升级镜像和签名IDS 4.1到IPS 5.0及以上版本(AIP-SSM、NM-IDS， IDSM-2)配置示例

下载选项

PDF (249.1 KB)
在各种设备上使用 Adobe Reader 查看
ePub (89.9 KB)
在 iPhone、iPad、Android、Sony Reader 或 Windows Phone 上使用各种应用查看
Mobi (Kindle) (82.7 KB)
在 Kindle 设备上查看或在多个设备上使用 Kindle 应用查看

已更新: 2009 年 10 月 12 日

文档 ID:88954

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。深入了解思科如何使用包容性语言。

关于此翻译

思科采用人工翻译与机器翻译相结合的方式将此文档翻译成不同语言，希望全球的用户都能通过各自的语言得到支持性的内容。请注意：即使是最好的机器翻译，其准确度也不及专业翻译人员的水平。 Cisco Systems, Inc. 对于翻译的准确性不承担任何责任，并建议您总是参考英文原始文档（已提供链接）。

简介

本文档描述如何将 Cisco 入侵检测传感器 (IDS) 软件的映像和签名从版本 4.1 升级到 Cisco 入侵防御系统 (IPS) 5.0 及更高版本。

注意：从软件版本5.x及更高版本，Cisco IPS将取代适用于4.1版的Cisco IDS。

注意： 此传感器不能从 Cisco.com 下载软件更新。您必须从 Cisco.com 将软件更新下载到您的 FTP 服务器，然后配置传感器以从您的 FTP 服务器上下载它们。

有关过程，请参阅升级、下载和安装系统映像的安装 AIP-SSM 系统映像部分。

要了解有关如何恢复Cisco Secure IDS（以前称为NetRanger）设备和3.x和4.x版模块的详细信息，请参阅Cisco IDS传感器和IDS服务模块(IDSM-1, IDSM-2)的口令恢复过程。

注意：在ASA - AIP-SSM上的内联和失效开放设置中，用户流量在升级期间不受影响。

注：有关将IPS 5.1升级到6.x版的操作步骤的详细信息，请参阅使用命令行界面6.0配置Cisco入侵防御系统传感器的从5.1升级到6.x版部分。

注意：传感器不支持代理服务器进行自动更新。代理设置只用于全局相关功能。

先决条件

使用的组件

此文档中的信息基于运行软件版本 4.1（要升级到版本 5.0）的 Cisco 4200 系列 IDS 硬件。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

配置

本部分提供有关如何配置本文档所述功能的信息。

从 Cisco 4.1 到 5.0 的升级程序可从 Cisco.com 下载。有关用来访问 Cisco.com 上的 IPS 软件下载的过程，请参阅获取 Cisco IPS 软件。

您可以使用下列任何方法来执行升级：

下载5.0升级文件后，请参阅自述文件，了解如何使用upgrade命令安装5.0升级文件的过程。有关详细信息，请参阅本文档的使用 Upgrade 命令部分。
如果您为传感器配置了自动更新，请将 5.0 升级文件复制到您的传感器轮询更新的服务器上的目录中。有关详细信息，参阅本文档的使用 auto-upgrade 命令部分。
如果在您的传感器上安装升级程序，并且传感器在重新启动后无法使用，则必须重新映像您的传感器。从任何早于 4.1 的 Cisco IDS 版本升级传感器时也需要使用 recover 命令或恢复/升级 CD。有关详细信息，请参阅本文档的重新映像传感器部分。

升级传感器

以下部分说明如何使用 upgrade 命令升级传感器上的软件：

概述
Upgrade 命令和选项
使用 Upgrade 命令

概述

您可以使用以下文件（它们都具有扩展名 .pkg）升级传感器：

签名更新，例如，IPS-sig-S150-minreq-5.0-1.pkg
签名引擎更新，例如，IPS-engine-E2-req-6.0-1.pkg
主要更新，例如，IPS-K9-maj-6.0-1-pkg
次要更新，例如，IPS-K9-min-5.1-1.pkg
Service Pack 更新，例如，IPS-K9-sp-5.0-2.pkg
恢复分区更新，例如，IPS-K9-r-1.1-a-5.0-1.pkg
补丁程序版本，例如，IPS-K9-patch-6.0-1p1-E1.pkg
恢复分区更新，例如，IPS-K9-r-1.1-a-6.0-1.pkg

传感器升级会更改该传感器的软件版本。

Upgrade 命令和选项

在服务主机子模式下使用 auto-upgrade-option enabled 命令来配置自动升级。

这些选项适用：

default — 将值设置回系统默认设置。
directory — 升级文件在文件服务器上的目录。
file-copy-protocol — 用于从文件服务器下载文件的文件复制协议。有效值包括 ftp 或 scp。

注意：如果使用SCP，则必须使用ssh host-key命令将服务器添加到SSH已知主机列表，以便传感器可以通过SSH与其通信。有关过程，请参阅向已知主机列表中添加主机。
ip-address — 文件服务器的IP地址。
password — 用于在文件服务器上进行身份验证的用户密码。
schedule-option — 安排自动升级的时间。日历调度在特定日期的特定时间启动升级。定期调度按特定的定期时间间隔启动升级。
- calendar-schedule — 配置执行自动升级的一周中的天数和时间。
  - days-of-week — 执行自动升级的一周中的天数。您可以选择多天。有效值从星期日到星期六。
  - no — 删除条目或选择设置。
  - Times-of-day — 自动升级开始的一天中的时间。您可以选择多个时间。有效值为hh:mm[:ss]。
- periodic-schedule — 配置第一次自动升级应发生的时间以及自动升级之间等待的时间。
  - interval — 自动升级之间等待的小时数。有效值从 0 到 8760。
  - start-time — 开始第一次自动升级的一天中的时间。有效值为hh:mm[:ss]。
user-name — 文件服务器上用于身份验证的用户名。

有关用于升级传感器的 IDM 过程，请参阅升级传感器。

如果在升级到IPS 6.0之前未配置只读社区和读写社区参数，则会收到SNMP错误。如果使用SNMP集和/或获取功能，则必须在升级到IPS 6.0之前配置只读社区和读写社区参数。在IPS 5.x中默认情况下，只读社区设置为public，而读写社区设置为private。在 IPS 6.0 中，这两个选项没有默认值。如果未将SNMP gets和sets与IPS 5.x一起使用，例如，enable-set-get设置为false，则升级到IPS 6.0没有问题。如果使用SNMP gets和sets，例如，enable-set-get设置为true，则必须将只读社区和读写社区参数到特定值或IPS 6.0升级失败。

您将收到以下错误消息：

Error: execUpgradeSoftware : Notification Application "enable-set-get" value set to true, 
but "read-only-community" and/or "read-write-community" are set to null. Upgrade may not 
continue with null values in these fields.

注意：默认情况下，IPS 6.0拒绝高风险事件。这是与IPS 5.x的变化。要更改默认值，请为deny packet inline操作创建事件操作覆盖并将其配置为禁用。如果管理员不知道读写社区，则他们应尝试在尝试升级之前完全禁用SNMP，以删除此错误消息。

要升级传感器，请完成以下步骤：

将主要更新文件 (IPS-K9-maj-5.0-1-S149.rpm.pkg ) 下载到可从您的传感器访问的 FTP、SCP、HTTP 或 HTTPS 服务器。

有关如何在 Cisco.com 上查找软件的过程，请参阅获取 Cisco IPS 软件。

注意：您必须使用具有加密权限的帐户登录Cisco.com才能下载文件。请不要更改文件名。您必须保留原始文件名以使传感器接受更新。

注意：请勿更改文件名。您必须保留原始文件名以使传感器接受更新。
使用具有管理员权限的帐户登录 CLI。
进入配置模式：
```
sensor#configure terminal
```
升级传感器：
```
sensor(config)#upgrade scp://
        
        
          @ 
         
           //upgrade/ 
           
          
        
```
示例：

注意：由于空间原因，此命令位于两行。
```
sensor(config)#upgrade scp://tester@10.1.1.1//upgrade/
IPS-K9-maj-5.0-1-S149.rpm.pkg
```
注意：有关受支持的FTP和HTTP/HTTPS服务器的列表，请参阅支持的FTP和HTTP/HTTPS服务器。有关如何将 SCP 服务器添加到 SSH 已知主机列表的详细信息，请参阅向 SSH 已知主机列表中添加主机。

出现提示时输入口令：

Enter password: ********
Re-enter password: ********

键入 yes 完成升级。

注意：主要更新、次要更新和服务包可能会强制重新启动IPS进程，甚至强制重新启动传感器以完成安装。因此，至少存在两分钟的服务中断。然而，签名更新在完成更新后不需要重新启动。有关最近的更新，请参阅下载签名更新（仅限注册用户）。

验证新传感器版本：

sensor#show version

Application Partition:


Cisco Intrusion Prevention System, Version 5.0(1)S149.0


OS Version 2.4.26-IDS-smp-bigphys

Platform: ASA-SSM-20

Serial Number: 021

No license present

Sensor up-time is 5 days.

Using 490110976 out of 1984704512 bytes of available memory (24% usage)

system is using 17.3M out of 29.0M bytes of available disk space (59% usage)

application-data is using 37.7M out of 166.6M bytes of 
available disk space (24 usage)

boot is using 40.5M out of 68.5M bytes of available disk space (62% usage)


MainApp         2005_Mar_04_14.23 (Release)  2005-03-04T14:35:11-0600  Running

AnalysisEngine  2005_Mar_04_14.23 (Release)  2005-03-04T14:35:11-0600  Running

CLI             2005_Mar_04_14.23 (Release)  2005-03-04T14:35:11-0600


Upgrade History:


  IDS-K9-maj-5.0-1-   14:16:00 UTC Thu Mar 04 2004


Recovery Partition Version 1.1 - 5.0(1)S149


sensor#

注意： 对于 IPS 5.x，您会收到一条指示升级属于未知类型的消息。您可以忽略此消息。

注意：将重新映像操作系统，并删除通过服务帐户放置在传感器上的所有文件。

有关用于升级传感器的 IDM 过程的详细信息，请参阅升级传感器。

配置自动升级

自动升级

您可以将传感器配置为在您的升级目录中自动查找新的升级文件。例如，几个传感器可以使用不同的更新调度（例如每 24 小时或星期一、星期三和星期五的下午 11:00）指向同一远程 FTP 服务器目录。

请指定以下信息以调度自动升级：

服务器 IP 地址
文件服务器上传感器在其中检查升级文件的目录路径
文件复制协议（SCP 或 FTP）
用户名和密码
升级调度

您必须从 Cisco.com 下载软件升级程序并将它复制到升级目录中，然后传感器才能轮询自动升级程序。

注：如果对AIM-IPS和其他IPS设备或模块使用自动升级，请确保将6.0(1)升级文件IPS-K9-6.0-1-E1.pkg和AIM-IPS升级文件IPS-AIM-K9-6.0-4-E1.pkg都放在自动更新服务器上，以便AIM-IPS可以正确检测需要自动下载和安装的文件。如果您只将 6.0(1) 升级文件 (IPS-K9-6.0-1-E1.pkg) 放在自动更新服务器上，AIM-IPS 将下载并试图安装它，但它对 AIM-IPS 来说是不正确的文件。

有关用于自动升级传感器的 IDM 过程的详细信息，请参阅自动升级传感器。

使用 auto-upgrade 命令

请参阅本文档的 Upgrade 命令和选项部分以了解 auto-update 命令。

要调度自动升级，请完成以下步骤：

使用具有管理员权限的帐户登录 CLI。

配置传感器以在您的升级目录中自动查找新的升级程序。

sensor#configure terminal
sensor(config)#service host
sensor(config-hos)#auto-upgrade-option enabled

指定调度：

对于日历调度，它将在特定日期的特定时间启动升级：

sensor(config-hos-ena)#schedule-option calendar-schedule
sensor(config-hos-ena-cal#days-of-week sunday
sensor(config-hos-ena-cal#times-of-day 12:00:00

对于定期调度，它将按特定的周期时间间隔启动升级：

sensor(config-hos-ena)#schedule-option periodic-schedule
sensor(config-hos-ena-per)#interval 24
sensor(config-hos-ena-per)#start-time 13:00:00

指定文件服务器的 IP 地址：

sensor(config-hos-ena-per)#exit
sensor(config-hos-ena)#ip-address 10.1.1.1

指定文件服务器上升级文件所在的目录：

sensor(config-hos-ena)#directory /tftpboot/update/5.0_dummy_updates

指定文件服务器上用于身份验证的用户名：
```
sensor(config-hos-ena)#user-name tester
```

指定用户口令：

sensor(config-hos-ena)#password

Enter password[]: ******
Re-enter password: ******

指定文件服务器协议：
```
sensor(config-hos-ena)#file-copy-protocol ftp
```
注意：如果使用SCP，则必须使用ssh host-key命令将服务器添加到SSH已知主机列表，以便传感器可以通过SSH与其通信。有关过程，请参阅向已知主机列表中添加主机。

验证设置：

sensor(config-hos-ena)#show settings

   enabled

   -----------------------------------------------

      schedule-option

      -----------------------------------------------

         periodic-schedule

         -----------------------------------------------

            start-time: 13:00:00

            interval: 24 hours

         -----------------------------------------------

      -----------------------------------------------

      ip-address: 10.1.1.1

      directory: /tftpboot/update/5.0_dummy_updates

      user-name: tester

      password: <hidden>

      file-copy-protocol: ftp default: scp

   -----------------------------------------------

sensor(config-hos-ena)#

退出自动升级子模式：

sensor(config-hos-ena)#exit
sensor(config-hos)#exit

Apply Changes:?[yes]:

按Enter以应用更改或键入no以放弃更改。

重新映像传感器

您可以通过以下方法重新映像您的传感器：

对于具有 CD-ROM 驱动器的 IDS 设备，请使用恢复/升级 CD。

有关过程，请参阅升级、下载和安装系统映像的使用恢复/升级 CD 部分。
对于所有传感器，请使用 recover 命令。

有关过程，请参阅升级、下载和安装系统映像的恢复应用程序分区部分。
对于 IDS-4215、IPS-4240 和 IPS 4255，请使用 ROMMON 还原系统映像。

有关过程，请参阅升级、下载和安装系统映像的安装 IDS-4215 系统映像和安装 IPS-4240 和 IPS-4255 系统映像部分。
对于 NM-CIDS，请使用引导加载程序。

有关过程，请参阅升级、下载和安装系统映像的安装 NM-CIDS 系统映像部分。
对于 IDSM-2，请从维护分区重新映像应用程序分区。

有关过程，请参阅升级、下载和安装系统映像的安装 IDSM-2 系统映像部分。
对于 AIP-SSM，请使用 hw-module module 1 recover [configure | boot]命令。

有关过程，请参阅升级、下载和安装系统映像的安装 AIP-SSM 系统映像部分。

升级镜像和签名IDS 4.1到IPS 5.0及以上版本(AIP-SSM、NM-IDS， IDSM-2)配置示例

下载选项

非歧视性语言

关于此翻译

目录

简介

先决条件

要求

使用的组件

规则

配置

升级传感器

概述

Upgrade 命令和选项

使用 Upgrade 命令

配置自动升级

自动升级

使用 auto-upgrade 命令

重新映像传感器

相关信息

修订历史记录

此文档是否有帮助?

联系我们

本文档适用于以下产品