소개
목표
이 문서의 목표는 Firepower 어플라이언스에서 고가용성 모드로 FTD(Firepower Threat Defense) 업그레이드 프로세스를 수행하는 방법을 설명하는 것입니다.
랩 구성 요소
- FP4150 2대
- FS4000 2대
- PC 1대
토폴로지

활동을 시작하기 전의 소프트웨어 이미지 버전은 다음과 같습니다.
- FMC(Firepower Management Center) 6.1.0-330
- 기본 FTD 6.1.0-330
- 보조 FTD 6.1.0-330
- 기본 FXOS 2.0.1-37
- 보조 FXOS 2.0.1-37
실행 계획
1단계: 사전 요구 사항 확인
2단계: FMC 및 SSP에 이미지 업로드
3단계: 보조 FXOS를 2.0.1-37 -> 2.0.1-86으로 업그레이드
4단계: FTD 장애 조치 교체(기본/스탠바이, 보조/액티브 상태로 설정됨)
5단계: 기본 FXOS를 2.0.1-37 -> 2.0.1-86으로 업그레이드
6단계: FMC를 6.1.0-330 -> 6.1.0.1로 업그레이드
7단계: FTD HA 페어를 6.1.0-330 -> 6.1.0.1로 업그레이드
8단계: FMC에서 FTD HA 페어로 정책 구축
FTD HA 업그레이드 프로세스
1단계: 사전 요구 사항 확인
FXOS 호환성 가이드를 참조하여 다음 항목 간의 호환성을 확인합니다.
- 타깃 FTD 소프트웨어 버전과 FXOS 소프트웨어 버전
- Firepower HW 플랫폼과 FXOS 소프트웨어 버전
http://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/compatibility/fxos-compatibility.html#pgfId-136544
타깃 버전의 FXOS 릴리스 노트를 확인하여 FXOS 업그레이드 경로를 결정합니다.
http://www.cisco.com/c/en/us/td/docs/security/firepower/fxos/fxos201/release/notes/fxos201_rn.html#pgfId-141076
FTD 타깃 버전 릴리스 노트를 참조하여 FTD 업그레이드 경로를 결정합니다.
http://www.cisco.com/c/en/us/td/docs/security/firepower/601/6012/relnotes/firepower-system-release-notes-version-6012.html#pgfId-378288
2단계: 이미지 업로드
FCM 2대에서 FXOS 이미지(fxos-k9.2.0.1.86.SPA)를 업로드합니다.
FMC에서 FMC 및 FTD 업그레이드 패키지를 업로드합니다.
- FMC 업그레이드용: Sourcefire_3D_Defense_Center_S3_Patch-6.1.0.1-53.sh
- FTD 업그레이드용: Cisco_FTD_SSP_Patch-6.1.0.1-53.sh
3단계: 보조 FXOS 업그레이드
업그레이드 전에 다음을 수행합니다.
FPR4100-4-A /system # show firmware monitor
FPRM:
Package-Vers: 2.0(1.37)
Upgrade-Status: Ready
Fabric Interconnect A:
Package-Vers: 2.0(1.37)
Upgrade-Status: Ready
Chassis 1:
Server 1:
Package-Vers: 2.0(1.37)
Upgrade-Status: Ready
FXOS 업그레이드를 시작합니다.

FXOS 업그레이드 후에는 섀시를 재부팅해야 합니다.

FXOS CLI에서 FXOS 업그레이드를 모니터링할 수 있습니다. 3개 구성 요소(FPRM, 패브릭 인터커넥트 및 섀시)를 모두 업그레이드해야 합니다.
FPR4100-4-A# scope system
FPR4100-4-A /system # show firmware monitor
FPRM:
Package-Vers: 2.0(1.37)
Upgrade-Status: Upgrading
Fabric Interconnect A:
Package-Vers: 2.0(1.37)
Upgrade-Status: Ready
Chassis 1:
Server 1:
Package-Vers: 2.0(1.37)
Upgrade-Status: Ready
참고 - FXOS 업그레이드 프로세스를 시작하고 나서 몇 분 후에 FXOS CLI와 GUI 연결이 모두 끊길 수 있습니다. 이 경우 몇 초 후에 다시 로그인할 수 있습니다.
FPRM 구성 요소 업그레이드는 5분 이내에 완료됩니다.
FPR4100-4-A /system # show firmware monitor
FPRM:
Package-Vers: 2.0(1.86)
Upgrade-Status: Ready
Fabric Interconnect A:
Package-Vers: 2.0(1.37)
Upgrade-Status: Upgrading
Chassis 1:
Server 1:
Package-Vers: 2.0(1.37)
Upgrade-Status: Upgrading
10분 이내에 FXOS 업그레이드 프로세스의 일부분으로 보조 Firepower 디바이스가 재시작됩니다.
Please stand by while rebooting the system...
...
Restarting system.
디바이스가 재시작되고 나면 업그레이드 프로세스가 재시작됩니다.
FPR4100-4-A /system # show firmware monitor
FPRM:
Package-Vers: 2.0(1.86)
Upgrade-Status: Ready
Fabric Interconnect A:
Package-Vers: 2.0(1.37)
Upgrade-Status: Upgrading
Chassis 1:
Server 1:
Package-Vers: 2.0(1.37)
Upgrade-Status: Upgrading
FXOS 업그레이드는 총 30분 이내에 완료됩니다.
FPR4100-4-A /system # show firmware monitor
FPRM:
Package-Vers: 2.0(1.86)
Upgrade-Status: Ready
Fabric Interconnect A:
Package-Vers: 2.0(1.86)
Upgrade-Status: Ready
Chassis 1:
Server 1:
Package-Vers: 2.0(1.86),2.0(1.37)
Upgrade-Status: Ready
4단계: FTD 장애 조치 상태 교체
장애 조치 상태를 교체하기 전에 보조 섀시의 FTD 모듈이 완전히 가동되고 있는지 확인합니다.
FPR4100-4-A# connect module 1 console
Firepower-module1>connect ftd
Connecting to ftd console... enter exit to return to bootCLI
> show high-availability config
Failover On
Failover unit Secondary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2), Mate 9.6(2)
Serial Number: Ours FLM2006EQFW, Mate FLM2006EN9U
Last Failover at: 15:08:47 UTC Dec 17 2016
This host: Secondary - Standby Ready
Active time: 0 (sec)
slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)) status (Up Sys)
Interface inside (192.168.75.112): Normal (Monitored)
Interface outside (192.168.76.112): Normal (Monitored)
Interface diagnostic (0.0.0.0): Normal (Waiting)
slot 1: snort rev (1.0) status (up)
slot 2: diskstatus rev (1.0) status (up)
Other host: Primary - Active
Active time: 5163 (sec)
Interface inside (192.168.75.111): Normal (Monitored)
Interface outside (192.168.76.111): Normal (Monitored)
Interface diagnostic (0.0.0.0): Normal (Waiting)
slot 1: snort rev (1.0) status (up)
slot 2: diskstatus rev (1.0) status (up)
Stateful Failover Logical Update Statistics
Link : FOVER Ethernet1/8 (up)
Stateful Obj xmit xerr rcv rerr
General 65 0 68 4
sys cmd 65 0 65 0
...
FTD 장애 조치 상태를 교체합니다. 활성화된 FTD CLI에서 다음 명령을 실행합니다.
> no failover active
Switching to Standby
>
참고 - 이 시점에서 FTP 통과 트래픽의 패킷 1개가 삭제될 수 있습니다.
5단계: 기본 FXOS 어플라이언스 업그레이드
2단계와 같은 방식으로 기본 FTD가 설치된 FXOS 어플라이언스를 업그레이드합니다. 이 단계를 완료하려면 30분 이상이 걸릴 수 있습니다.
6단계: FMC 소프트웨어 업그레이드
FMC를 업그레이드합니다. 이 시나리오에서는 6.1.0-330에서 6.1.0.1로 업그레이드합니다.
7단계: FTD HA 페어 업그레이드
업그레이드 전에 다음을 수행합니다.
> show high-availability config
Failover On
Failover unit Primary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2), Mate 9.6(2)
Serial Number: Ours FLM2006EN9U, Mate FLM2006EQFW
Last Failover at: 15:51:08 UTC Dec 17 2016
This host: Primary - Standby Ready
Active time: 0 (sec)
slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)) status (Up Sys)
Interface inside (192.168.75.112): Normal (Monitored)
Interface outside (192.168.76.112): Normal (Monitored)
Interface diagnostic (0.0.0.0): Normal (Waiting)
slot 1: snort rev (1.0) status (up)
slot 2: diskstatus rev (1.0) status (up)
Other host: Secondary - Active
Active time: 1724 (sec)
Interface inside (192.168.75.111): Normal (Monitored)
Interface outside (192.168.76.111): Normal (Monitored)
Interface diagnostic (0.0.0.0): Normal (Waiting)
slot 1: snort rev (1.0) status (up)
slot 2: diskstatus rev (1.0) status (up)
Stateful Failover Logical Update Statistics
Link : FOVER Ethernet1/8 (up)
Stateful Obj xmit xerr rcv rerr
General 6 0 9 0
sys cmd 6 0 6 0
...
FMC System(시스템) > Updates(업데이트) 메뉴에서 FTD HA 업그레이드 프로세스를 시작합니다.

원하는 경우 FTD DB 무결성 검사가 포함되는 FTD 업그레이드 준비 상태 점검을 시작할 수 있습니다.

이 예에서는 점검이 5분 이내에 정상적으로 완료되었습니다.

설치 프로세스를 시작합니다.

먼저 기본/스탠바이 FTD를 업그레이드합니다.

스탠바이 FTD 모듈이 새 이미지를 사용하여 재부팅됩니다.

FXOS BootCLI 모드에서 FTD 상태를 확인할 수 있습니다.
FPR4100-3-A# connect module 1 console
Firepower-module1> show services status
Services currently running:
Feature | Instance ID | State | Up Since
-----------------------------------------------------------
ftd | 001_JAD201200R4WLYCWO6 | RUNNING | :00:00:33
FTD 모듈 간의 소프트웨어 버전 불일치로 인해 보조/액티브 FTD CLI에 경고 메시지가 표시됩니다.
firepower#
************WARNING****WARNING****WARNING********************************
Mate version 9.6(2) is not identical with ours 9.6(2)4
************WARNING****WARNING****WARNING********************************
Beginning configuration replication: Sending to mate.
End Configuration Replication to mate
FMC에는 FTD 디바이스가 정상적으로 업그레이드되었음이 표시됩니다.

두 번째 FTD 모듈의 업그레이드가 시작됩니다.

프로세스가 끝나면 보조 FTD가 새 이미지를 사용하여 부팅됩니다.

백그라운드에서 FMC는 내부 사용자 ‘enable_1’을 사용하여 FTD 장애 조치 상태를 교체하고 보조 FTD에서 장애 조치 컨피그레이션을 임시로 제거합니다.
firepower# show logging
Dec 17 2016 16:40:14: %ASA-5-111008: User 'enable_1' executed the 'no failover active' command.
Dec 17 2016 16:40:14: %ASA-5-111010: User 'enable_1', running 'N/A' from IP 0.0.0.0, executed 'no failover active'
Dec 17 2016 16:41:19: %ASA-5-111008: User 'enable_1' executed the 'clear configure failover' command.
Dec 17 2016 16:41:19: %ASA-5-111010: User 'enable_1', running 'N/A' from IP 0.0.0.0, executed 'clear configure failover'
Dec 17 2016 16:41:19: %ASA-5-111008: User 'enable_1' executed the 'copy /noconfirm running-config disk0:/modified-config.cfg' command.
Dec 17 2016 16:41:19: %ASA-5-111010: User 'enable_1', running 'N/A' from IP 0.0.0.0, executed 'copy /noconfirm running-config disk0:/modified-config.cfg'
firepower#
Switching to Standby
firepower#
참고 - 이 시점에서 장애 조치 상태 교체로 인해 패킷 1개가 삭제될 수 있습니다.
이 예의 경우에는 전체 FTD 업그레이드(두 장치 모두)가 30분 이내에 완료되었습니다.
확인
기본 FTD 디바이스에서 FTD CLI를 확인합니다.
> show high-availability config
Failover On
Failover unit Primary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2)4, Mate 9.6(2)4
Serial Number: Ours FLM2006EN9U, Mate FLM2006EQFW
Last Failover at: 16:40:14 UTC Dec 17 2016
This host: Primary - Active
Active time: 1159 (sec)
slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)4) status (Up Sys)
Interface inside (192.168.75.111): Normal (Monitored)
Interface outside (192.168.76.111): Normal (Monitored)
Interface diagnostic (0.0.0.0): Normal (Waiting)
slot 1: snort rev (1.0) status (up)
slot 2: diskstatus rev (1.0) status (up)
Other host: Secondary - Standby Ready
Active time: 0 (sec)
slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)4) status (Up Sys)
Interface inside (192.168.75.112): Normal (Monitored)
Interface outside (192.168.76.112): Normal (Monitored)
Interface diagnostic (0.0.0.0): Normal (Waiting)
slot 1: snort rev (1.0) status (up)
slot 2: diskstatus rev (1.0) status (up)
Stateful Failover Logical Update Statistics
Link : FOVER Ethernet1/8 (up)
Stateful Obj xmit xerr rcv rerr
General 68 0 67 0
...
>
보조 FTD 디바이스에서 FTD CLI를 확인합니다.
> show high-availability config
Failover On
Failover unit Secondary
Failover LAN Interface: FOVER Ethernet1/8 (up)
Reconnect timeout 0:00:00
Unit Poll frequency 1 seconds, holdtime 15 seconds
Interface Poll frequency 5 seconds, holdtime 25 seconds
Interface Policy 1
Monitored Interfaces 3 of 1041 maximum
MAC Address Move Notification Interval not set
failover replication http
Version: Ours 9.6(2)4, Mate 9.6(2)4
Serial Number: Ours FLM2006EQFW, Mate FLM2006EN9U
Last Failover at: 16:52:43 UTC Dec 17 2016
This host: Secondary - Standby Ready
Active time: 0 (sec)
slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)4) status (Up Sys)
Interface inside (192.168.75.112): Normal (Monitored)
Interface outside (192.168.76.112): Normal (Monitored)
Interface diagnostic (0.0.0.0): Normal (Waiting)
slot 1: snort rev (1.0) status (up)
slot 2: diskstatus rev (1.0) status (up)
Other host: Primary - Active
Active time: 1169 (sec)
Interface inside (192.168.75.111): Normal (Monitored)
Interface outside (192.168.76.111): Normal (Monitored)
Interface diagnostic (0.0.0.0): Normal (Waiting)
slot 1: snort rev (1.0) status (up)
slot 2: diskstatus rev (1.0) status (up)
Stateful Failover Logical Update Statistics
Link : FOVER Ethernet1/8 (up)
Stateful Obj xmit xerr rcv rerr
General 38 0 41 0
...
>
8단계: FTD HA 페어에 정책 구축
업그레이드가 완료되고 나면 HA 페어에 정책을 구축해야 합니다. FMC UI에 이 내용이 표시됩니다.

정책을 구축합니다.

확인
FMC UI에 표시되는 업그레이드된 FTD HA 페어:

FCM UI에 표시되는 업그레이드된 FTD HA 페어:

관련 문서
Cisco Firepower NGFW