Firepower 어플라이언스에서 FTD HA 페어 업그레이드

다운로드 옵션

PDF (954.6 KB)
다양한 디바이스에서 Adobe Reader로 보기
ePub (857.2 KB)
iPhone, iPad, Android, Sony Reader 또는 Windows Phone의 다양한 앱에서 보기
Mobi (Kindle) (599.7 KB)
Kindle 디바이스에서 보기 또는 다양한 디바이스의 Kindle 앱에서 보기

업데이트:2017년 4월 10일 (월)

문서 ID:200896

소개

목표

이 문서의 목표는 Firepower 어플라이언스에서 고가용성 모드로 FTD(Firepower Threat Defense) 업그레이드 프로세스를 수행하는 방법을 설명하는 것입니다.

랩 구성 요소

FP4150 2대
FS4000 2대
PC 1대

토폴로지

활동을 시작하기 전의 소프트웨어 이미지 버전은 다음과 같습니다.

FMC(Firepower Management Center) 6.1.0-330
기본 FTD 6.1.0-330
보조 FTD 6.1.0-330
기본 FXOS 2.0.1-37
보조 FXOS 2.0.1-37

실행 계획

1단계: 사전 요구 사항 확인

2단계: FMC 및 SSP에 이미지 업로드

3단계: 보조 FXOS를 2.0.1-37 -> 2.0.1-86으로 업그레이드

4단계: FTD 장애 조치 교체(기본/스탠바이, 보조/액티브 상태로 설정됨)

5단계: 기본 FXOS를 2.0.1-37 -> 2.0.1-86으로 업그레이드

6단계: FMC를 6.1.0-330 -> 6.1.0.1로 업그레이드

7단계: FTD HA 페어를 6.1.0-330 -> 6.1.0.1로 업그레이드

8단계: FMC에서 FTD HA 페어로 정책 구축

FTD HA 업그레이드 프로세스

1단계: 사전 요구 사항 확인

FXOS 호환성 가이드를 참조하여 다음 항목 간의 호환성을 확인합니다.

타깃 FTD 소프트웨어 버전과 FXOS 소프트웨어 버전
Firepower HW 플랫폼과 FXOS 소프트웨어 버전

http://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/compatibility/fxos-compatibility.html#pgfId-136544

타깃 버전의 FXOS 릴리스 노트를 확인하여 FXOS 업그레이드 경로를 결정합니다.

http://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/fxos201/release/notes/fxos201_rn.html#pgfId-141076

FTD 타깃 버전 릴리스 노트를 참조하여 FTD 업그레이드 경로를 결정합니다.

http://www.cisco.com/c/en/us/td/docs/security/firepower/601/6012/relnotes/firepower-system-release-notes-version-6012.html#pgfId-378288

2단계: 이미지 업로드

FCM 2대에서 FXOS 이미지(fxos-k9.2.0.1.86.SPA)를 업로드합니다.

FMC에서 FMC 및 FTD 업그레이드 패키지를 업로드합니다.

FMC 업그레이드용: Sourcefire_3D_Defense_Center_S3_Patch-6.1.0.1-53.sh
FTD 업그레이드용: Cisco_FTD_SSP_Patch-6.1.0.1-53.sh

3단계: 보조 FXOS 업그레이드

업그레이드 전에 다음을 수행합니다.

FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Ready

Fabric Interconnect A:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Ready

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.37)
        Upgrade-Status: Ready

FXOS 업그레이드를 시작합니다.

FXOS 업그레이드 후에는 섀시를 재부팅해야 합니다.

FXOS CLI에서 FXOS 업그레이드를 모니터링할 수 있습니다. 3개 구성 요소(FPRM, 패브릭 인터커넥트 및 섀시)를 모두 업그레이드해야 합니다.

FPR4100-4-A# scope system
FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Upgrading

Fabric Interconnect A:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Ready

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.37)
        Upgrade-Status: Ready

참고 - FXOS 업그레이드 프로세스를 시작하고 나서 몇 분 후에 FXOS CLI와 GUI 연결이 모두 끊길 수 있습니다. 이 경우 몇 초 후에 다시 로그인할 수 있습니다.

FPRM 구성 요소 업그레이드는 5분 이내에 완료됩니다.

FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.86)
    Upgrade-Status: Ready

Fabric Interconnect A:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Upgrading

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.37)
        Upgrade-Status: Upgrading

10분 이내에 FXOS 업그레이드 프로세스의 일부분으로 보조 Firepower 디바이스가 재시작됩니다.

Please stand by while rebooting the system...
...
Restarting system.

디바이스가 재시작되고 나면 업그레이드 프로세스가 재시작됩니다.

FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.86)
    Upgrade-Status: Ready

Fabric Interconnect A:
    Package-Vers: 2.0(1.37)
    Upgrade-Status: Upgrading

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.37)
        Upgrade-Status: Upgrading

FXOS 업그레이드는 총 30분 이내에 완료됩니다.

FPR4100-4-A /system # show firmware monitor
FPRM:
    Package-Vers: 2.0(1.86)
    Upgrade-Status: Ready

Fabric Interconnect A:
    Package-Vers: 2.0(1.86)
    Upgrade-Status: Ready

Chassis 1:
    Server 1:
        Package-Vers: 2.0(1.86),2.0(1.37)
        Upgrade-Status: Ready

4단계: FTD 장애 조치 상태 교체

장애 조치 상태를 교체하기 전에 보조 섀시의 FTD 모듈이 완전히 가동되고 있는지 확인합니다.

FPR4100-4-A# connect module 1 console
Firepower-module1>connect ftd
Connecting to ftd console... enter exit to return to bootCLI

> show high-availability config
Failover On
Failover unit Secondary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2), Mate 9.6(2)
Serial Number: Ours FLM2006EQFW, Mate FLM2006EN9U
Last Failover at: 15:08:47 UTC Dec 17 2016
        This host: Secondary - Standby Ready
                Active time: 0 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)) status (Up Sys)
                  Interface inside (192.168.75.112): Normal (Monitored)
                  Interface outside (192.168.76.112): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Primary - Active
                Active time: 5163 (sec)
                  Interface inside (192.168.75.111): Normal (Monitored)
                  Interface outside (192.168.76.111): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : FOVER Ethernet1/8 (up)
        Stateful Obj    xmit       xerr       rcv        rerr
        General         65         0          68         4
        sys cmd         65         0          65         0
      ...

FTD 장애 조치 상태를 교체합니다. 활성화된 FTD CLI에서 다음 명령을 실행합니다.

> no failover active
        Switching to Standby

>

참고 - 이 시점에서 FTP 통과 트래픽의 패킷 1개가 삭제될 수 있습니다.

5단계: 기본 FXOS 어플라이언스 업그레이드

2단계와 같은 방식으로 기본 FTD가 설치된 FXOS 어플라이언스를 업그레이드합니다. 이 단계를 완료하려면 30분 이상이 걸릴 수 있습니다.

6단계: FMC 소프트웨어 업그레이드

FMC를 업그레이드합니다. 이 시나리오에서는 6.1.0-330에서 6.1.0.1로 업그레이드합니다.

7단계: FTD HA 페어 업그레이드

업그레이드 전에 다음을 수행합니다.

> show high-availability config
Failover On
Failover unit Primary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2), Mate 9.6(2)
Serial Number: Ours FLM2006EN9U, Mate FLM2006EQFW
Last Failover at: 15:51:08 UTC Dec 17 2016
        This host: Primary - Standby Ready
                Active time: 0 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)) status (Up Sys)
                  Interface inside (192.168.75.112): Normal (Monitored)
                  Interface outside (192.168.76.112): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Secondary - Active
                Active time: 1724 (sec)
                  Interface inside (192.168.75.111): Normal (Monitored)
                  Interface outside (192.168.76.111): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : FOVER Ethernet1/8 (up)
        Stateful Obj    xmit       xerr       rcv        rerr
        General         6          0          9          0
        sys cmd         6          0          6          0
...

FMC System(시스템) > Updates(업데이트) 메뉴에서 FTD HA 업그레이드 프로세스를 시작합니다.

원하는 경우 FTD DB 무결성 검사가 포함되는 FTD 업그레이드 준비 상태 점검을 시작할 수 있습니다.

이 예에서는 점검이 5분 이내에 정상적으로 완료되었습니다.

설치 프로세스를 시작합니다.

먼저 기본/스탠바이 FTD를 업그레이드합니다.

스탠바이 FTD 모듈이 새 이미지를 사용하여 재부팅됩니다.

FXOS BootCLI 모드에서 FTD 상태를 확인할 수 있습니다.

FPR4100-3-A# connect module 1 console
Firepower-module1> show services status
Services currently running:
Feature   | Instance ID    |     State  |          Up Since
-----------------------------------------------------------
ftd     | 001_JAD201200R4WLYCWO6 |   RUNNING  | :00:00:33

FTD 모듈 간의 소프트웨어 버전 불일치로 인해 보조/액티브 FTD CLI에 경고 메시지가 표시됩니다.

firepower#
************WARNING****WARNING****WARNING********************************
Mate version 9.6(2) is not identical with ours 9.6(2)4
************WARNING****WARNING****WARNING********************************
Beginning configuration replication: Sending to mate.
End Configuration Replication to mate

FMC에는 FTD 디바이스가 정상적으로 업그레이드되었음이 표시됩니다.

두 번째 FTD 모듈의 업그레이드가 시작됩니다.

프로세스가 끝나면 보조 FTD가 새 이미지를 사용하여 부팅됩니다.

백그라운드에서 FMC는 내부 사용자 ‘enable_1’을 사용하여 FTD 장애 조치 상태를 교체하고 보조 FTD에서 장애 조치 컨피그레이션을 임시로 제거합니다.

firepower# show logging
Dec 17 2016 16:40:14: %ASA-5-111008: User 'enable_1' executed the 'no failover active' command.
Dec 17 2016 16:40:14: %ASA-5-111010: User 'enable_1', running 'N/A' from IP 0.0.0.0, executed 'no failover active'
Dec 17 2016 16:41:19: %ASA-5-111008: User 'enable_1' executed the 'clear configure failover' command.
Dec 17 2016 16:41:19: %ASA-5-111010: User 'enable_1', running 'N/A' from IP 0.0.0.0, executed 'clear configure failover'
Dec 17 2016 16:41:19: %ASA-5-111008: User 'enable_1' executed the 'copy /noconfirm running-config disk0:/modified-config.cfg' command.
Dec 17 2016 16:41:19: %ASA-5-111010: User 'enable_1', running 'N/A' from IP 0.0.0.0, executed 'copy /noconfirm running-config disk0:/modified-config.cfg'
        
firepower#
        Switching to Standby

firepower#

참고 - 이 시점에서 장애 조치 상태 교체로 인해 패킷 1개가 삭제될 수 있습니다.

이 예의 경우에는 전체 FTD 업그레이드(두 장치 모두)가 30분 이내에 완료되었습니다.

확인

기본 FTD 디바이스에서 FTD CLI를 확인합니다.

> show high-availability config
Failover On
Failover unit Primary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2)4, Mate 9.6(2)4
Serial Number: Ours FLM2006EN9U, Mate FLM2006EQFW
Last Failover at: 16:40:14 UTC Dec 17 2016
        This host: Primary - Active
                Active time: 1159 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)4) status (Up Sys)
                  Interface inside (192.168.75.111): Normal (Monitored)
                  Interface outside (192.168.76.111): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Secondary - Standby Ready
                Active time: 0 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)4) status (Up Sys)
                  Interface inside (192.168.75.112): Normal (Monitored)
                  Interface outside (192.168.76.112): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : FOVER Ethernet1/8 (up)
        Stateful Obj    xmit       xerr       rcv        rerr
        General         68         0          67         0
...
>

보조 FTD 디바이스에서 FTD CLI를 확인합니다.

> show high-availability config
Failover On
Failover unit Secondary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2)4, Mate 9.6(2)4
Serial Number: Ours FLM2006EQFW, Mate FLM2006EN9U
Last Failover at: 16:52:43 UTC Dec 17 2016
        This host: Secondary - Standby Ready
                Active time: 0 (sec)
                slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)4) status (Up Sys)
                  Interface inside (192.168.75.112): Normal (Monitored)
                  Interface outside (192.168.76.112): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)
        Other host: Primary - Active
                Active time: 1169 (sec)
                  Interface inside (192.168.75.111): Normal (Monitored)
                  Interface outside (192.168.76.111): Normal (Monitored)
                  Interface diagnostic (0.0.0.0): Normal (Waiting)
                slot 1: snort rev (1.0)  status (up)
                slot 2: diskstatus rev (1.0)  status (up)

Stateful Failover Logical Update Statistics
        Link : FOVER Ethernet1/8 (up)
        Stateful Obj    xmit       xerr       rcv        rerr
        General         38         0          41         0
...
>

8단계: FTD HA 페어에 정책 구축

업그레이드가 완료되고 나면 HA 페어에 정책을 구축해야 합니다. FMC UI에 이 내용이 표시됩니다.

정책을 구축합니다.

확인

FMC UI에 표시되는 업그레이드된 FTD HA 페어:

FCM UI에 표시되는 업그레이드된 FTD HA 페어:

Firepower 어플라이언스에서 FTD HA 페어 업그레이드

다운로드 옵션

목차

소개

목표

랩 구성 요소

토폴로지

FTD HA 업그레이드 프로세스

1단계: 사전 요구 사항 확인

2단계: 이미지 업로드

3단계: 보조 FXOS 업그레이드

4단계: FTD 장애 조치 상태 교체

5단계: 기본 FXOS 어플라이언스 업그레이드

6단계: FMC 소프트웨어 업그레이드

7단계: FTD HA 페어 업그레이드

8단계: FTD HA 페어에 정책 구축

관련 문서

기고자

이 문서가 도움이 되셨습니까?

지원 문의

관련 지원 커뮤니티 토론

이 문서가 적용되는 제품