目录

简介

失败的可能原因

影响

确认

检验DNS设置

验证连接

故障排除

相关文档

简介

本文档讨论更新Cisco Firepower管理中心的预定任务可能失败的原因。您可以手动或自动更新Cisco Firepower管理中心。为了执行自动软件更新，您可以在管理中心上创建计划任务，以在将来运行。

失败的可能原因

当您的网络中发生以下任一操作时，Firepower管理中心可能无法从Cisco下载更新基础设施下载更新文件：

- 您公司的安全策略阻止域名系统(DNS)流量。

- 管理中心外部的配置会影响下载。例如，防火墙规则可能仅允许support.sourcefire.com的一个IP地址。

警告：思科利用轮询DNS来实现负载均衡、容错和正常运行时间。因此，DNS服务器的IP地址可能会发生变化。

影响

如果使用此方法……

措施项

自动下载的系统默认配置

无需操作

手动下载更新文件并将其上传到Firepower管理中心

无需操作

过滤对思科托管下载更新基础设施的访问的防火墙规则

遵循解决方案

- 三次重试和下一次计划运行会部分缓解故障。反复故障可能表示存在外部因素，例如防火墙或基础设施的中断。

- 由于轮询DNS在域名上，您需要采取一些步骤来确保没有间歇性下载失败。

确认

检验DNS设置

确保将Firepower管理中心配置为使用您的DNS服务器。

警告：Cisco强烈建议您保留默认设置。

您可以在Network部分下的System > Local > Configuration中配置DNS设置。在共享设置部分下，您可以指定最多三个DNS服务器。

注意：如果在配置下拉列表中选择DHCP，则无法手动指定共享设置。

验证连接

您可以使用各种命令(例如telnet、nslookup或dig)来确定DNS服务器的状态以及Firepower管理中心上的DNS设置。例如：

telnet support.sourcefire.com 443

nslookup support.sourcefire.com

dig support.sourcefire.com

注意：对support.sourcefire.com执行ping操作失败。因此，不应将其用作连接测试。

为了测试从设备到支持站点的连接（下载更新等），您可以通过SSH或直接控制台访问登录到设备，然后使用以下命令：

admin@Firepower:~# sudo openssl s_client -connect support.sourcefire.com:443

此命令显示证书协商，并向您提供与端口80 Web服务器的Telnet会话等效。以下是命令输出的示例：

New, TLSv1/SSLv3, Cipher is AES256-SHA

Server public key is 2048 bit

Secure Renegotiation IS supported

Compression: NONE

Expansion: NONE

SSL-Session:

Protocol : TLSv1

Cipher : AES256-SHA

Session-ID: 44A18130176C9171F50F33A367B55F5CFD10AA0FE87F9C5C1D8A7A7E519C695B

Session-ID-ctx:

Master-Key: D406C5944B9462F1D6CB15D370E884B96B82049300D50E74F9B8332F84786F05C35BF3FD806672630BE26C2218AE5BDE

Key-Arg : None

Start Time: 1398171146

Timeout : 300 (sec)

Verify return code: 0 (ok)

---

此时应该没有提示。但是，当会话等待输入时，您可以输入命令：

GET /

您应该收到支持站点登录页面的原始HTML。

故障排除

选项 1：在防火墙上使用域名support.sourcefire.com替换静态IP地址。如果您必须使用静态IP地址，请确保这是正确的。以下是Firepower系统使用的下载服务器的详细信息：

- 域：support.sourcefire.com

- 端口:443/tcp(双向)

- IP Address:50.19.123.95，50.16.210.129

support.sourcefire.com（轮询方法）也使用的其他IP地址包括：

54.221.210.248

54.221.211.1

54.221.212.60

54.221.212.170

54.221.212.241

54.221.213.96

54.221.213.209

54.221.214.25

54.221.214.81

选项 2：您可以使用Web浏览器手动下载更新，然后在维护窗口期间手动安装更新。

选项 3：在DNS服务器上为support.sourcefire.com添加A记录。

相关文档

- 可以安装在Firepower系统上的更新类型

- 高级恶意软件防护(AMP)操作所需的服务器地址

- Firepower系统运行所需的通信端口

- 技术支持和文档 - Cisco Systems