Cisco Secure Firewall ASA 升级指南

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

当地语言翻译版本说明

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

Book Contents
Find Matches in This Book
语言选择
Download Options

Book Title

Cisco Secure Firewall ASA 升级指南

Chapter Title

升级配置有 ASA 逻辑设备的 Firepower 4100/9300 机箱

Results

已更新:
2023年6月23日

Chapter: 升级配置有 ASA 逻辑设备的 Firepower 4100/9300 机箱

升级配置有 ASA 逻辑设备的 Firepower 4100/9300 机箱

使用本节中的步骤，升级 Firepower 4100/9300 系列安全设备上的 FXOS 平台捆绑包，以及在这些设备上安装的任何逻辑设备上的 ASA 软件。

升级 FXOS 和 ASA 独立设备或机箱内集群

使用 FXOS CLI 或 Firepower 机箱管理器升级 Firepower 9300 上的 FXOS 和 ASA 独立设备或 ASA 机箱内集群。

使用以下设备升级 FXOS 和 ASA 独立设备或机箱内集群 Firepower 机箱管理器

升级过程最多可能需要 45 分钟。在设备升级时，流量不会穿过设备。请相应规划您的升级活动。

开始之前

开始升级之前，请确保您已完成以下操作：

过程

步骤 1

在 Firepower 机箱管理器中，选择系统 > 更新。

可用更新部分显示机箱上的可用软件包列表。
步骤 2

上传新的 FXOS 平台捆绑包映像和 ASA 软件映像：

注 

如果要升级到 FXOS 2.3.1 之前的版本，则在升级 FXOS 平台捆绑包软件之前，请不要将 ASA CSP 映像上传到安全设备。

  1. 点击上传映像。

  2. 点击选择文件，可导航到并选择想要上传的映像。

  3. 点击上传。

    所选映像将上传到机箱。
步骤 3

成功上传新的 FXOS 平台捆绑包映像后，点击要升级到的 FXOS 平台捆绑包对应的升级图标。

系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。
步骤 4

单击是以确认要继续安装。

FXOS 打开捆绑包，升级/重新加载组件。
步骤 5

Firepower 机箱管理器在升级期间将不可用。您可以使用 FXOS CLI 监控升级过程（请参阅监控升级进度）。

步骤 6

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 7

选择逻辑设备。

此时会打开逻辑设备页面以显示机箱上已配置的逻辑设备列表。
步骤 8

对于要升级的每个 ASA 逻辑设备：

  1. 单击想要更新的逻辑设备对应的设置版本图标，打开更新映像版本对话框。

  2. 对于新版本，选择要升级到的软件版本。

  3. 点击确定。

步骤 9

升级过程完成后，确认应用程序在线且成功升级：

  1. 选择逻辑设备。

  2. 验证应用程序版本和运行状态。

使用 FXOS CLI 升级 FXOS 和 ASA 独立设备或机箱内集群

升级过程最多可能需要 45 分钟。在设备升级时，流量不会穿过设备。请相应规划您的升级活动。

开始之前

开始升级之前，请确保您已完成以下操作：

  • 下载要升级到的 FXOS 和 ASA 软件包（请参阅从 Cisco.com 下载软件）。

  • 备份您的 FXOS 和 ASA 配置。

  • 收集将软件映像下载到机箱所需的以下信息：

    • 您从其复制映像的服务器的 IP 地址和身份验证凭证。

    • 映像文件的完全限定名称。

过程

步骤 1

连接到 FXOS CLI。

步骤 2

将新的 FXOS 平台捆绑包映像下载到机箱：

  1. 进入固件模式：

    scope firmware

  2. 下载 FXOS 平台捆绑包软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/ 路径/ image_name

    • scp://用户名@服务器/ 路径/ image_name

    • sftp://用户名@服务器/ 路径/ image_name

    • tftp://服务器: 端口号/ 路径/ image_name

  3. 要监控下载过程，请执行以下操作：

    scope download-task image_name

    show detail

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope firmware
Firepower-chassis /firmware # download image scp://user@192.168.1.1/images/fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware # scope download-task fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware/download-task # show detail
Download task:
    File Name: fxos-k9.2.3.1.58.SPA
    Protocol: scp
    Server: 192.168.1.1
    Userid:
    Path:
    Downloaded Image Size (KB): 853688
    State: Downloading
    Current Task: downloading image fxos-k9.2.3.1.58.SPA from 192.168.1.1(FSM-STAGE:sam:dme:FirmwareDownloaderDownload:Local)
步骤 3

成功下载新的 FXOS 平台捆绑包映像后，升级 FXOS 捆绑包：

  1. 如有必要，请返回到固件模式：

    up

  2. 记下要安装的 FXOS 平台捆绑包的版本号：

    show package

  3. 进入自动安装模式：

    scope auto-install

  4. 安装 FXOS 平台捆绑包：

    install platform platform-vers version_number

    version_number 是您要安装的 FXOS 平台捆绑包的版本号，例如 2.3(1.58)。

  5. 系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

    输入 yes ，确认您想要继续验证。

  6. 输入 yes 确认您想要继续安装，或者输入 no 取消安装。

    FXOS 打开捆绑包，升级/重新加载组件。

  7. 要监控升级流程，请参阅监控升级进度：

步骤 4

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 5

将新的 ASA 软件映像下载到机箱：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 进入应用软件模式：

    scope app-software

  3. 下载逻辑设备软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/路径

    • scp://用户名@服务器/路径

    • sftp://用户名@服务器/路径

    • tftp://服务器:端口号/路径

  4. 要监控下载过程，请执行以下操作：

    show download-task

  5. 要查看已下载的应用，请执行以下操作：

    up

    show app

    记下您下载的软件包的 ASA 版本。在后面的步骤中，您将需要使用准确的版本字符串来启用应用程序。

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope ssa
Firepower-chassis /ssa # scope app-software
Firepower-chassis /ssa/app-software # download image scp://user@192.168.1.1/images/cisco-asa.9.4.1.65.csp
Firepower-chassis /ssa/app-software # show download-task

Downloads for Application Software:
    File Name                      Protocol   Server               Userid          State
    ------------------------------ ---------- -------------------- --------------- -----
    cisco-asa.9.4.1.65.csp         Scp        192.168.1.1          user            Downloaded

Firepower-chassis /ssa/app-software # up

Firepower-chassis /ssa # show app

Application:
    Name       Version    Description Author     Deploy Type CSP Type    Is Default App
    ---------- ---------- ----------- ---------- ----------- ----------- --------------
    asa        9.4.1.41   N/A                    Native      Application No
    asa        9.4.1.65   N/A                    Native      Application Yes
步骤 6

对于要升级的每个 ASA 逻辑设备：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 将范围设置为您正在更新的安全模块：

    scope slotslot_number

  3. 将范围设置为 ASA 应用程序：

    对于 FXOS 2.3.1 及更低版本： scope app-instance asa

    对于 FXOS 2.4.1 及更高版本：scope app-instance asa instance_name

  4. 将启动版本设置为新的 ASA 软件版本：

    set startup-version version_number

步骤 7

提交配置：

commit-buffer

提交系统配置任务。应用映像已更新，应用重新启动。

步骤 8

要验证安全模块/安全引擎和任何已安装的应用程序的状态，请参阅确认安装。

升级 FXOS 和 ASA 主用/备用故障切换对

使用 FXOS CLI 或 Firepower 机箱管理器升级 FXOS 和 ASA 主用/备用故障切换对。

使用 Firepower 机箱管理器升级 FXOS 和 ASA 主用/备用故障切换对

每个机箱的升级过程最多可能需要 45 分钟。请相应规划您的升级活动。

开始之前

开始升级之前，请确保您已完成以下操作：

  • 您需要确定哪一个设备是主用设备，哪一个是备用设备：将 ASDM 连接到活动 ASA IP 地址。主用设备始终拥有活动 IP 地址。然后，选择监控 > 属性 > 故障切换 > 状态 以查看此设备的优先级（主设备或辅助设备），以便知道您连接到哪一个设备。

  • 下载要升级到的 FXOS 和 ASA 软件包（请参阅从 Cisco.com 下载软件）。

  • 备份您的 FXOS 和 ASA 配置。

过程

步骤 1

在包含备用 ASA 逻辑设备的 Firepower 安全设备上，上传新的 FXOS 平台捆绑包映像和 ASA 软件映像：

注 

如果要升级到 FXOS 2.3.1 之前的版本，则在升级 FXOS 平台捆绑包软件之前，请不要将 ASA CSP 映像上传到安全设备。

  1. 在 Firepower 机箱管理器中，选择系统 > 更新。

    可用更新部分显示机箱上的可用软件包列表。

  2. 点击上传映像。

  3. 点击选择文件，可导航到并选择想要上传的映像。

  4. 点击上传。

    所选映像将上传到机箱。
步骤 2

在成功上传新的 FXOS 平台捆绑包映像后，在包含备用 ASA 逻辑设备的 Firepower 安全设备上升级 FXOS 捆绑包：

  1. 单击要升级到的 FXOS 平台捆绑包所对应的升级图标。

    系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

  2. 单击是以确认要继续安装。

    FXOS 打开捆绑包，升级/重新加载组件。
步骤 3

Firepower 机箱管理器在升级期间将不可用。您可以使用 FXOS CLI 监控升级过程（请参阅监控升级进度）。

步骤 4

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 5

升级 ASA 逻辑设备映像：

  1. 选择逻辑设备打开“逻辑设备”页面。

    此时会打开逻辑设备页面以显示机箱上已配置的逻辑设备列表。

  2. 单击想要更新的逻辑设备对应的设置版本图标，打开更新映像版本对话框。

  3. 对于新版本，选择想要更新的软件版本。

  4. 点击确定。

步骤 6

升级过程完成后，确认应用程序在线且成功升级：

  1. 选择逻辑设备。

  2. 验证应用程序版本和运行状态。
步骤 7

将刚才升级的设备设为活动 设备，以使流量流向已升级的设备：

  1. 通过连接到备用 ASA IP 地址，在备用 设备上启动 ASDM。

  2. 通过选择监控 > 属性 > 故障切换 > 状态，然后点击设为主用，强制备用设备变为主用。

步骤 8

在包含新的备用 ASA 逻辑设备的 Firepower 安全设备上，上传新的 FXOS 平台捆绑包映像和 ASA 软件映像：

注 

如果要升级到 FXOS 2.3.1 之前的版本，则在升级 FXOS 平台捆绑包软件之前，请不要将 ASA CSP 映像上传到安全设备。

  1. 在 Firepower 机箱管理器中，选择系统 > 更新。

    可用更新部分显示机箱上的可用软件包列表。

  2. 点击上传映像。

  3. 点击选择文件，可导航到并选择想要上传的映像。

  4. 点击上传。

    所选映像将上传到机箱。
步骤 9

在成功上传新的 FXOS 平台捆绑包映像后，在包含新的备用 ASA 逻辑设备的 Firepower 安全设备上升级 FXOS 捆绑包：

  1. 单击要升级到的 FXOS 平台捆绑包所对应的升级图标。

    系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

  2. 单击是以确认要继续安装。

    FXOS 打开捆绑包，升级/重新加载组件。
步骤 10

Firepower 机箱管理器在升级期间将不可用。您可以使用 FXOS CLI 监控升级过程（请参阅监控升级进度）。

步骤 11

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 12

升级 ASA 逻辑设备映像：

  1. 选择逻辑设备。

    此时会打开逻辑设备页面以显示机箱上已配置的逻辑设备列表。如果尚未配置任何逻辑设备，则系统将显示一条表明此情况的消息。

  2. 单击想要更新的逻辑设备对应的设置版本图标，打开更新映像版本对话框。

  3. 对于新版本 (New Version)，选择想要更新的软件版本。

  4. 点击确定。

步骤 13

升级过程完成后，确认应用程序在线且成功升级：

  1. 选择逻辑设备。

  2. 验证应用程序版本和运行状态。
步骤 14

（可选）将刚才升级的设备设为主用 设备，同升级前一样：

  1. 通过连接到备用 ASA IP 地址，在备用 设备上启动 ASDM。

  2. 通过选择监控 > 属性 > 故障切换 > 状态，然后点击设为主用，强制备用设备变为主用。

使用 FXOS CLI 升级 FXOS 和 ASA 主用/备用故障切换对

每个机箱的升级过程最多可能需要 45 分钟。请相应规划您的升级活动。

开始之前

开始升级之前，请确保您已完成以下操作：

  • 您需要确定哪一个设备是主用设备，哪一个是备用设备：连接到 Firepower 安全设备上的 ASA 控制台，并 show failover 输入该命令以查看设备的主用/备用状态。

  • 下载要升级到的 FXOS 和 ASA 软件包（请参阅从 Cisco.com 下载软件）。

  • 备份您的 FXOS 和 ASA 配置。

  • 收集将软件映像下载到机箱所需的以下信息：

    • 您从其复制映像的服务器的 IP 地址和身份验证凭证。

    • 映像文件的完全限定名称。

过程

步骤 1

在包含备用 ASA 逻辑设备的 Firepower 安全设备上，下载新的 FXOS 平台捆绑包映像：

  1. 连接到 FXOS CLI。

  2. 进入固件模式：

    scope firmware

  3. 下载 FXOS 平台捆绑包软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/ 路径/ image_name

    • scp://用户名@服务器/ 路径/ image_name

    • sftp://用户名@服务器/ 路径/ image_name

    • tftp://服务器: 端口号/ 路径/ image_name

  4. 要监控下载过程，请执行以下操作：

    scope download-task image_name

    show detail

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope firmware
Firepower-chassis /firmware # download image scp://user@192.168.1.1/images/fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware # scope download-task fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware/download-task # show detail
Download task:
    File Name: fxos-k9.2.3.1.58.SPA
    Protocol: scp
    Server: 192.168.1.1
    Userid:
    Path:
    Downloaded Image Size (KB): 853688
    State: Downloading
    Current Task: downloading image fxos-k9.2.3.1.58.SPA from 192.168.1.1(FSM-STAGE:sam:dme:FirmwareDownloaderDownload:Local)
步骤 2

成功下载新的 FXOS 平台捆绑包映像后，升级 FXOS 捆绑包：

  1. 如有必要，请返回到固件模式：

    up

  2. 记下要安装的 FXOS 平台捆绑包的版本号：

    show package

  3. 进入自动安装模式：

    scope auto-install

  4. 安装 FXOS 平台捆绑包：

    install platform platform-vers version_number

    version_number 是您要安装的 FXOS 平台捆绑包的版本号，例如 2.3(1.58)。

  5. 系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

    输入 yes ，确认您想要继续验证。

  6. 输入yes 确认您想要继续安装，或者输入 no 取消安装。

    FXOS 打开捆绑包，升级/重新加载组件。

  7. 要监控升级流程，请参阅监控升级进度：

步骤 3

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 4

将新的 ASA 软件映像下载到机箱：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 进入应用软件模式：

    scope app-software

  3. 下载逻辑设备软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/路径

    • scp://用户名@服务器/路径

    • sftp://用户名@服务器/路径

    • tftp://服务器:端口号/路径

  4. 要监控下载过程，请执行以下操作：

    show download-task

  5. 要查看已下载的应用，请执行以下操作：

    up

    show app

    记下您下载的软件包的 ASA 版本。在后面的步骤中，您将需要使用准确的版本字符串来启用应用程序。

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope ssa
Firepower-chassis /ssa # scope app-software
Firepower-chassis /ssa/app-software # download image scp://user@192.168.1.1/images/cisco-asa.9.4.1.65.csp
Firepower-chassis /ssa/app-software # show download-task

Downloads for Application Software:
    File Name                      Protocol   Server               Userid          State
    ------------------------------ ---------- -------------------- --------------- -----
    cisco-asa.9.4.1.65.csp         Scp        192.168.1.1          user            Downloaded

Firepower-chassis /ssa/app-software # up

Firepower-chassis /ssa # show app

Application:
    Name       Version    Description Author     Deploy Type CSP Type    Is Default App
    ---------- ---------- ----------- ---------- ----------- ----------- --------------
    asa        9.4.1.41   N/A                    Native      Application No
    asa        9.4.1.65   N/A                    Native      Application Yes
步骤 5

升级 ASA 逻辑设备映像：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 将范围设置为您正在更新的安全模块：

    scope slotslot_number

  3. 将范围设置为 ASA 应用程序：

    对于 FXOS 2.3.1 及更低版本： scope app-instance asa

    对于 FXOS 2.4.1 及更高版本：scope app-instance asa instance_name

  4. 将入门版本设置为想要更新的版本：

    set startup-version version_number

  5. 提交配置：

    commit-buffer

    提交系统配置任务。应用映像已更新，应用重新启动。

步骤 6

要验证安全模块/安全引擎和任何已安装的应用程序的状态，请参阅确认安装。

步骤 7

将刚才升级的设备设为活动 设备，以使流量流向已升级的设备：

  1. 在包含备用 ASA 逻辑设备的 Firepower 安全设备上，使用控制台连接或 Telnet 连接连接到模块 CLI。

    connect module slot_number { console | telnet}

    要连接至不支持多个安全模块的设备的安全引擎，请使用 1 作为 slot_number 。

    示例:

    
Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>

  2. 连接到应用控制台。

    connect asa

    示例:

    
Firepower-module1> connect asa
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>

  3. 将此设备设为活动状态：

    failover active

  4. 保存配置：

    write memory

  5. 验证设备是否处于活动状态：

    show failover

步骤 8

退出应用控制台到 FXOS 模块 CLI。

输入 Ctrl-a, d
步骤 9

返回 FXOS CLI 的管理引擎层。

退出控制台：

  1. 输入 ~

    您将退出至 Telnet 应用。

  2. 要退出 Telnet 应用，请输入：

    telnet>quit

退出 Telnet 会话：

  1. 输入 Ctrl-], .
步骤 10

在包含新的备用 ASA 逻辑设备的 Firepower 安全设备上，下载新的 FXOS 平台捆绑包映像：

  1. 连接到 FXOS CLI。

  2. 进入固件模式：

    scope firmware

  3. 下载 FXOS 平台捆绑包软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/ 路径/ image_name

    • scp://用户名@服务器/ 路径/ image_name

    • sftp://用户名@服务器/ 路径/ image_name

    • tftp://服务器: 端口号/ 路径/ image_name

  4. 要监控下载过程，请执行以下操作：

    scope download-task image_name

    show detail

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope firmware
Firepower-chassis /firmware # download image scp://user@192.168.1.1/images/fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware # scope download-task fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware/download-task # show detail
Download task:
    File Name: fxos-k9.2.3.1.58.SPA
    Protocol: scp
    Server: 192.168.1.1
    Userid:
    Path:
    Downloaded Image Size (KB): 853688
    State: Downloading
    Current Task: downloading image fxos-k9.2.3.1.58.SPA from 192.168.1.1(FSM-STAGE:sam:dme:FirmwareDownloaderDownload:Local)
步骤 11

成功下载新的 FXOS 平台捆绑包映像后，升级 FXOS 捆绑包：

  1. 如有必要，请返回到固件模式：

    up

  2. 记下要安装的 FXOS 平台捆绑包的版本号：

    show package

  3. 进入自动安装模式：

    scope auto-install

  4. 安装 FXOS 平台捆绑包：

    install platform platform-vers version_number

    version_number 是您要安装的 FXOS 平台捆绑包的版本号，例如 2.3(1.58)。

  5. 系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

    输入 yes ，确认您想要继续验证。

  6. 输入yes 确认您想要继续安装，或者输入 no 取消安装。

    FXOS 打开捆绑包，升级/重新加载组件。

  7. 要监控升级流程，请参阅监控升级进度：

步骤 12

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 13

将新的 ASA 软件映像下载到机箱：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 进入应用软件模式：

    scope app-software

  3. 下载逻辑设备软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/路径

    • scp://用户名@服务器/路径

    • sftp://用户名@服务器/路径

    • tftp://服务器:端口号/路径

  4. 要监控下载过程，请执行以下操作：

    show download-task

  5. 要查看已下载的应用，请执行以下操作：

    up

    show app

    记下您下载的软件包的 ASA 版本。在后面的步骤中，您将需要使用准确的版本字符串来启用应用程序。

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope ssa
Firepower-chassis /ssa # scope app-software
Firepower-chassis /ssa/app-software # download image scp://user@192.168.1.1/images/cisco-asa.9.4.1.65.csp
Firepower-chassis /ssa/app-software # show download-task

Downloads for Application Software:
    File Name                      Protocol   Server               Userid          State
    ------------------------------ ---------- -------------------- --------------- -----
    cisco-asa.9.4.1.65.csp         Scp        192.168.1.1          user            Downloaded

Firepower-chassis /ssa/app-software # up

Firepower-chassis /ssa # show app

Application:
    Name       Version    Description Author     Deploy Type CSP Type    Is Default App
    ---------- ---------- ----------- ---------- ----------- ----------- --------------
    asa        9.4.1.41   N/A                    Native      Application No
    asa        9.4.1.65   N/A                    Native      Application Yes
步骤 14

升级 ASA 逻辑设备映像：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 将范围设置为您正在更新的安全模块：

    scope slotslot_number

  3. 将范围设置为 ASA 应用程序：

    对于 FXOS 2.3.1 及更低版本： scope app-instance asa

    对于 FXOS 2.4.1 及更高版本：scope app-instance asa instance_name

  4. 将入门版本设置为想要更新的版本：

    set startup-version version_number

  5. 提交配置：

    commit-buffer

    提交系统配置任务。应用映像已更新，应用重新启动。

步骤 15

要验证安全模块/安全引擎和任何已安装的应用程序的状态，请参阅确认安装。

步骤 16

（可选）将刚才升级的设备设为主用 设备，同升级前一样：

  1. 在包含备用 ASA 逻辑设备的 Firepower 安全设备上，使用控制台连接或 Telnet 连接连接到模块 CLI。

    connect module slot_number { console | telnet}

    要连接至不支持多个安全模块的设备的安全引擎，请使用 1 作为 slot_number 。

    示例:

    
Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>

  2. 连接到应用控制台。

    connect asa

    示例:

    
Firepower-module1> connect asa
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>

  3. 将此设备设为活动状态：

    failover active

  4. 保存配置：

    write memory

  5. 验证设备是否处于活动状态：

    show failover

升级 FXOS 和 ASA 主用/主用故障切换对

使用 FXOS CLI 或 Firepower 机箱管理器升级 FXOS 和 ASA 主用/主用故障切换对。

使用 Firepower 机箱管理器升级 FXOS 和 ASA 主用/主用故障切换对

每个机箱的升级过程最多可能需要 45 分钟。请相应规划您的升级活动。

开始之前

开始升级之前，请确保您已完成以下操作：

  • 您需要确定哪一个设备是主设备：连接 ASDM，然后选择监控 > 属性 > 故障切换 > 状态以查看此设备的优先级（主设备或辅助设备），以便知道您连接到哪一个设备。

  • 下载要升级到的 FXOS 和 ASA 软件包（请参阅从 Cisco.com 下载软件）。

  • 备份您的 FXOS 和 ASA 配置。

过程

步骤 1

使两个故障切换组在主 设备上均处于活动状态。

  1. 通过连接故障切换组 1 中的管理地址，在主 设备（或故障切换组 1 处于活动状态的设备）上启动 ASDM。

  2. 选择监控 > 故障切换 > 故障切换组 2，然后点击设为主用。

  3. 在后续步骤中，与此设备上的 ASDM 保持连接。
步骤 2

在包含辅助 ASA 逻辑设备的 Firepower 安全设备上，上传新的 FXOS 平台捆绑包映像和 ASA 软件映像：

注 

如果要升级到 FXOS 2.3.1 之前的版本，则在升级 FXOS 平台捆绑包软件之前，请不要将 ASA CSP 映像上传到安全设备。

  1. 连接到辅助 设备上的 Firepower 机箱管理器。

  2. 依次选择系统 > 更新。

    可用更新部分显示机箱上的可用软件包列表。

  3. 点击上传映像。

  4. 点击选择文件，可导航到并选择想要上传的映像。

  5. 点击上传。

    所选映像将上传到机箱。
步骤 3

在成功上传新的 FXOS 平台捆绑包映像后，在包含辅助 ASA 逻辑设备的 Firepower 安全设备上升级 FXOS 捆绑包：

  1. 单击要升级到的 FXOS 平台捆绑包所对应的升级图标。

    系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

  2. 单击是以确认要继续安装。

    FXOS 打开捆绑包，升级/重新加载组件。
步骤 4

Firepower 机箱管理器在升级期间将不可用。您可以使用 FXOS CLI 监控升级过程（请参阅监控升级进度）。

步骤 5

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 6

升级 ASA 逻辑设备映像：

  1. 选择逻辑设备。

    此时会打开逻辑设备页面以显示机箱上已配置的逻辑设备列表。

  2. 单击想要更新的逻辑设备对应的设置版本图标，打开更新映像版本对话框。

  3. 对于新版本 (New Version)，选择想要更新的软件版本。

  4. 点击确定。

步骤 7

升级过程完成后，确认应用程序在线且成功升级：

  1. 选择逻辑设备。

  2. 验证应用程序版本和运行状态。
步骤 8

使两个故障切换组在辅助 设备上均处于活动状态。

  1. 通过连接故障切换组 1 中的管理地址，在主 设备（或故障切换组 1 处于活动状态的设备）上启动 ASDM。

  2. 依次选择监控 > 故障切换 > 故障切换组 1，然后点击设为备用。

  3. 依次选择监控 > 故障 > 切换 故障切换组 2，然后点击设为备用。

ASDM 将自动重新连接到辅助设备上的故障切换组 1 IP 地址。
步骤 9

在包含主 ASA 逻辑设备的 Firepower 安全设备上，上传新的 FXOS 平台捆绑包映像和 ASA 软件映像：

注 

如果要升级到 FXOS 2.3.1 之前的版本，则在升级 FXOS 平台捆绑包软件之前，请不要将 ASA CSP 映像上传到安全设备。

  1. 连接到主 设备上的 Firepower 机箱管理器。

  2. 依次选择系统 > 更新。

    可用更新部分显示机箱上的可用软件包列表。

  3. 点击上传映像，可打开“上传映像”对话框。

  4. 点击选择文件，可导航到并选择想要上传的映像。

  5. 点击上传。

    所选软件包将上传到机箱。

  6. 对于某些软件映像，上传映像后，系统将显示一份最终用户许可协议。请按照系统提示接受这份最终用户许可协议。

步骤 10

在成功上传新的 FXOS 平台捆绑包映像后，在包含主 ASA 逻辑设备的 Firepower 安全设备上升级 FXOS 捆绑包：

  1. 单击要升级到的 FXOS 平台捆绑包所对应的升级图标。

    系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

  2. 单击是以确认要继续安装。

    FXOS 打开捆绑包，升级/重新加载组件。
步骤 11

Firepower 机箱管理器在升级期间将不可用。您可以使用 FXOS CLI 监控升级过程（请参阅监控升级进度）。

步骤 12

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 13

升级 ASA 逻辑设备映像：

  1. 选择逻辑设备。

    此时会打开逻辑设备页面以显示机箱上已配置的逻辑设备列表。

  2. 单击想要更新的逻辑设备对应的设置版本图标，打开更新映像版本对话框。

  3. 对于新版本 (New Version)，选择想要更新的软件版本。

  4. 点击确定。

步骤 14

升级过程完成后，确认应用程序在线且成功升级：

  1. 选择逻辑设备。

  2. 验证应用程序版本和运行状态。
步骤 15

如果故障切换组被配置为“启用抢占”，在抢占延迟过后，它们会在其指定设备上自动变为活动状态。如果故障切换组未被配置为“启用抢占”，则可以使用 监控 > 故障切换 > 故障切换组号 窗格使其在指定设备上恢复为活动状态。

使用 FXOS CLI 升级 FXOS 和 ASA 主用/主用故障切换对

每个机箱的升级过程最多可能需要 45 分钟。请相应规划您的升级活动。

开始之前

开始升级之前，请确保您已完成以下操作：

  • 您需要确定哪个设备是主设备：连接到 Firepower 安全设备上的 ASA 控制台，并输入 show failover 命令以查看设备的状态和优先级（主要或辅助）。

  • 下载要升级到的 FXOS 和 ASA 软件包（请参阅从 Cisco.com 下载软件）。

  • 备份您的 FXOS 和 ASA 配置。

  • 收集将软件映像下载到机箱所需的以下信息：

    • 您从其复制映像的服务器的 IP 地址和身份验证凭证。

    • 映像文件的完全限定名称。

过程

步骤 1

通过控制台端口（首选）或使用 SSH，连接到辅助 设备上的 FXOS CLI。

步骤 2

使两个故障切换组在主设备上均处于活动状态。

  1. 使用控制台连接或 Telnet 连接来连接至模块 CLI。

    connect module slot_number { console | telnet}

    要连接至不支持多个安全模块的设备的安全引擎，请使用 1 作为 slot_number 。

    示例:

    
Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>

  2. 连接到应用控制台。

    connect asa

    示例:

    
Firepower-module1> connect asa
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>

  3. 使两个故障切换组在主设备上均处于活动状态。

    enable

    默认情况下，启用密码为空。

    no failover active group 1

    no failover active group 2

    示例:

    asa> enable
Password: <blank>
asa# no failover active group 1
asa# no failover active group 2
步骤 3

退出应用控制台到 FXOS 模块 CLI。

输入 Ctrl-a, d
步骤 4

返回 FXOS CLI 的管理引擎层。

退出控制台：

  1. 输入 ~

    您将退出至 Telnet 应用。

  2. 要退出 Telnet 应用，请输入：

    telnet>quit

退出 Telnet 会话：

  1. 输入 Ctrl-], .
步骤 5

在包含辅助 ASA 逻辑设备的 Firepower 安全设备上，下载新的 FXOS 平台捆绑包映像和 ASA 软件映像：

  1. 连接到 FXOS CLI。

  2. 进入固件模式：

    scope firmware

  3. 下载 FXOS 平台捆绑包软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/ 路径/ image_name

    • scp://用户名@服务器/ 路径/ image_name

    • sftp://用户名@服务器/ 路径/ image_name

    • tftp://服务器: 端口号/ 路径/ image_name

  4. 要监控下载过程，请执行以下操作：

    scope download-task image_name

    show detail

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope firmware
Firepower-chassis /firmware # download image scp://user@192.168.1.1/images/fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware # scope download-task fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware/download-task # show detail
Download task:
    File Name: fxos-k9.2.3.1.58.SPA
    Protocol: scp
    Server: 192.168.1.1
    Userid:
    Path:
    Downloaded Image Size (KB): 853688
    State: Downloading
    Current Task: downloading image fxos-k9.2.3.1.58.SPA from 192.168.1.1(FSM-STAGE:sam:dme:FirmwareDownloaderDownload:Local)
步骤 6

成功下载新的 FXOS 平台捆绑包映像后，升级 FXOS 捆绑包：

  1. 如有必要，请返回到固件模式：

    top

    scope firmware

  2. 记下要安装的 FXOS 平台捆绑包的版本号：

    show package

  3. 进入自动安装模式：

    scope auto-install

  4. 安装 FXOS 平台捆绑包：

    install platform platform-vers version_number

    version_number 是您要安装的 FXOS 平台捆绑包的版本号，例如 2.3(1.58)。

  5. 系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

    输入yes ，确认您想要继续验证。

  6. 输入 yes 确认您想要继续安装，或者输入 no 取消安装。

    FXOS 打开捆绑包，升级/重新加载组件。

  7. 要监控升级流程，请参阅监控升级进度：

步骤 7

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 8

将新的 ASA 软件映像下载到机箱：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 进入应用软件模式：

    scope app-software

  3. 下载逻辑设备软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/路径

    • scp://用户名@服务器/路径

    • sftp://用户名@服务器/路径

    • tftp://服务器:端口号/路径

  4. 要监控下载过程，请执行以下操作：

    show download-task

  5. 要查看已下载的应用，请执行以下操作：

    up

    show app

    记下您下载的软件包的 ASA 版本。在后面的步骤中，您将需要使用准确的版本字符串来启用应用程序。

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope ssa
Firepower-chassis /ssa # scope app-software
Firepower-chassis /ssa/app-software # download image scp://user@192.168.1.1/images/cisco-asa.9.4.1.65.csp
Firepower-chassis /ssa/app-software # show download-task

Downloads for Application Software:
    File Name                      Protocol   Server               Userid          State
    ------------------------------ ---------- -------------------- --------------- -----
    cisco-asa.9.4.1.65.csp         Scp        192.168.1.1          user            Downloaded

Firepower-chassis /ssa/app-software # up

Firepower-chassis /ssa # show app

Application:
    Name       Version    Description Author     Deploy Type CSP Type    Is Default App
    ---------- ---------- ----------- ---------- ----------- ----------- --------------
    asa        9.4.1.41   N/A                    Native      Application No
    asa        9.4.1.65   N/A                    Native      Application Yes
步骤 9

升级 ASA 逻辑设备映像：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 将范围设置为您正在更新的安全模块：

    scope slotslot_number

  3. 将范围设置为 ASA 应用程序：

    对于 FXOS 2.3.1 及更低版本： scope app-instance asa

    对于 FXOS 2.4.1 及更高版本：scope app-instance asa instance_name

  4. 将入门版本设置为想要更新的版本：

    set startup-version version_number

  5. 提交配置：

    commit-buffer

    提交系统配置任务。应用映像已更新，应用重新启动。

步骤 10

要验证安全模块/安全引擎和任何已安装的应用程序的状态，请参阅确认安装。

步骤 11

使两个故障切换组在辅助 设备上均处于活动状态。

  1. 使用控制台连接或 Telnet 连接来连接至模块 CLI。

    connect module slot_number { console | telnet}

    要连接至不支持多个安全模块的设备的安全引擎，请使用 1 作为 slot_number 。

    示例:

    
Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>

  2. 连接到应用控制台。

    connect asa

    示例:

    
Firepower-module1> connect asa
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>

  3. 使两个故障切换组在辅助 设备上均处于活动状态。

    enable

    默认情况下，启用密码为空。

    failover active group 1

    failover active group 2

    示例:

    asa> enable
Password: <blank>
asa# failover active group 1
asa# failover active group 2
步骤 12

退出应用控制台到 FXOS 模块 CLI。

输入 Ctrl-a, d
步骤 13

返回 FXOS CLI 的管理引擎层。

退出控制台：

  1. 输入 ~

    您将退出至 Telnet 应用。

  2. 要退出 Telnet 应用，请输入：

    telnet>quit

退出 Telnet 会话：

  1. 输入 Ctrl-], .
步骤 14

在包含主 ASA 逻辑设备的 Firepower 安全设备上，下载新的 FXOS 平台捆绑包映像和 ASA 软件映像：

  1. 连接到 FXOS CLI。

  2. 进入固件模式：

    scope firmware

  3. 下载 FXOS 平台捆绑包软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/ 路径/ image_name

    • scp://用户名@服务器/ 路径/ image_name

    • sftp://用户名@服务器/ 路径/ image_name

    • tftp://服务器: 端口号/ 路径/ image_name

  4. 要监控下载过程，请执行以下操作：

    scope download-task image_name

    show detail

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope firmware
Firepower-chassis /firmware # download image scp://user@192.168.1.1/images/fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware # scope download-task fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware/download-task # show detail
Download task:
    File Name: fxos-k9.2.3.1.58.SPA
    Protocol: scp
    Server: 192.168.1.1
    Userid:
    Path:
    Downloaded Image Size (KB): 853688
    State: Downloading
    Current Task: downloading image fxos-k9.2.3.1.58.SPA from 192.168.1.1(FSM-STAGE:sam:dme:FirmwareDownloaderDownload:Local)
步骤 15

成功下载新的 FXOS 平台捆绑包映像后，升级 FXOS 捆绑包：

  1. 如有必要，请返回到固件模式：

    up

  2. 记下要安装的 FXOS 平台捆绑包的版本号：

    show package

  3. 进入自动安装模式：

    scope auto-install

  4. 安装 FXOS 平台捆绑包：

    install platform platform-vers version_number

    version_number 是您要安装的 FXOS 平台捆绑包的版本号，例如 2.3(1.58)。

  5. 系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

    输入 yes ，确认您想要继续验证。

  6. 输入 yes 确认您想要继续安装，或者输入 no 取消安装。

    FXOS 打开捆绑包，升级/重新加载组件。

  7. 要监控升级流程，请参阅监控升级进度：

步骤 16

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 17

将新的 ASA 软件映像下载到机箱：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 进入应用软件模式：

    scope app-software

  3. 下载逻辑设备软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/路径

    • scp://用户名@服务器/路径

    • sftp://用户名@服务器/路径

    • tftp://服务器:端口号/路径

  4. 要监控下载过程，请执行以下操作：

    show download-task

  5. 要查看已下载的应用，请执行以下操作：

    up

    show app

    记下您下载的软件包的 ASA 版本。在后面的步骤中，您将需要使用准确的版本字符串来启用应用程序。

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope ssa
Firepower-chassis /ssa # scope app-software
Firepower-chassis /ssa/app-software # download image scp://user@192.168.1.1/images/cisco-asa.9.4.1.65.csp
Firepower-chassis /ssa/app-software # show download-task

Downloads for Application Software:
    File Name                      Protocol   Server               Userid          State
    ------------------------------ ---------- -------------------- --------------- -----
    cisco-asa.9.4.1.65.csp         Scp        192.168.1.1          user            Downloaded

Firepower-chassis /ssa/app-software # up

Firepower-chassis /ssa # show app

Application:
    Name       Version    Description Author     Deploy Type CSP Type    Is Default App
    ---------- ---------- ----------- ---------- ----------- ----------- --------------
    asa        9.4.1.41   N/A                    Native      Application No
    asa        9.4.1.65   N/A                    Native      Application Yes
步骤 18

升级 ASA 逻辑设备映像：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 将范围设置为您正在更新的安全模块：

    scope slotslot_number

  3. 将范围设置为 ASA 应用程序：

    对于 FXOS 2.3.1 及更低版本： scope app-instance asa

    对于 FXOS 2.4.1 及更高版本：scope app-instance asa instance_name

  4. 将入门版本设置为想要更新的版本：

    set startup-version version_number

  5. 提交配置：

    commit-buffer

    提交系统配置任务。应用映像已更新，应用重新启动。

步骤 19

要验证安全模块/安全引擎和任何已安装的应用程序的状态，请参阅确认安装。

步骤 20

如果故障切换组被配置为“启用抢占”，在抢占延迟过后，它们会在其指定设备上自动变为活动状态。如果故障切换组未被配置为“启用抢占”，则可以使用监控 > 故障切换 > 故障切换组号窗格使其在指定设备上恢复为活动状态。

升级 FXOS 和 ASA 机箱间集群

使用 FXOS CLI 或 Firepower 机箱管理器在机箱间集群中的所有机箱上升级 FXOS 和 ASA。

使用 Firepower 机箱管理器升级 FXOS 和 ASA 机箱间集群

每个机箱的升级过程最多可能需要 45 分钟。请相应规划您的升级活动。

开始之前

开始升级之前，请确保您已完成以下操作：

过程

步骤 1

确定哪个机箱具有主设备。您将在最后升级此机箱：

  1. 连接到 Firepower 机箱管理器。

  2. 选择逻辑设备。

  3. 点击加号 (+) 以查看集群中包含的安全模块的属性。

  4. 确认主设备位于该机箱中。应存在集群角色设置为“主”的 ASA 实例。

步骤 2

连接到集群中没有主设备的机箱上的 Firepower 机箱管理器。

步骤 3

上传新的 FXOS 平台捆绑包映像和 ASA 软件映像：

注 

如果要升级到 FXOS 2.3.1 之前的版本，则在升级 FXOS 平台捆绑包软件之前，请不要将 ASA CSP 映像上传到安全设备。

  1. 在 Firepower 机箱管理器中，选择系统 > 更新。

    可用更新部分显示机箱上的可用软件包列表。

  2. 点击上传映像。

  3. 点击选择文件，可导航到并选择想要上传的映像。

  4. 点击上传。

    所选映像将上传到机箱。

  5. 等待映像成功上传，然后再继续操作。
步骤 4

为机箱上的所有安全模块禁用集群：

  1. 选择逻辑设备。

  2. 点击集群中包含的每个安全模块的禁用开关。

    集群运行状态更改为“不在集群内”。
步骤 5

升级 FXOS 捆绑包：

  1. 单击要升级到的 FXOS 平台捆绑包所对应的升级图标。

    系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

  2. 单击是以确认要继续安装。

    FXOS 打开捆绑包，升级/重新加载组件。
步骤 6

Firepower 机箱管理器在升级期间将不可用。您可以使用 FXOS CLI 监控升级过程（请参阅监控升级进度）。

步骤 7

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 8

在每个安全模块上升级 ASA 逻辑设备映像：

  1. 选择逻辑设备。

    此时会打开逻辑设备页面以显示机箱上已配置的逻辑设备列表。

  2. 单击想要更新的逻辑设备对应的设置版本图标，打开更新映像版本对话框。

  3. 对于新版本 (New Version)，选择想要更新的软件版本。

  4. 点击确定。

步骤 9

升级过程完成后，确认应用程序在线且成功升级：

  1. 选择逻辑设备。

  2. 验证应用程序版本和运行状态。
步骤 10

为机箱上的所有安全模块重新启用集群：

  1. 选择逻辑设备。

  2. 点击集群中包含的每个安全模块的启用开关。

    集群运行状态更改为“在集群内”。
步骤 11

对集群中没有主设备的所有剩余机箱重复步骤 2-10。
步骤 12

升级集群中没有主设备的所有机箱后，在具有主设备的机箱上重复步骤 2-10，要确保先在从属设备上禁用集群，最后是主设备。

系统将从先前升级的机箱之一中选择一个新的主设备。
步骤 13

在集群稳定之后，使用主设备上的 ASA 控制台在集群中的所有模块之间重新分发活动会话。

cluster redistribute vpn-sessiondb

使用 FXOS CLI 机箱管理器升级 FXOS 和 ASA 机箱间集群

每个机箱的升级过程最多可能需要 45 分钟。请相应规划您的升级活动。

开始之前

开始升级之前，请确保您已完成以下操作：

  • 下载要升级到的 FXOS 和 ASA 软件包（请参阅从 Cisco.com 下载软件）。

  • 备份您的 FXOS 和 ASA 配置。

  • 收集将软件映像下载到机箱所需的以下信息：

    • 您从其复制映像的服务器的 IP 地址和身份验证凭证。

    • 映像文件的完全限定名称。

过程

步骤 1

确定哪个机箱具有主设备。您将在最后升级此机箱：

  1. 连接到 FXOS CLI。

  2. 确认主设备位于该机箱中。应存在“集群角色”设置为“主”的 ASA 实例：

    scope ssa

    show app-instance

步骤 2

连接到集群中没有主设备的机箱上的 FXOS CLI。

步骤 3

将新的 FXOS 平台捆绑包映像下载到机箱：

  1. 进入固件模式：

    scope firmware

  2. 下载 FXOS 平台捆绑包软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/ 路径/ image_name

    • scp://用户名@服务器/ 路径/ image_name

    • sftp://用户名@服务器/ 路径/ image_name

    • tftp://服务器: 端口号/ 路径/ image_name

  3. 要监控下载过程，请执行以下操作：

    scope download-task image_name

    show detail

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope firmware
Firepower-chassis /firmware # download image scp://user@192.168.1.1/images/fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware # scope download-task fxos-k9.2.3.1.58.SPA
Firepower-chassis /firmware/download-task # show detail
Download task:
    File Name: fxos-k9.2.3.1.58.SPA
    Protocol: scp
    Server: 192.168.1.1
    Userid:
    Path:
    Downloaded Image Size (KB): 853688
    State: Downloading
    Current Task: downloading image fxos-k9.2.3.1.58.SPA from 192.168.1.1(FSM-STAGE:sam:dme:FirmwareDownloaderDownload:Local)
步骤 4

成功下载新的 FXOS 平台捆绑包映像后，为机箱上的所有安全模块禁用集群：

  1. 使用控制台连接或 Telnet 连接来连接至模块 CLI。

    connect module slot_number { console | telnet}

    要连接至不支持多个安全模块的设备的安全引擎，请使用 1 作为 slot_number 。

    示例:

    
Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>

  2. 连接到应用控制台。

    connect asa

    示例:

    
Firepower-module1> connect asa
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>

  3. 在其中一个安全模块上禁用集群：

    cluster group name

    no enable

    如果要在机箱及 ASA 上升级 FXOS，请保存配置，以便在机箱重新引导后将禁用集群：

    write memory

  4. 等待集群稳定；验证是否已创建所有备份会话。

    show cluster vpn-sessiondb summary

  5. 对此机箱上的每个安全模块重复步骤 4。
步骤 5

退出应用控制台到 FXOS 模块 CLI。

输入 Ctrl-a, d
步骤 6

返回 FXOS CLI 的管理引擎层。

退出控制台：

  1. 输入 ~

    您将退出至 Telnet 应用。

  2. 要退出 Telnet 应用，请输入：

    telnet>quit

退出 Telnet 会话：

  1. 输入 Ctrl-], .
步骤 7

升级 FXOS 捆绑包：

  1. 如有必要，请返回到固件模式：

    top

    scope firmware

  2. 记下要安装的 FXOS 平台捆绑包的版本号：

    show package

  3. 进入自动安装模式：

    scope auto-install

  4. 安装 FXOS 平台捆绑包：

    install platform platform-vers version_number

    version_number 是您要安装的 FXOS 平台捆绑包的版本号，例如 2.3(1.58)。

  5. 系统将首先验证想要安装的软件包。它会告知您当前已安装的应用程序与指定的 FXOS 平台软件包之间的所有不兼容问题。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。只要 ASA 版本在兼容性表中列为可升级版本，就可以忽略这些警告。

    输入 yes ，确认您想要继续验证。

  6. 输入 yes 确认您想要继续安装，或者输入 no 取消安装。

    FXOS 打开捆绑包，升级/重新加载组件。

  7. 要监控升级流程，请参阅监控升级进度：

步骤 8

成功升级所有组件后，验证安全模块/安全引擎和任何已安装的应用程序的状态（请参阅确认安装）。

步骤 9

将新的 ASA 软件映像下载到机箱：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 进入应用软件模式：

    scope app-software

  3. 下载逻辑设备软件映像：

    download image URL

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://用户名@服务器/路径

    • scp://用户名@服务器/路径

    • sftp://用户名@服务器/路径

    • tftp://服务器:端口号/路径

  4. 要监控下载过程，请执行以下操作：

    show download-task

  5. 要查看已下载的应用，请执行以下操作：

    up

    show app

    记下您下载的软件包的 ASA 版本。在后面的步骤中，您将需要使用准确的版本字符串来启用应用程序。

示例:

以下示例使用 SCP 协议复制映像： 

Firepower-chassis # scope ssa
Firepower-chassis /ssa # scope app-software
Firepower-chassis /ssa/app-software # download image scp://user@192.168.1.1/images/cisco-asa.9.4.1.65.csp
Firepower-chassis /ssa/app-software # show download-task

Downloads for Application Software:
    File Name                      Protocol   Server               Userid          State
    ------------------------------ ---------- -------------------- --------------- -----
    cisco-asa.9.4.1.65.csp         Scp        192.168.1.1          user            Downloaded

Firepower-chassis /ssa/app-software # up

Firepower-chassis /ssa # show app

Application:
    Name       Version    Description Author     Deploy Type CSP Type    Is Default App
    ---------- ---------- ----------- ---------- ----------- ----------- --------------
    asa        9.4.1.41   N/A                    Native      Application No
    asa        9.4.1.65   N/A                    Native      Application Yes
步骤 10

升级 ASA 逻辑设备映像：

  1. 进入安全服务模式：

    top

    scope ssa

  2. 将范围设置为您正在更新的安全模块：

    scope slotslot_number

  3. 将范围设置为 ASA 应用程序：

    对于 FXOS 2.3.1 及更低版本： scope app-instance asa

    对于 FXOS 2.4.1 及更高版本：scope app-instance asa instance_name

  4. 将入门版本设置为想要更新的版本：

    set startup-version version_number

  5. 提交配置：

    commit-buffer

    提交系统配置任务。应用映像已更新，应用重新启动。

步骤 11

要验证安全模块/安全引擎和任何已安装的应用程序的状态，请参阅确认安装。

步骤 12

在升级后的安全模块联机后，为机箱上的所有安全模块重新启用集群：

  1. 使用控制台连接或 Telnet 连接来连接至模块 CLI。

    connect module slot_number { console | telnet}

    要连接至不支持多个安全模块的设备的安全引擎，请使用 1 作为 slot_number 。

    示例:

    
Firepower# connect module 1 console
Telnet escape character is '~'.
Trying 127.5.1.1...
Connected to 127.5.1.1.
Escape character is '~'.

CISCO Serial Over LAN:
Close Network Connection to Exit

Firepower-module1>

  2. 连接到应用控制台。

    connect asa

    示例:

    
Firepower-module1> connect asa
Connecting to asa(asa1) console... hit Ctrl + A + D  to return to bootCLI
[...]
asa>

  3. 在其中一个安全模块上禁用集群：

    cluster group name

    enable

    write memory

  4. 对此机箱上的每个安全模块重复步骤 12。
步骤 13

退出应用控制台到 FXOS 模块 CLI。

输入 Ctrl-a, d
步骤 14

返回 FXOS CLI 的管理引擎层。

退出控制台：

  1. 输入 ~

    您将退出至 Telnet 应用。

  2. 要退出 Telnet 应用，请输入：

    telnet>quit

退出 Telnet 会话：

  1. 输入 Ctrl-], .
步骤 15

对集群中没有主设备的所有剩余机箱重复步骤 2-14。
步骤 16

升级集群中没有主设备的所有机箱后，在具有主设备的机箱上重复步骤 2-14，要确保先在从属设备上禁用集群，最后是主设备。

系统将从先前升级的机箱之一中选择一个新的主设备。
步骤 17

在集群稳定之后，使用主设备上的 ASA 控制台在集群中的所有模块之间重新分发活动会话。

cluster redistribute vpn-sessiondb

监控升级进度

您可以使用 FXOS CLI 监控升级过程：

过程

步骤 1

连接到 FXOS CLI。

步骤 2

输入 scope system 。

步骤 3

输入 show firmware monitor 。

步骤 4

等待所有组件（FPRM、交换矩阵互联和机箱）显示升级状态：就绪。

注 

升级 FPRM 组件后，系统将重启，然后继续升级其他组件。

示例

Firepower-chassis# scope system
Firepower-chassis /system # show firmware monitor 
FPRM:
    Package-Vers: 2.3(1.58)
    Upgrade-Status: Ready

Fabric Interconnect A:
    Package-Vers: 2.3(1.58)
    Upgrade-Status: Ready

Chassis 1:
    Server 1:
        Package-Vers: 2.3(1.58)
        Upgrade-Status: Ready
    Server 2:
        Package-Vers: 2.3(1.58)
        Upgrade-Status: Ready

确认安装

输入以下命令以验证安全模块/安全引擎和任何已安装的应用的状态：

过程

步骤 1

连接到 FXOS CLI。

步骤 2

输入 top 。

步骤 3

输入 scope ssa 。

步骤 4

输入 show slot 。

步骤 5

验证 Firepower 4100 系列设备上的安全引擎或 Firepower 9300 设备上安装的任何安全模块的管理状态是否为正常，且操作状态是否为联机。

示例:
步骤 6

输入 show app-instance 。

步骤 7

确认机箱上安装的任何逻辑设备的运行状态为联机，并且列出正确的版本。

如果此机箱位于集群中，则确认机箱中安装的所有安全模块的集群运行状态为“在集群内”。此外，确认主设备不在您要升级的机箱上，不应有任何集群角色设置为“主”的实例。

示例

Firepower-chassis# scope ssa
Firepower-chassis /ssa # show slot

Slot:
    Slot ID    Log Level Admin State  Oper State
    ---------- --------- ------------ ----------
    1          Info      Ok           Online
    2          Info      Ok           Online
    3          Info      Ok           Not Available
Firepower-chassis /ssa #
Firepower-chassis /ssa # show app-instance
App Name   Identifier Slot ID    Admin State Oper State       Running Version Startup Version Cluster State   Cluster Role
---------- ---------- ---------- ----------- ---------------- --------------- --------------- --------------- ------------
asa        asa1       1          Enabled     Online           9.10.0.85       9.10.0.85       Not Applicable  None
asa        asa2       2          Enabled     Online           9.10.0.85       9.10.0.85       Not Applicable  None
Firepower-chassis /ssa #

此文档是否有帮助?

Feedback反馈

联系我们