FMC upgraden in hoge beschikbaarheid

Inleiding

In dit document worden de stappen beschreven voor het upgraden van een omgeving van Secure Firewall Management Center (FMC) in High Availability (HA).

Voorwaarden

Vereisten

Cisco raadt u aan kennis te hebben van deze onderwerpen:

• Concepten voor hoge beschikbaarheid
• Beveiligde FMC-configuratie

Gebruikte componenten

De informatie in dit document is gebaseerd op Virtual Secure Firewall Management Center, versie 7.4.2.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.

Achtergrondinformatie

De upgrade moet één peer per keer zijn.

Pauzeer eerst de synchronisatie tussen de peers.

Vervolgens moet de upgrade eerst in de stand-by worden uitgevoerd, gevolgd door de actieve FMC.

Let op: Terwijl de standby peer werkt aan pre-checks / installatie, switches beide peers naar actief; dit wordt split-brain genoemd.
Dit wordt volledig verwacht tijdens de upgrade. Gedurende deze periode mag u geen configuratiewijzigingen aanbrengen of implementeren.
Als u een configuratiewijziging uitvoert, kan deze verloren gaan nadat de synchronisatie opnieuw is gestart.

Pre-upgrade

1. Plan uw upgradepad. Bij FMC-implementaties moet u meestal de FMC upgraden en vervolgens de beheerde apparaten. Weet altijd welke upgrade u zojuist hebt uitgevoerd en welke de volgende is.

2. Lees alle upgraderichtlijnen en plan configuratiewijzigingen.
3. Controleer de bandbreedte. Zorg ervoor dat uw beheernetwerk de bandbreedte heeft om grote gegevensoverdrachten uit te voeren.

4. Onderhoudsvensters plannen.
5. Maak een back-up van de configuratie voor en na de upgrade. Systeem > Extra - Back-up/herstel > Back-up van Firepower Management. Download de back-up naar uw lokale systeem.

6. Upgrade naar virtuele hosting. Dit is vereist wanneer u een oudere versie van VMware gebruikt.
7. Configuraties controleren.
8. Controleer NTP-synchronisatie.
   FMC: Kies Systeem > Configuratie > Tijd.
   Apparaten: gebruik de CLI-opdracht Tijd weergeven.

9. Controleer de schijfruimte.
10. Configuraties implementeren. Bij FMC-implementaties met hoge beschikbaarheid hoeft u alleen te implementeren vanaf de actieve peer.
11. Controleer actieve taken. Zorg ervoor dat er geen implementaties in behandeling zijn.

Upgradeprocedure

Stap 1. synchronisatie pauzeren

Pauzeer de synchronisatie met hoge beschikbaarheid tussen peers op de primaire (actieve) eenheid.

Integratie > Andere integraties:

Synchronisatie pauzeren. Selecteer integratie, andere integratie, hoge beschikbaarheid

Selecteer tabblad Hoge beschikbaarheid:

Sectie Hoge beschikbaarheid FMC

Selecteer Pauzesynchronisatie:

Selecteer Synchronisatie pauzeren

Wacht tot de synchronisatie is onderbroken. De status moet door de gebruiker worden gepauzeerd wanneer deze is voltooid.
Waarschuwing bij gedegradeerde synchronisatie. Gepauzeerd door gebruiker

Stap 2. Het upgradepakket uploaden

Meld u aan bij de Secundaire (Standby) eenheid en bevestig dat de synchronisatie is onderbroken.

Integratie > Andere integraties > Hoge beschikbaarheid:

Op stand-by-eenheid. Synchronisatie gepauzeerd door gebruiker

Nadat u de upgrade hebt bevestigd, gaat u verder met het uploaden van het upgradepakket.

Systeem > Productupgrade:

Systeem, productupgrades

Selecteer Upgradepakket

Blader door het eerder gedownloade pakket van de te upgraden versie.

Bladeren door upgradepakket, selecteer Uploaden

Stap 3. gereedheidscontrole

Selecteer in de lijst Beschikbare upgradepakketten de gewenste versie. Ga verder met de optie Upgrade:

Beschikbare upgradepakketten. Doorgaan met upgraden

Selecteer Volgende wanneer de validatie is voltooid:

Validering vooraf controleren

Klik op Gereedheidscheck uitvoeren, het proces moet worden gestart op het toestel dat moet worden bijgewerkt:

Gereedheidscontroles uitvoeren

Na voltooiing kunt u de status bekijken in de resultaten van de gereedheidscheck.

Als dit is gelukt, kunt u Volgende selecteren:

Gereedheidscheck geslaagd, Selecteer Volgende

Stap 4. Upgrade van de FMC

Selecteer Upgrade om het upgradeproces te starten:

Upgrade starten

De voortgang van de upgrade is te zien op de FMC-site:

Voortgang upgrade

De GUI kan worden uitgelogd, opnieuw worden ingelogd en de voortgang van de upgrade wordt weergegeven:

Voortgang bijwerken in GUI

Opmerking: de installatie duurt ongeveer 30 minuten.

Als u CLI Access hebt, kunt u de voortgang controleren in de upgrademap /var/log/sf; ga naar de expertmodus en voer roottoegang in.

> expert
admin@firepower:~$ sudo su
Password: 
root@firepower:/Volume/home/admin# cd /var/log/sf/

root@firepower:/var/log/sf# ls
Cisco_Secure_FW_Mgmt_Center_Upgrade-7.6.2 

root@firepower:/var/log/sf/Cisco_Secure_FW_Mgmt_Center_Upgrade-7.6.2# ls
000_start  AQ_UUID  DBCheck.log  exception.log  flags.conf  main_upgrade_script.log  status.log  status.log.202307180405  upgrade_readiness  upgrade_status.json  upgrade_status.log  upgrade_version_build

root@firepower:/var/log/sf/Cisco_Secure_FW_Mgmt_Center_Upgrade-7.6.2# tail -f status.log 

Wanneer de upgrade is voltooid, wordt de FMC opnieuw opgestart.

ui:[100%] [1 mins to go for reboot]Running script 999_finish/999_zzz_complete_upgrade_message.sh...
ui:[100%] [1 mins to go for reboot] Upgrade complete
ui:[100%] [1 mins to go for reboot] The system will now reboot.
ui:System will now reboot.

Broadcast message from root@firepower (Fri Oct 10 20:23:08 2025):

System will reboot in 5 seconds due to system upgrade.

Broadcast message from root@firepower (Fri Oct 10 20:23:13 2025):

System will reboot now due to system upgrade.

ui:[100%] [1 mins to go for reboot] Installation completed successfully.
ui:Upgrade has completed.
state:finished

Broadcast message from root@firepower (Fri Oct 10 20:23:25 2025):

The system is going down for reboot NOW!

Log na het opnieuw opstarten opnieuw in op de FMC GUI en ga akkoord met de gebruikersovereenkomst:

Accepteer de gebruikersovereenkomst

De nieuwe versie kan worden bevestigd op FMC.

Help > Over:

Bevestiging nieuwe versie

In de CLI kan de versie worden gecontroleerd na het accepteren van de gebruikersovereenkomst.

Copyright 2004-2025, Cisco and/or its affiliates. All rights reserved.
Cisco is a registered trademark of Cisco Systems, Inc.
All other trademarks are property of their respective owners.

Cisco Firepower Extensible Operating System (FX-OS) v2.16.0 (build 4006)
Cisco Secure Firewall Management Center for VMware v7.6.2 (build 329)

>
> show version
-------------------[ firepower ]--------------------
Model                     : Secure Firewall Management Center for VMware (66) Version 7.6.2 (build 329)
UUID                      : 1c71ae24-1e60-11ed-8459-9758e19f1a24
Rules update version      : 2022-01-06-001-vrt
LSP version               : lsp-rel-20240417-2110
VDB version               : 392
----------------------------------------------------

FMC High Availability nadat de upgrade naar Split Brain gaat, is Local peer (Secundair) nu een voltooide upgrade.

Integratie > Andere integratie > Hoge beschikbaarheid:

Split Brain in hoge beschikbaarheid
Stap 5. Primaire (actieve) peer bijwerken

Meld u aan bij de primaire eenheid en bevestig dat de lokale peer degene is met de oudste versie.

Integratie > Andere integratie > Hoge beschikbaarheid:

Versie van lokale peer bevestigen

Herhaal stap 2 tot 4 in deze peer:

1. Upload het upgradepakket.

2. Gereedheidscheck.

3. Apparaat bijwerken.

Stap 6. De gewenste FMC actief maken

Nadat de upgrade op beide FMC's is voltooid, lMeld u aan bij de FMC die u wilt activeren en selecteer de optie Make Me Active.

Integratie > Hoge beschikbaarheid > Maak me actief:

Selecteer de gewenste eenheid om actief te zijn

Waarschuwingen over processen en overschrijving van elke configuratie die in de standby-peer is uitgevoerd, selecteert u JA om door te gaan.

Waarschuwing over actieve overschrijfconfiguratie op standby-peer

Selecteer OK

Gespleten hersenen oplossen

Wacht tot de synchronisatie is voltooid. Remote peer moet als stand-by worden weergegeven.

Hoge beschikbaarheid tijdelijk gedegradeerd

Opmerking: synchronisatie kan tot 20 minuten duren.

Implementeer wijzigingen in afwachting van de FMC Active-eenheid om het upgradeproces te voltooien.

validering

Nadat beide FMC in dezelfde versie zijn en de synchronisatie is voltooid, moet het tabblad HA-samenvatting er als volgt uitzien.

Integratie > Andere integratie > Hoge beschikbaarheid:

Synchronisatie voltooid

Waarschuwing: Als de uiteindelijke synchronisatiestatus een gedegradeerd of ander resultaat dan OK weergeeft, neem dan contact op met TAC.