Cisco Firepower 4100/9300 FXOS Firepower 机箱管理器配置指南，2.11(1)

关于映像管理

Firepower 4100/9300 机箱使用的映像分为两个基本类型：

注	所有映像都可通过安全启动进行数字签名和验证。请勿以任何方式修改映像，否则系统会报告验证错误。

平台捆绑包 (Platform Bundle) - 平台捆绑包是一系列运行在管理引擎和安全模块/引擎上的多个独立映像。平台捆绑包是 FXOS软件包。
应用 (Application) - 应用是您想在安全模块/引擎的 Firepower 4100/9300 机箱上部署的软件映像。应用映像作为思科安全数据包文件 (CSP) 进行交付，一直存储在管理引擎上，直至在创建逻辑设备的过程中，或者在为稍后创建逻辑设备执行准备的过程中，再部署到安全模块/引擎中。您可以在管理引擎上存储同一个应用映像类型的多个不同版本。

注	如果您正在升级平台捆绑包映像和一个或多个应用映像，必须首先升级平台捆绑包。

注	如果要在设备中安装 ASA 应用，则可以删除现有应用 FTD 的映像，反之亦然。当您尝试删除所有 FTD 映像时，系统将拒绝至少一个映像删除，并显示一条错误消息 `无效操作，因为不会保留默认 FTD/ASA 应用。请选择新的默认 FTD 应用`。要删除所有 FTD 映像，您必须保留默认映像，删除其余映像，最后删除默认映像。

从 Cisco.com 下载映像

从 Cisco.com 下载 FXOS 和应用映像，以便将其上传到机箱。

开始之前

您必须有 Cisco.com 账户。

过程

步骤 1

使用网络浏览器导航至 http://www.cisco.com/go/firepower9300-software 或 http://www.cisco.com/go/firepower4100-software。

系统将在浏览器中打开 Firepower 4100/9300 机箱的软件下载页面：

步骤 2

查找适当的软件映像，然后将其下载到本地计算机。

将映像上传到安全设备

您可以将 FXOS 和应用映像上传到机箱。

开始之前

确保您要上传的映像在本地计算机上可用。

过程

步骤 1	依次选择系统 > 更新。 “可用更新”页面显示机箱上可用的 FXOS 平台捆绑包映像和应用映像列表。
步骤 2	点击上传映像，可打开“上传映像”对话框。
步骤 3	点击选择文件，可导航到并选择想要上传的映像。
步骤 4	点击上传。所选映像将上传到 Firepower 4100/9300 机箱。上传映像时，系统会显示进度条，指示上传完成百分比。
步骤 5	对于某些软件映像，上传映像后，系统将显示一份最终用户许可协议。请按照系统提示接受这份最终用户许可协议。

验证映像的完整性

将新的映像添加至 Firepower 4100/9300 机箱后，系统自动验证映像的完整性。如果需要，您可以使用以下过程手动验证映像的完整性。

过程

步骤 1

依次选择系统 > 更新。

“可用更新”页面显示机箱上可用的 FXOS 平台捆绑包映像和应用映像列表。

步骤 2

单击与您要验证映像相对应的验证 (Verify)（复选标记图标）。

系统将验证映像的完整性并在“映像完整性 (Image Integrity)”字段中显示状态。

升级 FXOS平台捆绑包

开始之前

从 Cisco.com 下载平台捆绑包软件映像（请参阅从 Cisco.com 下载映像），然后将此映像上传到 Firepower 4100/9300 机箱（请参阅将映像上传到安全设备）。

注	升级过程通常需要 20 到 30 分钟。如果要升级运行独立逻辑设备的 Firepower 9300 或 4100 系列安全设备，或者如果要升级运行机箱内群集的 Firepower 9300 安全设备，则升级期间流量不会通过该设备。如果要升级属于某机箱间群集的 Firepower 9300 或 4100 系列安全设备，则升级期间流量不会通过正在升级的设备。但是，该群集中的其他设备仍然会通过流量。

过程

步骤 1

依次选择系统 > 更新。

“可用更新”页面显示机箱上可用的 FXOS 平台捆绑包映像和应用映像列表。

步骤 2

单击想要升级到的 FXOS 平台捆绑包所对应的升级 (Upgrade)。

系统将首先验证想要安装的软件包。它会告知您当前已安装的应用与指定的 FXOS 平台软件包之间的所有不兼容。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。

步骤 3

单击是 (Yes)，确认您想要继续安装，或者单击否 (No) 取消安装。

FXOS打开捆绑包，升级/重新加载组件。

将逻辑设备软件映像下载到 Firepower 4100/9300 机箱

您可以使用 FTP、HTTP/HTTPS、SCP、SFTP 或 TFTP 将逻辑设备软件映像复制到 Firepower 4100/9300 机箱。

开始之前

收集将需要导入配置文件的以下信息：

您从其拷贝映像的服务器的 IP 地址和身份验证凭证
软件映像文件的完全限定名称

注	FXOS 2.8.1 及更高版本支持用于固件和应用映像下载的 HTTP/HTTPS 协议。

过程

步骤 1	进入安全服务模式： Firepower-chassis # scope ssa
步骤 2	进入应用软件模式： Firepower-chassis /ssa # scope app-software
步骤 3	下载逻辑设备软件映像： Firepower-chassis /ssa/app-software # download image `URL` 使用以下语法之一，为正在导入的文件指定 URL： ftp://`username`@`hostname`/`path` http://`username`@`hostname`/`path` https://`username`@`hostname`/`path` scp://`username`@`hostname`/`path` sftp://`username`@`hostname`/`path` tftp://`hostname`:`port-num`/`path`
步骤 4	要监控下载过程，请执行以下操作： Firepower-chassis /ssa/app-software # show download-task
步骤 5	要查看已下载的应用，请执行以下操作： Firepower-chassis /ssa/app-software # up Firepower-chassis /ssa # show app
步骤 6	要查看特定应用的详细信息，请执行以下操作： Firepower-chassis /ssa # scope app `application_type` `image_version` Firepower-chassis /ssa/app # show expand

示例

以下示例使用 SCP 协议复制映像：

Firepower-chassis # scope ssa
Firepower-chassis /ssa # scope app-software
Firepower-chassis /ssa/app-software # download image scp://user@192.168.1.1/images/cisco-asa.9.4.1.65.csp
Firepower-chassis /ssa/app-software # show download-task

Downloads for Application Software:
    File Name                      Protocol   Server               Userid          State
    ------------------------------ ---------- -------------------- --------------- -----
    cisco-asa.9.4.1.65.csp         Scp        192.168.1.1          user            Downloaded

Firepower-chassis /ssa/app-software # up

Firepower-chassis /ssa # show app

Application:
    Name       Version    Description Author     Deploy Type CSP Type    Is Default App
    ---------- ---------- ----------- ---------- ----------- ----------- --------------
    asa        9.4.1.41   N/A                    Native      Application No
    asa        9.4.1.65   N/A                    Native      Application Yes

Firepower-chassis /ssa # scope app asa 9.4.1.65
Firepower-chassis /ssa/app # show expand

Application:
    Name: asa
    Version: 9.4.1.65
    Description: N/A
    Author:
    Deploy Type: Native
    CSP Type: Application
    Is Default App: Yes

    App Attribute Key for the Application:
        App Attribute Key Description
        ----------------- -----------
        cluster-role      This is the role of the blade in the cluster
        mgmt-ip           This is the IP for the management interface
        mgmt-url          This is the management URL for this application

    Net Mgmt Bootstrap Key for the Application:
        Bootstrap Key Key Data Type Is the Key Secret Description
        ------------- ------------- ----------------- -----------
        PASSWORD      String        Yes               The admin user password.

    Port Requirement for the Application:
        Port Type: Data
        Max Ports: 120
        Min Ports: 1

        Port Type: Mgmt
        Max Ports: 1
        Min Ports: 1

        Mgmt Port Sub Type for the Application:
            Management Sub Type
            -------------------
            Default

        Port Type: Cluster
        Max Ports: 1
        Min Ports: 0
Firepower-chassis /ssa/app #

更新逻辑设备的映像版本

使用此程序将 ASA 应用映像升级到新版本，或将 FTD 应用映像设为将在灾难恢复场景中使用的新启动版本。

当您使用 Firepower 机箱管理器或 FXOS CLI 更改 FTD 逻辑设备上的启动版本时，应用不会立即升级至新版本。逻辑设备启动版本是 FTD 在灾难恢复场景中重新安装到的目标版本。在初始创建 FTD逻辑设备后，您将无法使用 Firepower 机箱管理器或 FXOS CLI升级 FTD逻辑设备。要升级 FTD逻辑设备，您必须使用 FMC。有关详细信息，请参阅《系统发行说明》：http://www.cisco.com/c/en/us/support/security/defense-center/products-release-notes-list.html。

另请注意，FTD 逻辑设备的任何更新都不会反映在 Firepower 机箱管理器的逻辑设备 (Logical Devices) > 编辑 (Edit) 和系统 (System) > 更新 (Updates) 页面上。这些页面中显示的版本是指创建 FTD逻辑设备所用的软件版本（CSP 映像）。

注	当您为 FTD 设置启动版本时，应用的启动版本会更新。因此，您必须手动重新安装应用或重新初始化刀片以应用所选版本。此程序不等同于升级或降级 FTD 软件，而是完全重新安装（重新映像）。因此，应用会被删除，现有配置会丢失。

在您更改 ASA 逻辑设备上的启动版本时，ASA 会升级至该版本并恢复所有配置。根据您的配置，使用以下工作流程来更改 ASA 启动版本：

注	当您为 ASA 设置启动版本时，应用会自动重新启动。此程序相当于升级或降级 ASA 软件（保留现有配置）。

ASA 高可用性 -

更改备用设备上的逻辑设备映像版本。
激活备用设备。
更改另一台设备上的应用版本。

ASA 机箱间群集 -

更改数据设备上的启动版本。
将数据设备设置为控制设备。
更改原始控制设备（现在的数据设备）上的启动版本。

开始之前

从 Cisco.com 下载要用于逻辑设备的应用映像（请参阅从 Cisco.com 下载映像），然后将该映射上传到 Firepower 4100/9300 机箱（请参阅将映像上传到安全设备）。

如果您正在升级平台捆绑包映像和一个或多个应用映像，必须首先升级平台捆绑包。

过程

步骤 1	选择逻辑设备打开“逻辑设备”页面。 “逻辑设备”页面显示在机箱上配置的逻辑设备列表。如果尚未配置任何逻辑设备，则系统将显示一条表明此情况的消息。
步骤 2	单击想要更新的逻辑设备对应的更新版本 (Update Version)，可打开更新映像版本 (Update Image Version) 对话框。
步骤 3	对于新版本，选择软件版本。
步骤 4	单击 OK。

固件升级

有关在您的 Firepower 4100/9300 机箱上升级固件的信息，请参阅《思科 Firepower 4100/9300 FXOS 固件升级指南》。

手动降级到版本 2.0.1 或更低版本

按照以下 CLI 步骤，在安全模块上手动降级 CIMC 映像。

注	此过程专门用于从版本 2.1.1 或更高版本降级到版本 2.0.1 或更低版本。

开始之前

确保要降级的应用程序映像已下载到 Firepower 4100/9300 机箱（请参阅从 Cisco.com 下载映像和将逻辑设备软件映像下载到 Firepower 4100/9300 机箱）。

过程

步骤 1

在降级 CIMC 映像之前，请禁用映像版本比较。

按照本示例中的步骤清除默认平台映像版本：

示例:

firepower# scope org
firepower /org # scope fw-platform-pack default
firepower /org/fw-platform-pack # set platform-bundle-version ""
Warning: Set platform version to empty will result software/firmware incompatibility issue.
firepower /org/fw-platform-pack* # commit-buffer
firepower /org/fw-platform-pack #

步骤 2

降级模块映像。

按照本示例中的步骤更改 CIMC 映像：

示例:

firepower# scope server 1/1
firepower /chassis/server # scope cimc
firepower /chassis/server/cimc # update firmware <version_num>
firepower /chassis/server/cimc* # activate firmware <version_num>
firepower /chassis/server/cimc* # commit-buffer
firepower /chassis/server/cimc #

根据需要重复此步骤，以更新其他模块。

步骤 3

安装新的固件捆绑包。

按照本示例中的步骤安装降级映像：

示例:

firepower# scope firmware
firepower /firmware # scope auto-install
firepower /firmware/auto-install # install platform platform-vers <version_num>
The currently installed FXOS platform software package is <version_num>

WARNING: If you proceed with the upgrade, the system will reboot.

This operation upgrades firmware and software on Security Platform Components
Here is the checklist of things that are recommended before starting Auto-Install
(1) Review current critical/major faults
(2) Initiate a configuration backup
Do you want to proceed? (yes/no):

下一步做什么

您可以在固件/自动安装模式下使用 show fsm status expand 命令来监控安装过程。

非歧视性语言

当地语言翻译版本说明

Book Title

Cisco Firepower 4100/9300 FXOS Firepower 机箱管理器配置指南，2.11(1)

Chapter Title

映像管理

Results

Chapter: 映像管理

映像管理

关于映像管理

从 Cisco.com 下载映像

开始之前

过程

将映像上传到安全设备

开始之前

过程

验证映像的完整性

过程

升级 FXOS平台捆绑包

开始之前

过程

将逻辑设备软件映像下载到 Firepower 4100/9300 机箱

开始之前

过程

示例

更新逻辑设备的映像版本

开始之前

过程

固件升级

手动降级到版本 2.0.1 或更低版本

开始之前

过程

示例:

示例:

示例:

下一步做什么

此文档是否有帮助?

联系我们