center と FXOS が異なる数のクラスタユニットを識別しています。	クラスタメンバーを調整して再試行しますが、すべてのユニットを復元することはできない場合があります。

元に戻る設定

次の設定が元に戻ります。

Snort バージョン。
デバイス固有の設定。

一般的なデバイス設定、ルーティング、インターフェース、インラインセット、DHCP、SNMPなど、[デバイス（Devices）] > [デバイス管理（Device Management）]ページで設定するものすべて。
デバイス固有の設定で使用されるオブジェクト。
アクセスリスト、AS パス、キーチェーン、インターフェイス、ネットワーク、ポート、ルートマップ、SLA モニターオブジェクトなどが含まれます。デバイスのアップグレード後にこれらのオブジェクトを編集した場合、システムは新しいオブジェクトを作成するか、元に戻されたデバイスが使用するオブジェクトのオーバーライドを設定します。これにより、他のデバイスは現在の設定に従ってトラフィックを処理し続けることができます。

復元に成功したら、復元したデバイスで使用されているオブジェクトを調べ、必要な調整を行うことをお勧めします。

元に戻されない設定

次の設定は元に戻りません。

複数のデバイスで使用できる共有ポリシー。たとえば、プラットフォーム設定やアクセスコントロールポリシーなどです。

正常に元に戻されたデバイスは期限切れとしてマークされているため、設定を再展開する必要があります。
Firepower 4100/9300 の場合、Cisco Secure Firewall Chassis Manager または FXOS CLI を使用して行ったインターフェイスの変更。

復元に成功した後にインターフェイスの変更を同期します。
Firepower 4100/9300 の場合、FXOS およびファームウェア。

推奨される FXOS と Firewall Threat Defense の組み合わせを実行する必要がある場合は、完全な再イメージ化が必要になる場合があります。復元ガイドラインを参照してください。

Firewall Threat Defense アップグレードの復元

デバイスの復元には、クラウド提供型 Firewall Management Center を使用する必要があります。

（注）

クラウド提供型 Firewall Management Center とデバイス間の通信が中断する場合は、デバイス CLI を使用してデバイスを管理（configure manager delete ）から削除したうえで、復元（upgrade revert ）します。マネージャを削除するとデバイス設定が無効になりますが、それでも再イメージ化より時間を短縮できます。また、クラウド提供型 Firewall Management Center Web インターフェイスを使用して、失効したデバイスの登録を解除する必要があります。復元が完了したら、設定を再登録して展開できます。システムがどのバージョンに戻るのかを確認するには、show upgrade revert-info コマンドを使用します。

始める前に

復元がサポートされていることを確認してください。ガイドラインを読んで理解してください。
「アップグレードの計画」の章に戻ります。一般に、インストールの準備をしたのと同じ方法で、アップグレードを元に戻す準備をします。安全な外部の場所にバックアップすることが特に重要です。復元に失敗した場合、再イメージ化が必要になることがあります。再イメージ化を行うと、ほとんどの設定が工場出荷時の状態に戻ります。

手順

ステップ 1	[デバイス（Devices）] > [デバイス管理（Device Management）]を選択します。
ステップ 2	復元するデバイスの横にあるその他（）をクリックして、[アップグレードの復元（Revert Upgrade）] を選択します。ハイアベイラビリティペアとクラスタを除き、複数のデバイスを選択して復元することはできません。
ステップ 3	復元して再起動することを確認します。復元中のトラフィックフローとインスペクションの中断は、すべてのデバイスがスタンドアロンであるかのように、インターフェイス設定に依存します。これは、高可用性/クラスタ展開であっても、システムがすべてのユニットを同時に復元するためです。
ステップ 4	復元の進行状況を監視します。高可用性/クラスタ展開では、最初のユニットがオンラインに戻ると、トラフィックフローとインスペクションが再開されます。数分間にわたり進展がない場合、または復元が失敗したことを示している場合は、Cisco TAC にお問い合わせください。
ステップ 5	復元が成功したことを確認します。復元が完了したら、[デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、復元したデバイスのソフトウェアバージョンが正しいことを確認します。
ステップ 6	（Firepower 4100/9300）Firewall Chassis Manager または FXOS CLI を使用して、Firewall Threat Defense 論理デバイスに加えたインターフェイスの変更を同期します。クラウド提供型 Firewall Management Center で [デバイス（Devices）] > [デバイス管理（Device Management）] を選択し、デバイスを編集して [同期（Sync）] をクリックします。
ステップ 7	その他に必要となる復元後の構成変更を完了します。たとえば、デバイスのアップグレード後にデバイス固有の設定で使用されるオブジェクトを編集した場合、システムは新しいオブジェクトを作成するか、復元されたデバイスが使用するオブジェクトのオーバーライドを設定します。復元したデバイスで使用されるオブジェクトを調べ、必要な調整を行うことをお勧めします。
ステップ 8	復元したデバイスに構成を再度展開します。正常に復元されたデバイスは期限切れとしてマークされます。デバイスは古いバージョンを実行することになるため、展開が成功した後でも、新しい構成がサポートされない場合があります。

Firewall Threat Defense パッチのアンインストール

アンインストールのガイドライン

このトピックでは、アンインストールの一般的なガイドラインについて説明します。バージョン固有のアンインストールの問題を確認するには、リリースノート「https://cisco.com/go/fmc-ftd-release-notes」のアップグレードガイドラインを参照してください。

高可用性またはクラスタ化デバイスからのアンインストール

一度に 1 つのデバイスからアンインストールすることで、中断を最小限に抑えます。アップグレードとは異なり、システムはこの操作を行いません。次に移る前に、パッチが 1 つのユニットから完全にアンインストールされるまで待ちます。

高可用性：高可用性用に設定されたデバイスからパッチをアンインストールすることはできません。先にハイアベイラビリティを解除する必要があります。

ハイアベイラビリティを解除します。
以前のスタンバイからアンインストールします。
以前のアクティブからアンインストールします。
ハイアベイラビリティを再確立します。

クラスタ：一度に 1 つのユニットからアンインストールし、制御ユニットを最後に残します。クラスタ化されたユニットは、パッチのアンインストール中はメンテナンスモードで動作します。

データモジュールから一度に 1 つずつアンインストールします。
データモジュールの 1 つを新しい制御モジュールに設定します。
以前のコントロールからアンインストールします。

アンインストールの防止または制限のシナリオ

これらの状況のいずれかでアンインストールしようとすると、重大な問題が発生する可能性があります。

表 3. アンインストールの防止または制限のシナリオ
シナリオ	解決方法
リリースノートには、特定のパッチがアンインストールをサポートしていない、または推奨していないと記載されています。	パッチのアンインストールは、ソフトウェアにのみ適用されます。オペレーティングシステムを更新するパッチや、アンインストールによって元に戻されないその他のコンポーネントをアンインストールすると、設定の変更を展開できなかったり、新しいコンポーネントと古いソフトウェアの間でその他の非互換性が発生する可能性があります。このような場合は、アンインストールしないことをお勧めします。パッチは累積的であり、パッチをアンインストールするとソフトウェアが開始時のバージョンに戻るため、影響を受けるパッチよりも前のバージョンに戻る場合は、それ以降のパッチをアンインストールしないことを推奨します。たとえば、パッチ 5 でオペレーティングシステムを更新する場合は、パッチ 5 をアンインストールしないでください。また、パッチ 4 以前（基本バージョンを含む）で起動した場合は、パッチ 6 以降もアンインストールしないでください。これかその他の理由によりインストールすべきではない特定のパッチは、リリースノートに記載されています。これらのパッチのいずれかをアンインストールする必要がある場合は、Cisco TAC にお問い合わせください。
セキュリティ認定コンプライアンス（CC/UCAPL）モードになっています。	パッチによってオペレーティングシステムが更新され、セキュリティ認定コンプライアンスが有効になっている場合、アプライアンスのリブート時に FSIC（ファイルシステム完全性チェック）が失敗します。ソフトウェアは起動せず、リモート SSH アクセスが無効になり、ローカルコンソールを介してのみアプライアンスにアクセスできます。アンインストールは、セキュリティ認定コンプライアンスモードでは推奨されません。これを行う必要がある場合は、Cisco TAC にお問い合わせください。
ホットフィックスまたはホットフィックスパッチをアンインストールする必要があります。	ホットフィックスとパッチは、インストールとまったく逆の順序（最後にインストールしたものを最初に削除）でアンインストールする必要があります。次に例を示します。インストール：パッチ A → ホットフィックス B → ホットフィックス C → パッチ D → ホットフィックス E アンインストール：ホットフィックス E → パッチ D → ホットフィックス C → ホットフィックス B → パッチ A 更新履歴を表示するには、エキスパートモードを使用します（`cat /etc/sf/patch_history`）。ホットフィックスおよびホットフィックスパッチのアンインストールは推奨されません。これを行う必要がある場合は、Cisco TAC にお問い合わせください。
現在実行中のバージョンに戻りました。	なし。メジャーリリースまたはメンテナンスリリースにアップグレードすると、新しいバージョンに適用されないアップグレードパッケージとアンインストーラが削除されます。

Firewall Threat Defense のパッチのアンインストール

Linux シェル（エキスパートモード）を使用してパッチをアンインストールします。デバイスの admin ユーザーとして、または CLI 設定アクセス権を持つ別のローカルユーザーとして、デバイスシェルにアクセスできる必要があります。クラウド提供型 Firewall Management Center ユーザーアカウントは使用できません。シェルアクセスを無効にした場合は、ロックダウンを元に戻すために Cisco TAC にご連絡ください。

注意	アンインストール中に設定の変更を行ったり、展開したりしないでください。システムが非アクティブに見えても、進行中のアンインストールを手動で再起動、シャットダウン、または再起動しないでください。システムが使用できない状態になり、再イメージ化が必要になる場合があります。アンインストールに失敗した、アプライアンスが応答しないなど、アンインストールで問題が発生した場合は、Cisco TAC にお問い合わせください。

始める前に

アンインストールがサポートされていることを確認します。ガイドラインを読んで理解してください。
「アップグレードの計画」の章に戻ります。一般に、パッチのアンインストールは、インストールの準備と同じ方法で準備する必要があります。
高可用性ペアを解除します。

手順

ステップ 1

デバイスの設定が古い場合は、この時点でクラウド提供型 Firewall Management Center から展開します。

アンインストールする前に展開すると、失敗する可能性が減少します。展開とその他の必須のタスクが完了していることを確認してください。アンインストールの開始時に実行中だったタスクは停止され、失敗したタスクとなって再開できなくなります。後で失敗ステータスメッセージを手動で削除できます。

ステップ 2

デバイスの Firewall Threat Defense CLI にアクセスします。admin として、または設定アクセス権を持つ別の CLI ユーザーとしてログインします。

デバイスの管理インターフェイスに SSH 接続するか（ホスト名または IP アドレス）、コンソールを使用できます。コンソールを使用する場合、一部のデバイスではデフォルトでオペレーティングシステムの CLI に設定されており、次のように Firewall Threat Defense CLI にアクセスする場合は追加の手順が必要になります。


ASA 5500-X シリーズ ISA 3000	—
Firewall Threat Defense Virtual	—
Firepower 4100/9300	`connect module slot_number console`、次に `connect ftd`（最初のログインのみ）
他のすべてのモデル	`connect ftd`

ステップ 3

expert コマンドを使用して Linux シェルにアクセスします。

ステップ 4

アップグレードディレクトリにアンインストールパッケージがあることを確認します。

ls /var/sf/updates

パッチのアンインストーラには、アップグレードパッケージと同様に名前が付けられていますが、ファイル名には Patch ではなく Patch_Uninstaller が含まれています。デバイスにパッチを適用すると、そのパッチ用のアンインストーラがアップグレードディレクトリに自動的に作成されます。アンインストーラがない場合は、Cisco TAC までお問い合わせください。

ステップ 5

uninstall コマンドを実行し、プロンプトが表示されたらパスワードを入力します。

sudo install_update.pl --detach /var/sf/updates/uninstaller_name

注意	確認を求められることはありません。このコマンドを入力すると、デバイスの再起動を含むアンインストールが開始されます。アンインストール時のトラフィックフローとインスペクションの中断は、アップグレード時に発生する中断と同じです。準備が整っていることを確認してください。`--detach` オプションを使用すると、SSH セッションがタイムアウトした場合にアンインストールプロセスが強制終了されなくなり、デバイスが不安定な状態になる可能性があることに注意してください。

ステップ 6

ログアウトするまでアンインストールを監視します。

個別のアンインストールの場合は、tail か tailf を使用してログを表示します。

tail /ngfw/var/log/sf/update.status

それ以外の場合は、コンソールか端末で進行状況を監視します。

ステップ 7

アンインストールが成功したことを確認します。

アンインストールが完了したら、デバイスのソフトウェアバージョンが正しいことを確認します。クラウド提供型 Firewall Management Center で、[デバイス（Devices）] > [デバイス管理（Device Management）] を選択します。

ステップ 8

高可用性でクラスタ化されている展開では、ユニットごとに手順 2 から 7 を繰り返します。

クラスタの場合、制御ユニットからアンインストールしないでください。すべてのデータユニットからアンインストールしたら、そのうちの 1 つを新しい制御ユニットに設定し、以前の制御ユニットからアンインストールします。

ステップ 9

構成を再展開します。

例外：複数のバージョンが構成されている高可用性ペアまたはデバイスクラスタには展開しないでください。展開は最初のデバイスからアンインストールする前に行いますが、すべてのグループメンバーからパッチのアンインストールを終えるまでは再度展開しないでください。

次のタスク

高可用性については、高可用性を再確立します。
クラスタについては、特定のデバイスに優先するロールがある場合は、それらの変更をすぐに行います。

クラウド提供型 Firewall Management Center 用 Cisco Secure Firewall Threat Defense アップグレードガイド

偏向のない言語

翻訳について

Book Title