思科 Firepower 4100/9300 FXOS CLI 配置指南，2.10(1)

数据包捕获

数据包捕获工具是一项宝贵资产，可用于调试连接和配置问题，了解通过 Firepower 4100/9300 机箱的流量。您可以使用数据包捕获工具记录通过 Firepower 4100/9300 机箱上面向特定接口的流量。

您还可以创建多个数据包捕获会话，每个会话都可以捕获多个接口上的流量。对于包含在数据包捕获会话中的每个接口，将创建单独的数据包捕获 (PCAP) 文件。

背板端口映射

Firepower 4100/9300 机箱对内部背板端口使用以下映射：


安全模块	端口映射	说明
安全模块 1/安全引擎	Ethernet1/9	内部数据 0/0
安全模块 1/安全引擎	Ethernet1/10	内部数据 0/1
安全模块 2	Ethernet1/11	内部数据 0/0
安全模块 2	Ethernet1/12	内部数据 0/1
安全模块 3	Ethernet1/13	内部数据 0/0
安全模块 3	Ethernet1/14	内部数据 0/1

数据包捕获准则和限制

数据包捕获工具存在以下限制：

捕获速度最多达到 100 Mbps。
即使没有足够的存储空间来运行数据包捕获会话，依然可以创建数据包捕获会话。在开始数据包捕获会话之前，您应验证您有足够的存储空间。
对于单宽 4x100Gbps 或 2x100Gbps 网络模块（部件号分别为 FPR-NM-4X100G 和 FPR-NM-2X100G）上的数据包捕获会话，如果模块管理状态被设为关 (off)，则捕获会话会自动禁用并出现“状态原因：未知错误。”(Oper State Reason: Unknown Error.)。您必须在管理状态被再次设为开 (on) 后重新启动捕获会话。

对于所有其他网络模块，数据包捕获会话会在模块管理状态更改期间继续。
不支持多个活动数据包捕获会话。
仅在内部交换机的入口阶段进行捕获。
对于内部交换机无法理解的数据包（例如，安全组标记和网络服务报头数据包），过滤器不起作用。
即使您在一个或多个父接口上设有多个子接口，针对每个会话也只可捕获一个子接口的数据包。
无法捕获整个 EtherChannel 或 EtherChannel 子接口的数据包。然而，对于分配至逻辑设备的 EtherChannel，可以捕获 EtherChannel 每个成员接口上的数据包。如果分配子接口而不是父接口，则无法捕获成员接口上的数据包。
当捕获会话仍处于活动状态时，您无法复制或导出 PCAP 文件。
删除数据包捕获会话时，与此会话相关的所有数据包捕获文件也将被删除。

创建或编辑数据包捕获会话

过程

步骤 1

进入数据包捕获模式：

Firepower-chassis # scope packet-capture

步骤 2

创建过滤器；请参阅配置数据包捕获的过滤器。

可以将过滤器应用于数据包捕获会话中包含的任何接口。

步骤 3

要创建或编辑数据包捕获会话：

Firepower-chassis /packet-capture # enter session session_name

步骤 4

指定要用于此数据包捕获会话的缓冲区大小：

Firepower-chassis /packet-capture/session* # set session-memory-usage session_size_in_megabytes

指定的缓冲区大小必须介于 1 和 2048 MB 之间。

步骤 5

指定要为此数据包捕获会话捕获的数据包长度：

Firepower-chassis /packet-capture/session* # set session-pcap-snaplength session_snap_length_in_bytes

指定的 Snap 长度必须在 64 到 9006 个字节之间。如果未配置会话 Snap 长度，则默认的捕获长度为 1518 个字节。

步骤 6

指定此数据包捕获会话中应包含的物理源端口。

您可以从多个端口捕获，也可以在同一数据包捕获会话期间同时从物理端口和应用端口捕获。将为会话中包含的每个端口创建单独的数据包捕获文件。无法捕获整个 EtherChannel 的数据包。然而，对于分配至逻辑设备的 EtherChannel，可以捕获 EtherChannel 每个成员接口上的数据包。如果分配子接口而不是父 EtherChannel，则无法捕获成员接口上的数据包。

注	要从数据包捕获会话中删除端口，请使用 delete 代替下面所列命令中的 create 。

指定物理端口。

Firepower-chassis /packet-capture/session* # create {phy-port | phy-aggr-port} port_id

示例:


Firepower-chassis /packet-capture/session* # create phy-port Ethernet1/1
Firepower-chassis /packet-capture/session/phy-port* #

捕获子接口上的数据包。

Firepower-chassis /packet-capture/session/phy-port* # set subinterface id

即使您在一个或多个父接口上设有多个子接口，针对每个捕获会话也只可捕获一个子接口的数据包。不支持 Etherchannel 的子接口。如果系统也将父接口分配至实例，您可以选择父接口或子接口；您无法同时选择两者。
示例:
```
Firepower-chassis /packet-capture/session/phy-port* # set subinterface 100
Firepower-chassis /packet-capture/session/phy-port* # 
```

对于容器实例，请指定容器实例名称。

Firepower-chassis /packet-capture/session/phy-port* # set app-identifier instance_name

示例:


Firepower-chassis /packet-capture/session/phy-port* # set app-identifier ftd-instance1
Firepower-chassis /packet-capture/session/phy-port* #

指定应用类型。

Firepower-chassis /packet-capture/session/phy-port* # set app name

示例:


Firepower-chassis /packet-capture/session/phy-port* # set app ftd
Firepower-chassis /packet-capture/session/phy-port* #

(可选) 应用所需的过滤器。

Firepower-chassis /packet-capture/session/phy-port* # set {source-filter} filtername

注	要从端口删除过滤器，请使用 set source-filter "" 。

根据需要重复上述步骤，添加所需的所有端口。

步骤 7

指定此数据包捕获会话中应包含的应用源端口。

您可以从多个端口捕获，也可以在同一数据包捕获会话期间同时从物理端口和应用端口捕获。将为会话中包含的每个端口创建单独的数据包捕获文件。

注	要从数据包捕获会话中删除端口，请使用 delete 代替下面所列命令中的 create 。

指定应用端口。

Firepower-chassis /packet-capture/session* # create app_port module_slot link_name interface_name app_name

Syntax Description


module_slot	在其中安装了应用程序的安全模块。
link_name	引用接口的任何用户描述性名称，例如，link1、inside_port1 等。
interface_name	连接到需要捕获数据包的应用程序的接口，例如，Ethernet1/1、Ethernet2/2
app_name	安装在模块 -ftd、asa 上的应用程序

对于容器实例，请指定容器实例名称。

Firepower-chassis /packet-capture/session/app-port* # set app-identifier instance_name

示例:


Firepower-chassis /packet-capture/session/app-port* # set app-identifier ftd-instance1
Firepower-chassis /packet-capture/session/app-port* #

Syntax Description


instance_name	需要数据包捕获的应用程序实例的名称，即本地或容器

(可选) 应用所需的过滤器。

Firepower-chassis /packet-capture/session/phy-port* # set {source-filter} filtername

Syntax Description


filtername	数据包捕获范围下“create filter”命令的过滤器名称

注	要从端口删除过滤器，请使用 set source-filter "" 。

根据需要重复上述步骤，添加所需的所有应用端口。

步骤 8

如果想要现在开始数据包捕获会话：

Firepower-chassis /packet-capture/session* # enable

默认情况下，新建的数据包捕获会话处于禁用状态。提交更改后，明确启用会话会激活数据包捕获会话。如果有其他会话正处于活动状态，启用会话将生成错误。您必须禁用已处于活动状态的数据包捕获会话，才能启用此会话。

步骤 9

将任务提交到系统配置：

Firepower-chassis /packet-capture/session* # commit-buffer

如果已启用数据包捕获会话，系统将开始捕获数据包。要从会话下载 PCAP 文件，您需要先停止捕获。

示例

Firepower-chassis# scope packet-capture 
Firepower-chassis packet-capture # create session asa1inside
Firepower-chassis packet-capture/session # set session-memory-usage 256
Firepower-chassis packet-capture/session* # create phy-port Ethernet3/1
Firepower-chassis packet-capture/session* # create phy-aggr-port Ethernet2/1/1
Firepower-chassis packet-capture/session* # create app-port 1 link1 Ethernet 1/1 asa
Firepower-chassis packet-capture/session* # exit
Firepower-chassis packet-capture* # create filter interface1vlan100
Firepower-chassis packet-capture/filter* # set ivlan 100
Firepower-chassis packet-capture/filter* # set srcIP 6.6.6.6
Firepower-chassis packet-capture/filter* # set srcPort 80
Firepower-chassis packet-capture/filter* # set destIP 10.10.10.10
Firepower-chassis packet-capture/filter* # set destPort 5050
Firepower-chassis packet-capture/filter* # exit
Firepower-chassis packet-capture/session* # scope phy-port Ethernet3/1
Firepower-chassis packet-capture/session/phy-port* # set src-filter interface1vlan100
Firepower-chassis packet-capture/session/phy-port* # exit
Firepower-chassis packet-capture/session* # scope app-port 1 link1 Ethernet1/1 asa
Firepower-chassis packet-capture/session/app-port* # set src-filter interface1vlan100
Firepower-chassis packet-capture/session/app-port* # exit
Firepower-chassis packet-capture/session* # enable
Firepower-chassis packet-capture/session* # commit-buffer
Firepower-chassis packet-capture/session #

配置数据包捕获的过滤器

您可以创建过滤器来限制数据包捕获会话中包含的流量。在创建数据包捕获会话时，您可以选择哪些接口应使用特定过滤器。

注	如果您修改或删除已应用于当前正在运行的数据包捕获会话的过滤器，那么在您禁用并重新启用该会话后，更改才会生效。

过程

步骤 1

进入数据包捕获模式：

Firepower-chassis # scope packet-capture

步骤 2

要创建新的数据包捕获过滤器：

Firepower-chassis /packet-capture # create filter filter_name

要编辑现有的数据包捕获过滤器：

Firepower-chassis /packet-capture # enter filter filter_name

要删除现有的数据包捕获过滤器：

Firepower-chassis /packet-capture # delete filter filter_name

步骤 3

通过设置一个或多个过滤器属性，指定过滤器的详细信息：

Firepower-chassis /packet-capture/filter* # set <filterprop filterprop_value

注	您可以使用 IPv4 或 IPv6 地址过滤，但无法在同一数据包捕获会话中同时过滤这两类地址。

表 1. 支持的过滤器属性
ivlan	内部 VLAN ID （进入端口时的数据包 VLAN）
ovlan	外部 VLAN ID（Firepower 4100/9300 机箱添加的 VLAN）
srcip	源 IP 地址 (IPv4)
destip	目的 IP 地址 (IPv4)
srcipv6	源 IP 地址 (IPv6)
destipv6	目的 IP 地址 (IPv6)
srcport	源端口号
destport	目的端口号
protocol	IP 协议 [IANA 定义的协议值，采用十进制格式]
ethertype	以太网协议类型 [IANA 定义的以太网协议类型值，采用十进制格式。例如：IPv4 = 2048，IPv6 = 34525，ARP = 2054，SGT = 35081]
srcmac	源 Mac 地址
destmac	目的 MAC 地址

示例

Firepower-chassis# scope packet-capture 
Firepower-chassis packet-capture # create filter interface1vlan100
Firepower-chassis packet-capture/filter* # set ivlan 100
Firepower-chassis packet-capture/filter* # set srcip 6.6.6.6
Firepower-chassis packet-capture/filter* # set srcport 80
Firepower-chassis packet-capture/filter* # set destip 10.10.10.10
Firepower-chassis packet-capture/filter* # set destport 5050
Firepower-chassis packet-capture/filter* # commit-buffer

启动和停止数据包捕获会话

过程

步骤 1

进入数据包捕获模式：

Firepower-chassis # scope packet-capture

步骤 2

输入您要启动或停止数据包捕获会话的范围：

Firepower-chassis /packet-capture # enter session session_name

步骤 3

要启动数据包捕获会话：

Firepower-chassis /packet-capture/session* # enable [append | overwrite]

注	您无法在另一个会话运行时启动数据包捕获会话。

在数据包捕获会话运行时，单个 PCAP 文件的文件大小将随流量捕获而增加。一旦达到缓冲区大小限制，系统将开始丢弃数据包，您将会看到“丢弃计数 (Drop Count)”字段数值增加。

步骤 4

要停止数据包捕获会话：

Firepower-chassis /packet-capture/session* # disable

步骤 5

将任务提交到系统配置：

Firepower-chassis /packet-capture/session* # commit-buffer

如果已启用数据包捕获会话，会话中所包含的接口的 PCAP 文件将开始收集流量。如果会话配置为覆盖会话数据，现有的 PCAP 数据将会擦除。如果不这样配置，数据将被附加到现有文件（如有）。

示例

Firepower-chassis# scope packet-capture 
Firepower-chassis packet-capture # scope session asa1inside
Firepower-chassis packet-capture/session # enable append
Firepower-chassis packet-capture/session* # commit-buffer
Firepower-chassis packet-capture/session #

下载数据包捕获文件

您可将数据包捕获 (PCAP) 文件从会话下载到本地计算机，以便使用网络数据包分析器分析这些文件。

PCAP 文件将存储到 workspace://packet-capture 目录，并使用以下命名约定：

workspace://packet-capture/session-<id>/<session-name>-<interface-name>.pcap

过程

要从 Firepower 4100/9300 机箱复制 PCAP 文件：

注	您应先停止数据包捕获会话，然后从该会话下载 PCAP 文件。

连接到本地管理：

Firepower-chassis # connect localmgmt
复制 PCAP 文件：

# copy pcap_file copy_destination

示例

Firepower-chassis# connect localmgmt 
# copy workspace:/packet-capture/session-1/test-ethernet-1-1-0.pcap scp://user@10.10.10.1:/workspace/

删除数据包捕获会话

如果单个数据包捕获会话当前未运行，则可将其删除，或者可以删除所有不活动的数据包捕获会话。

过程

步骤 1	进入数据包捕获模式： Firepower-chassis # scope packet-capture
步骤 2	要删除特定的数据包捕获会话： Firepower-chassis /packet-capture # delete session `session_name`
步骤 3	要删除所有不活动的数据包捕获会话： Firepower-chassis /packet-capture # delete-all-sessions
步骤 4	将任务提交到系统配置： Firepower-chassis /packet-capture* # commit-buffer

示例

Firepower-chassis# scope packet-capture 
Firepower-chassis packet-capture # delete session asa1inside
Firepower-chassis packet-capture* # commit-buffer
Firepower-chassis packet-capture #

测试网络连接

开始之前

要使用主机名或 IPv4 地址 ping 网络中的另一设备，以此来测试基本网络连接，请使用 ping 命令。要使用主机名或 IPv6 地址 ping 网络上中的另一设备，请使用 ping6 命令。

要使用主机名或 IPv4 地址跟踪网络中另一设备的路由，请使用 traceroute 命令。要使用主机名或 IPv6 地址跟踪网络中另一设备的路由，请使用 traceroute6 命令。

ping 和 ping6 命令可在 local-mgmt 模式下使用。
ping 命令还可在 module 模式下使用。
traceroute 和 traceroute6 命令可在 local-mgmt 模式下使用。
traceroute 命令还可在 module 模式下使用。

过程

步骤 1	通过输入以下命令之一连接到 `local-mgmt` 或 `module` 模式： connect local-mgmt connect module `module-ID` `{` console `\|` telnet`}` 示例: `FP9300-A# connect local-mgmt FP9300-A(local-mgmt)#`
步骤 2	使用主机名或 IPv4 地址 ping 网络中的另一设备，以此来测试基本网络连接： ping {`hostname` \| `IPv4_address` } `[` count `number_packets` `]` `\|` `[` deadline `seconds` `]` `\|` `[` interval `seconds` `]` `\|` `[` packet-size `bytes` `]` 示例: 此示例演示如何 ping 连接网络中的另一设备十二次： FP9300-A(local-mgmt)# ping 198.51.100.10 count 12 PING 198.51.100.10 (198.51.100.10) from 203.0.113.5 eth0: 56(84) bytes of data. 64 bytes from 198.51.100.10: icmp_seq=1 ttl=61 time=0.264 ms 64 bytes from 198.51.100.10: icmp_seq=2 ttl=61 time=0.219 ms 64 bytes from 198.51.100.10: icmp_seq=3 ttl=61 time=0.234 ms 64 bytes from 198.51.100.10: icmp_seq=4 ttl=61 time=0.205 ms 64 bytes from 198.51.100.10: icmp_seq=5 ttl=61 time=0.216 ms 64 bytes from 198.51.100.10: icmp_seq=6 ttl=61 time=0.251 ms 64 bytes from 198.51.100.10: icmp_seq=7 ttl=61 time=0.223 ms 64 bytes from 198.51.100.10: icmp_seq=8 ttl=61 time=0.221 ms 64 bytes from 198.51.100.10: icmp_seq=9 ttl=61 time=0.227 ms 64 bytes from 198.51.100.10: icmp_seq=10 ttl=61 time=0.224 ms 64 bytes from 198.51.100.10: icmp_seq=11 ttl=61 time=0.261 ms 64 bytes from 198.51.100.10: icmp_seq=12 ttl=61 time=0.261 ms --- 198.51.100.10 ping statistics --- 12 packets transmitted, 12 received, 0% packet loss, time 11104ms rtt min/avg/max/mdev = 51.005/51.062/51.164/0.064 ms FP9300-A(local-mgmt)#
步骤 3	使用主机名或 IPv4 地址跟踪网络中另一设备的路由： traceroute `{` `hostname` `\|` `IPv4_address}` 示例: `FP9300-A(local-mgmt)# traceroute 198.51.100.10 traceroute to 198.51.100.10 (198.51.100.10), 30 hops max, 40 byte packets 1 198.51.100.57 (198.51.100.57) 0.640 ms 0.737 ms 0.686 ms 2 net1-gw1-13.cisco.com (198.51.100.101) 2.050 ms 2.038 ms 2.028 ms 3 net1-sec-gw2.cisco.com (198.51.100.201) 0.540 ms 0.591 ms 0.577 ms 4 net1-fp9300-19.cisco.com (198.51.100.108) 0.336 ms 0.267 ms 0.289 ms FP9300-A(local-mgmt)#`
步骤 4	（可选）输入 exit 退出 `local-mgmt` 模式并返回到顶级模式。

管理接口状态故障排除

在初始化和配置期间，如果您怀疑管理接口由于某种原因未打开（例如，无法访问机箱管理器），请使用 local-mgmt shell 中的 show mgmt-port 命令来确定管理接口的状态。

注	请勿在 `fxos` shell 中使用 show interface brief 命令，因为它当前显示的信息不正确。

过程

步骤 1

通过输入以下命令连接到 local-mgmt 模式：

connect local-mgmt

示例:

firepower# connect local-mgmt
firepower(local-mgmt)#

步骤 2

使用 show mgmt-port 命令确定管理接口的状态。

示例:

firepower(local-mgmt)# show mgmt-port 
eth0      Link encap:Ethernet  HWaddr b0:aa:77:2f:f0:a9  
          inet addr:10.89.5.14  Bcast:10.89.5.63  Mask:255.255.255.192
          inet6 addr: fe80::b2aa:77ff:fe2f:f0a9/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:3210912 errors:0 dropped:0 overruns:0 frame:0
          TX packets:705434 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:1648941394 (1.5 GiB)  TX bytes:138386379 (131.9 MiB)

firepower(local-mgmt)#

您还可以使用 show mgmt-ip-debug 命令；但它会生成大量的接口配置信息。

确定端口通道状态

您可以按照以下步骤来确定当前定义的端口通道的状态。

过程

步骤 1	通过输入以下命令进入 `/eth-uplink/fabric` 模式： scope eth-uplink scope fabric `{` a `\|` b`}` 示例: `FP9300-A# scope eth-uplink FP9300-A /eth-uplink # scope fabric a FP9300-A /eth-uplink/fabric #`
步骤 2	输入 show port-channel 命令以显示当前的端口通道列表以及每个通道的管理状态和运行状态。示例: `FP9300-A /eth-uplink/fabric # show port-channel Port Channel: Port Channel Id Name Port Type Admin State Oper State State Reason --------------- ---------------- ------------------ ----- ------ ---------------- ------------ 10 Port-channel10 Data Enabl ed Failed No operational members 11 Port-channel11 Data Enabl ed Failed No operational members 12 Port-channel12 Data Disab led Admin Down Administratively down 48 Port-channel48 Cluster Enabl ed Up FP9300-A /eth-uplink/fabric #`
步骤 3	通过输入以下命令进入 `/port-channel` 模式，以显示各个端口通道和端口信息： scope port-channel `ID` 示例: `FP9300-A /eth-uplink/fabric/port-channel # top FP9300-A# connect fxos Cisco Firepower Extensible Operating System (FX-OS) Software TAC support: http://www.cisco.com/tac Copyright (c) 2002-2017, Cisco Systems, Inc. All rights reserved. The copyrights to certain works contained in this software are owned by other third parties and used and distributed under license. <--- remaining lines removed for brevity ---> FP9300-A(fxos)#`
步骤 4	输入 show 命令以显示指定端口通道的状态信息。el. 示例: `FP9300-A /eth-uplink/fabric/port-channel # show Port Channel: Port Channel Id Name Port Type Admin State Oper State State Reason --------------- ---------------- ------------------ ----- ------ ---------------- ------------ 10 Port-channel10 Data Enabl ed Failed No operational members FP9300-A /eth-uplink/fabric/port-channel #`
步骤 5	输入 show member-port 命令以显示端口通道成员端口的状态信息。示例: `FP9300-A /eth-uplink/fabric/port-channel # show member-port Member Port: Port Name Membership Oper State State Reas on --------------- ------------------ ---------------- ---------- -- Ethernet2/3 Suspended Failed Suspended Ethernet2/4 Suspended Failed Suspended FP9300-A /eth-uplink/fabric/port-channel #` 除非已将端口通道分配到逻辑设备，否则不会显示相关信息。如果从逻辑设备中移除端口通道或逻辑设备被删除，该端口通道将恢复为“暂停”状态。
步骤 6	要查看其他端口通道和 LACP 信息，请通过输入以下命令退出 `/eth-uplink/fabric/port-channel` 模式并进入 `fxos` 模式： top connect fxos 示例:
步骤 7	输入 show port-channel summary 命令以显示当前端口通道的摘要信息。示例: FP9300-A(fxos)# show port-channel summary Flags: D - Down P - Up in port-channel (members) I - Individual H - Hot-standby (LACP only) s - Suspended r - Module-removed S - Switched R - Routed U - Up (port-channel) M - Not in use. Min-links not met ------------------------------------------------------------- ------------------- Group Port- Type Protocol Member Ports Channel ------------------------------------------------------------- ------------------- 10 Po10(SD) Eth LACP Eth2/3(s) Eth2/4(s) 11 Po11(SD) Eth LACP Eth2/1(s) Eth2/2(s) 12 Po12(SD) Eth LACP Eth1/4(D) Eth1/5(D) 48 Po48(SU) Eth LACP Eth1/1(P) Eth1/2(P) 其他 show port-channel 和 show lacp 命令可在 `fxos` 模式下使用。您可以使用这些命令来显示各种端口通道和 LACP 信息，例如容量、流量、计数器和使用率。

下一步做什么

有关创建端口通道的信息，请参阅添加 EtherChannel（端口通道）。

从软件故障中恢复

开始之前

在阻止系统成功引导的软件故障情况下，您可以使用以下程序引导新的软件版本。要完成该过程，您需要 TFTP 来引导启动映像，下载新的系统和管理器映像，然后使用新映像进行引导。

特定 FXOS 版本的恢复映像可以从 Cisco.com 上的以下任一位置获取：

Firepower 9300 -https://software.cisco.com/portal/pub/download/portal/select.html?&mdfid=286287252&flowid=77282&softwareid=286287263
Firepower 4100 系列 -https://software.cisco.com/portal/pub/download/portal/select.html?&mdfid=286305187&flowid=79423&softwareid=286287263

恢复映像包含三个单独的文件。例如，以下是 FXOS 2.1.1.64 的当前恢复映像。

Recovery image (kickstart) for FX-OS 2.1.1.64.
fxos-k9-kickstart.5.0.3.N2.4.11.63.SPA

Recovery image (manager) for FX-OS 2.1.1.64.
fxos-k9-manager.4.1.1.63.SPA

Recovery image (system) for FX-OS 2.1.1.64.
fxos-k9-system.5.0.3.N2.4.11.63.SPA

过程

步骤 1

访问 ROMMON：

连接到控制台端口。
重启系统。

系统将开始加载，并且在该过程中会显示一个倒计时计时器。
在倒计时期间按 Escape 键可进入 ROMMON 模式。

示例:

Cisco System ROMMON, version 1.0.09, RELEASE SOFTWARE 
Copright (c) 1994-2015 by Cisco Systems, Inc. 
Compiled Sun 01/01/1999 23:59:59:59.99 by user

Current image running: Boot ROM0
Last reset cause: LocalSoft
DIMM Slot 0 : Present
DIMM Slot 1 : Present
No USB drive !!

Platform FPR9K-SUP with 16384 Mbytes of main memory
MAC Address aa:aa:aa:aa:aa:aa

find the string ! boot bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.0.00.00.SPA 
  bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.0.00.00.SPA

Use BREAK, ESC or CTRL+L to interrupt boot.
use SPACE to begin boot immediately.
Boot interrupted.

rommon 1  >

步骤 2

TFTP 引导启动映像：

确认已正确设置管理 IP 地址、管理网络掩码和网关 IP 地址。您可以使用 set 命令查看其值。您可以使用 ping 命令测试与 TFTP 服务器的连接性。

rommon 1 > set
    ADDRESS=
    NETMASK=
    GATEWAY=
    SERVER=
    IMAGE=
    PS1="ROMMON ! > "
rommon > address <ip-address>
rommon > netmask <network-mask>
rommon > gateway <default-gateway>

将启动映像复制到可从 Firepower 4100/9300 机箱访问的 TFTP 目录。

注	该启动映像的版本号将与捆绑包版本号不匹配。显示 FXOS 版本与启动映像之间映射的信息可在 Cisco.com 软件下载页面找到。

使用引导命令从 ROMMON 引导映像：

boot tftp://<IP address>/<path to image>

注	您还可以使用插入 Firepower 4100/9300 机箱前面板的 USB 插槽中的 FAT32 格式的 USB 介质设备，从 ROMMON 引导启动映像。如果 USB 设备是在系统运行期间插入的，则您需要先重新启动系统，然后系统才会识别该 USB 设备。

系统将显示一系列 # 指示正在接收映像并且随后会加载启动映像。

示例:

rommon 1 > set
    ADDRESS=
    NETMASK=
    GATEWAY=
    SERVER=
    IMAGE=
    PS1="ROMMON ! > "

rommon 2 > address 10.0.0.2
rommon 3 > netmask 255.255.255.0
rommon 4 > gateway 10.0.0.1
rommon 5 > ping 10.0.0.2
..!!!!!!!!!!
Success rate is 100 percent (10/10)
rommon 6 > ping 192.168.1.2
..!!!!!!!!!!
Success rate is 100 percent (10/10)

rommon 7 > boot tftp://192.168.1.2/fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA
             ADDRESS: 10.0.0.2
             NETMASK: 255.255.255.0
             GATEWAY: 10.0.0.1
              SERVER: 192.168.1.2
               IMAGE: fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA

        TFTP_MACADDR: aa:aa:aa:aa:aa:aa
............................................................................

Receiving fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA from 192.168.1.2

###############################################################################
###############################################################################
#############################################################################

File reception completed.

步骤 3

下载与您刚刚加载到 Firepower 4100/9300 机箱的启动映像相匹配的恢复系统和管理器映像：

要下载恢复系统和管理器映像，您需要设置管理 IP 地址和网关。您无法通过 USB 下载这些映像。

switch(boot)# config terminal
switch(boot)(config)# interface mgmt 0
switch(boot)(config-if)# ip address <ip address> <netmask>
switch(boot)(config-if)# no shutdown
switch(boot)(config-if)# exit
switch(boot)(config)# ip default-gateway <gateway>
switch(boot)(config)# exit

将恢复系统和管理器映像从远程服务器复制到 bootflash：
switch(boot)# copy URL bootflash:

使用以下语法之一，为正在导入的文件指定 URL：
- ftp://username@hostname/ path/ image_name
- scp://username@hostname/ path/ image_name
- sftp://username@hostname/ path/ image_name
- tftp://hostname/ path/ image_name
示例:
```
switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-system.5.0.3.N2.4.11.69.SPA
  bootflash:

switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-manager.4.1.1.69.SPA
  bootflash:
```
将映像成功复制到 Firepower 4100/9300 机箱后，创建一个自 nuova-sim-mgmt-nsg.0.1.0.001.bin 的管理器映像系统链接。此链接可向加载机制指明要加载的管理器映像。该系统链接的名称应始终为 nuova-sim-mgmt-nsg.0.1.0.001.bin，无论您尝试加载什么映像都是如此。
```
switch(boot)# copy bootflash:<manager-image> 
  bootflash:nuova-sim-mgmt-nsg.0.1.0.001.bin
```

示例:

switch(boot)# config terminal
Enter configuration commands, one per line.  End with CNTL/Z.

switch(boot)(config)# interface mgmt 0
switch(boot)(config-if)# ip address 10.0.0.2 255.255.255.0
switch(boot)(config-if)# no shutdown
switch(boot)(config-if)# exit
switch(boot)(config)# ip default-gateway 10.0.0.1
switch(boot)(config)# exit
switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-system.5.0.3.N2.4.11.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-manager.4.1.1.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy bootflash:fxos-k9-manager.4.1.1.69.SPA
  bootflash:nuova-sim-mgmt-nsg.0.1.0.001.bin

Copy complete, now saving to disk (please wait)...

switch(boot)#

步骤 4

加载您刚刚下载的系统映像：

switch(boot)# load bootflash:<system-image>

示例:

switch(boot)# load bootflash:fxos-k9-system.5.0.3.N2.4.11.69.SPA
Uncompressing system image: bootflash:/fxos-k9-system.5.0.3.N2.4.11.69.SPA


Manager image digital signature verification successful
...
System is coming up ... Please wait ...


Cisco FPR Series Security Appliance
FP9300-A login:

步骤 5

加载恢复映像后，输入以下命令以避免系统尝试加载旧映像：

注	在加载恢复映像后应立即执行此步骤。

FP9300-A# scope org
FP9300-A /org # scope fw-platform-pack default
FP9300-A /org/fw-platform-pack # set platform-bundle-version ""
Warning: Set platform version to empty will result software/firmware incompatibility issue.
FP9300-A /org/fw-platform-pack* # commit-buffer

步骤 6

下载并安装您要在 Firepower 4100/9300 机箱上使用的平台捆绑包映像。有关详细信息，请参阅映像管理。

示例:

FP9300-A# scope firmware
FP9300-A /firmware # show download-task

Download task:
    File Name Protocol Server          Port       Userid          State
    --------- -------- --------------- ---------- --------------- -----
    fxos-k9.2.1.1.73.SPA
              Tftp     192.168.1.2            0                 Downloaded
FP9300-A /firmware # show package fxos-k9.2.1.1.73.SPA detail
Firmware Package fxos-k9.2.1.1.73.SPA:
    Version: 2.1(1.73)
    Type: Platform Bundle
    State: Active
Time Stamp: 2012-01-01T07:40:28.000
Build Date: 2017-02-28 13:51:08 UTC
FP9300-A /firmware #

从损坏的文件系统中恢复

开始之前

如果管理引擎的板载闪存损坏，并且系统无法再成功启动，您可以使用以下程序恢复系统。要完成该过程，您需要 TFTP 来引导启动映像，重新格式化闪存，下载新的系统和管理器映像，然后使用新映像进行引导。

注	此程序包括重新格式化系统闪存。因此，您需要在系统恢复后对其进行完全重新配置。

特定 FXOS 版本的恢复映像可以从 Cisco.com 上的以下任一位置获取：

Firepower 9300 -https://software.cisco.com/portal/pub/download/portal/select.html?&mdfid=286287252&flowid=77282&softwareid=286287263
Firepower 4100 系列 -https://software.cisco.com/portal/pub/download/portal/select.html?&mdfid=286305187&flowid=79423&softwareid=286287263

恢复映像包含三个单独的文件。例如，以下是 FXOS 2.1.1.64 的恢复映像。

Recovery image (kickstart) for FX-OS 2.1.1.64.
fxos-k9-kickstart.5.0.3.N2.4.11.63.SPA

Recovery image (manager) for FX-OS 2.1.1.64.
fxos-k9-manager.4.1.1.63.SPA

Recovery image (system) for FX-OS 2.1.1.64.
fxos-k9-system.5.0.3.N2.4.11.63.SPA

过程

步骤 1

访问 ROMMON：

连接到控制台端口。
重启系统。

系统将开始加载，并且在该过程中会显示一个倒计时计时器。
在倒计时期间按 Escape 键可进入 ROMMON 模式。

示例:

Cisco System ROMMON, version 1.0.09, RELEASE SOFTWARE 
Copright (c) 1994-2015 by Cisco Systems, Inc. 
Compiled Sun 01/01/1999 23:59:59:59.99 by user

Current image running: Boot ROM0
Last reset cause: LocalSoft
DIMM Slot 0 : Present
DIMM Slot 1 : Present
No USB drive !!

Platform FPR9K-SUP with 16384 Mbytes of main memory
MAC Address aa:aa:aa:aa:aa:aa

find the string ! boot bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.0.00.00.SPA 
  bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.0.00.00.SPA

Use BREAK, ESC or CTRL+L to interrupt boot.
use SPACE to begin boot immediately.
Boot interrupted.

rommon 1  >

步骤 2

TFTP 引导启动映像：

确认已正确设置管理 IP 地址、管理网络掩码和网关 IP 地址。您可以使用 set 命令查看其值。您可以使用 ping 命令测试与 TFTP 服务器的连接性。

rommon 1 > set
    ADDRESS=
    NETMASK=
    GATEWAY=
    SERVER=
    IMAGE=
    PS1="ROMMON ! > "
rommon > address <ip-address>
rommon > netmask <network-mask>
rommon > gateway <default-gateway>

将启动映像复制到可从 Firepower 4100/9300 机箱访问的 TFTP 目录。

注	该启动映像的版本号将与捆绑包版本号不匹配。显示 FXOS 版本与启动映像之间映射的信息可在 Cisco.com 软件下载页面找到。

使用引导命令从 ROMMON 引导映像：

boot tftp://<IP address>/<path to image>

注	您还可以使用插入 Firepower 4100/9300 机箱前面板的 USB 插槽中的 USB 介质设备，从 ROMMON 引导启动映像。如果 USB 设备是在系统运行期间插入的，则您需要先重新启动系统，然后系统才会识别该 USB 设备。

系统将显示一系列 # 指示正在接收映像并且随后会加载启动映像。

示例:

rommon 1 > set
    ADDRESS=
    NETMASK=
    GATEWAY=
    SERVER=
    IMAGE=
    PS1="ROMMON ! > "

rommon 2 > address 10.0.0.2
rommon 3 > netmask 255.255.255.0
rommon 4 > gateway 10.0.0.1
rommon 5 > ping 10.0.0.2
..!!!!!!!!!!
Success rate is 100 percent (10/10)
rommon 6 > ping 192.168.1.2
..!!!!!!!!!!
Success rate is 100 percent (10/10)

rommon 7 > boot tftp://192.168.1.2/fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA
             ADDRESS: 10.0.0.2
             NETMASK: 255.255.255.0
             GATEWAY: 10.0.0.1
              SERVER: 192.168.1.2
               IMAGE: fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA

        TFTP_MACADDR: aa:aa:aa:aa:aa:aa
............................................................................

Receiving fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA from 192.168.1.2

###############################################################################
###############################################################################
#############################################################################

File reception completed.

步骤 3

加载 kickstart 映像后，使用 init system 命令重新格式化闪存。

init system 命令会擦除闪存内容，包括下载到系统的所有软件映像以及系统上的所有配置。完成该命令大概需要 20-30 分钟。

示例:

switch(boot)# init system

This command is going to erase your startup-config, licenses as well as the contents of your bootflash:.

Do you want to continue? (y/n)  [n] y

Detected 32GB flash...
Initializing the system
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Initializing startup-config and licenses
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Formatting bootflash:
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Formatting SAM partition:
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Formatting Workspace partition:
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Formatting Sysdebug  partition:
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done

步骤 4

将恢复映像下载到 Firepower 4100/9300 机箱：

要下载恢复映像，您需要设置管理 IP 地址和网关。您无法通过 USB 下载这些映像。

switch(boot)# config terminal
switch(boot)(config)# interface mgmt 0
switch(boot)(config-if)# ip address <ip address> <netmask>
switch(boot)(config-if)# no shutdown
switch(boot)(config-if)# exit
switch(boot)(config)# ip default-gateway <gateway>
switch(boot)(config)# exit

将三个恢复映像从远程服务器复制到 bootflash：

switch(boot)# copy URL bootflash:

使用以下语法之一，为正在导入的文件指定 URL：

ftp://username@hostname/ path/ image_name
scp://username@hostname/ path/ image_name
sftp://username@hostname/ path/ image_name
tftp://hostname/ path/ image_name

示例:

switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-kickstart.5.0.3.N2.4.11.69.SPA
  bootflash:

switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-system.5.0.3.N2.4.11.69.SPA
  bootflash:

switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-manager.4.1.1.69.SPA
  bootflash:

将映像成功复制到 Firepower 4100/9300 机箱后，创建一个自 nuova-sim-mgmt-nsg.0.1.0.001.bin 的管理器映像系统链接。此链接可向加载机制指明要加载的管理器映像。该系统链接的名称应始终为 nuova-sim-mgmt-nsg.0.1.0.001.bin，无论您尝试加载什么映像都是如此。
```
switch(boot)# copy bootflash:<manager-image> 
  bootflash:nuova-sim-mgmt-nsg.0.1.0.001.bin
```

示例:

switch(boot)# config terminal
Enter configuration commands, one per line.  End with CNTL/Z.

switch(boot)(config)# interface mgmt 0
switch(boot)(config-if)# ip address 10.0.0.2 255.255.255.0
switch(boot)(config-if)# no shutdown
switch(boot)(config-if)# exit
switch(boot)(config)# ip default-gateway 10.0.0.1
switch(boot)(config)# exit
switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-kickstart.5.0.3.N2.4.11.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-system.5.0.3.N2.4.11.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-manager.4.1.1.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy bootflash:fxos-k9-manager.4.1.1.69.SPA
  bootflash:nuova-sim-mgmt-nsg.0.1.0.001.bin

Copy complete, now saving to disk (please wait)...

switch(boot)#

步骤 5

重新加载交换机：

switch(boot)# reload

示例:

switch(boot)# reload
This command will reboot this supervisor module. (y/n) ? y
[ 1866.310313] Restarting system.

!!  Rommon image verified successfully  !!


Cisco System ROMMON, Version 1.0.11, RELEASE SOFTWARE
Copyright (c) 1994-2016  by Cisco Systems, Inc.
Compiled Wed 11/23/2016 11:23:23.47 by builder
Current image running: Boot ROM1
Last reset cause: ResetRequest
DIMM Slot 0 : Present
DIMM Slot 1 : Present
No USB drive !! 
BIOS has been locked !!

Platform FPR9K-SUP with 16384 Mbytes of main memory
MAC Address: bb:aa:77:aa:aa:bb

autoboot: Can not find autoboot file 'menu.lst.local' 
          Or can not find correct boot string !!
rommon 1 >

步骤 6

在各个阶段的状态从“进行中”更改为“跳过”或“成功”之前，请勿继续执行下一步。

rommon 1 > boot <kickstart-image> <system-image>

注	在加载系统映像期间，您很可能会看到许可证管理器失败消息。可以安全忽略这些消息。

示例:

rommon 1 > dir
Directory of: bootflash:\

  01/01/12  12:33a <DIR>          4,096  .
  01/01/12  12:33a <DIR>          4,096  ..
  01/01/12  12:16a <DIR>         16,384  lost+found
  01/01/12  12:27a           34,333,696  fxos-k9-kickstart.5.0.3.N2.4.11.69.SPA
  01/01/12  12:29a          330,646,465  fxos-k9-manager.4.1.1.69.SPA
  01/01/12  12:31a          250,643,172  fxos-k9-system.5.0.3.N2.4.11.69.SPA
  01/01/12  12:34a          330,646,465  nuova-sim-mgmt-nsg.0.1.0.001.bin
          4 File(s) 946,269,798 bytes
          3 Dir(s)

rommon 2 > boot fxos-k9-kickstart.5.0.3.N2.4.11.69.SPA fxos-k9-system.5.0.3.N2.4.11.69.SPA
  !!   Kickstart Image verified successfully   !!

Linux version: 2.6.27.47 (security@cisco.com) #1 SMP Thu Nov 17 18:22:00 PST 2016
[    0.000000] Fastboot Memory at 0c100000 of size 201326592
Usage: init 0123456SsQqAaBbCcUu

INIT: version 2.86 booting

POST INIT Starts at Sun Jan  1 00:27:32 UTC 2012
S10mount-ramfs.supnuovaca Mounting /isan 3000m
Mounted /isan
Creating /callhome..
Mounting /callhome..
Creating /callhome done.
Callhome spool file system init done.
Platform is BS or QP MIO: 30
FPGA Version 0x00010500 FPGA Min Version 0x00000600
Checking all filesystems..r.r..r done.
Warning: switch is starting up with default configuration
Checking NVRAM block device ... done
. 
FIPS power-on self-test passed
Unpack CMC Application software
Loading system software
Uncompressing system image: bootflash:/fxos-k9-system.5.0.3.N2.4.11.69.SPA


Manager image digital signature verification successful

...

System is coming up ... Please wait ...
nohup: appending output to `nohup.out'

           ---- Basic System Configuration Dialog ----

  This setup utility will guide you through the basic configuration of
  the system. Only minimal configuration including IP connectivity to
  the Fabric interconnect and its clustering mode is performed through these steps.

  Type Ctrl-C at any time to abort configuration and reboot system.
  To back track or make modifications to already entered values,
  complete input till end of section and answer no when prompted
  to apply configuration.


  You have chosen to setup a new Security Appliance. Continue? (y/n):

步骤 7

加载映像后，系统将提示您进入初始配置设置。有关详细信息，请参阅使用控制台端口的初始配置。

步骤 8

下载您要在 Firepower 4100/9300 机箱上使用的平台捆绑包映像。有关详细信息，请参阅映像管理。

示例:

FP9300-A# scope firmware
FP9300-A /firmware # show download-task

Download task:
    File Name Protocol Server          Port       Userid          State
    --------- -------- --------------- ---------- --------------- -----
    fxos-k9.2.1.1.73.SPA
              Tftp     192.168.1.2            0                 Downloaded
FP9300-A /firmware # show package fxos-k9.2.1.1.73.SPA detail
Firmware Package fxos-k9.2.1.1.73.SPA:
    Version: 2.1(1.73)
    Type: Platform Bundle
    State: Active
Time Stamp: 2012-01-01T07:40:28.000
Build Date: 2017-02-28 13:51:08 UTC
FP9300-A /firmware #

步骤 9

安装您在上一步中下载的平台捆绑包映像：

注	安装过程通常需要 15 到 20 分钟。

进入自动安装模式：

Firepower-chassis /firmware # scope auto-install
安装 FXOS 平台捆绑包：

Firepower-chassis /firmware/auto-install # install platform platform-vers version_number

version_number 是您正在安装的 FXOS平台捆绑包的版本号，例如 2.1(1.73)。
系统将首先验证想要安装的软件包。它会告知您当前已安装的应用与指定的 FXOS 平台软件包之间的所有不兼容。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。

输入 yes ，确认您想要继续验证。
输入 yes 确认您想要继续安装，或者输入 no 取消安装。

FXOS打开捆绑包，升级/重新加载组件。

要监控升级流程，请执行以下操作：

输入 scope firmware 。
输入 scope auto-install 。
输入 show fsm status expand 。

示例：

TB10 /firmware/auto-install # show fsm status expand
    FSM Status:
        Affected Object: sys/fw-system/fsm
        Current FSM: Deploy
        Status: In Progress
        Completion Time:
        Progress (%): 98

        FSM Stage:
        Order  Stage Name                               Status       Try
        ------ ---------------------------------------- ------------ ---
        1      DeployWaitForDeploy                      Success      0
        2      DeployResolveDistributableNames          Skip         0
        3      DeployResolveDistributable               Skip         0
        4      DeployResolveImages                      Skip         0
        5      DeployValidatePlatformPack               Success      1
        6      DeployDebundlePort                       Success      0
        7      DeployPollDebundlePort                   Success      1
        8      DeployActivateUCSM                       Success      0
        9      DeployPollActivateOfUCSM                 Success      0
        10     DeployActivateMgmtExt                    Skip         0
        11     DeployPollActivateOfMgmtExt              Skip         0
        12     DeployUpdateIOM                          Skip         0
        13     DeployPollUpdateOfIOM                    Skip         0
        14     DeployActivateIOM                        Skip         0
        15     DeployPollActivateOfIOM                  Skip         0
        16     DeployActivateRemoteFI                   Skip         0
        17     DeployPollActivateOfRemoteFI             Skip         0
        18     DeployWaitForUserAck                     Skip         0
        19     DeployActivateLocalFI                    Success      0
        20     DeployPollActivateOfLocalFI              In Progress  1

注	在各个阶段的状态从“进行中”更改为“跳过”或“成功”之前，请勿继续执行下一步。

步骤 10

如果您安装的平台捆绑包映像与用于恢复系统的映像一致，必须手动激活 kickstart 和系统映像，以便在将来加载系统时使用。安装映像与所使用的恢复映像一致的平台捆绑包时，系统不会自动激活。

设置交换矩阵互联 a 的范围：
```
FP9300-A# scope fabric-interconnect a
```

使用 show version 命令查看正在运行的内核版本和系统版本。您将使用这些字符串激活映像。

FP9300-A /fabric-interconnect # show version

注	如果启动内核版本和启动系统版本已设置且与运行内核版本和运行系统版本相匹配，则无需激活映像，并且可以转至步骤 11。

输入以下命令以激活映像：

FP9300-A /fabric-interconnect # activate firmware 
  kernel-version <running_kernel_version> system-version <running_system_version>
commit-buffer

注	服务器状态可能更改为“Disk Failed”。您无需担心此消息，并可继续执行此程序。

使用 show version 命令确认已正确设置启动版本并监控映像的激活状态。

重要	在状态从“Activating”更改为“Ready”之前，请勿继续进行下一步。

FP9300-A /fabric-interconnect # show version

示例:

FP9300-A /firmware # top
FP9300-A# scope fabric-interconnect a
FP9300-A /fabric-interconnect # show version
Fabric Interconnect A:
    Running-Kern-Vers: 5.0(3)N2(4.11.69)
    Running-Sys-Vers: 5.0(3)N2(4.11.69)
    Package-Vers: 2.1(1.73)
    Startup-Kern-Vers:
    Startup-Sys-Vers:
    Act-Kern-Status: Ready
    Act-Sys-Status: Ready
    Bootloader-Vers:

FP9300-A /fabric-interconnect # activate firmware kernel-version 
  5.0(3)N2(4.11.69) system-version 5.0(3)N2(4.11.69)
Warning: When committed this command will reset the end-point
FP9300-A /fabric-interconnect* # commit-buffer
FP9300-A /fabric-interconnect # show version
Fabric Interconnect A:
    Running-Kern-Vers: 5.0(3)N2(4.11.69)
    Running-Sys-Vers: 5.0(3)N2(4.11.69)
    Package-Vers: 2.1(1.73)
    Startup-Kern-Vers: 5.0(3)N2(4.11.69)
    Startup-Sys-Vers: 5.0(3)N2(4.11.69)
    Act-Kern-Status: Activating
    Act-Sys-Status: Activating
    Bootloader-Vers:

FP9300-A /fabric-interconnect # show version
Fabric Interconnect A:
    Running-Kern-Vers: 5.0(3)N2(4.11.69)
    Running-Sys-Vers: 5.0(3)N2(4.11.69)
    Package-Vers: 2.1(1.73)
    Startup-Kern-Vers: 5.0(3)N2(4.11.69)
    Startup-Sys-Vers: 5.0(3)N2(4.11.69)
    Act-Kern-Status: Ready
    Act-Sys-Status: Ready
    Bootloader-Vers:

步骤 11

重新启动系统：

示例:

FP9300-A /fabric-interconnect # top
FP9300-A# scope chassis 1
FP9300-A /chassis # reboot no-prompt
Starting chassis reboot. Monitor progress with the command "show fsm status"
FP9300-A /chassis #

系统在最终关闭之前会先关闭每个安全模块/引擎，然后才重启 Firepower 4100/9300 机箱。此过程大约需要 5-10 分钟。

步骤 12

监控系统状态。服务器状态应从“Discovery”转为“Config”，最后转为“Ok”。

示例:

FP9300-A# show server status 
Server  Slot Status                       Overall Status        Discovery
------- --------------------------------- --------------------- ---------
1/1     Equipped                          Discovery             In Progress
1/2     Equipped                          Discovery             In Progress
1/3     Empty

FP9300-A# show server status
Server  Slot Status                       Overall Status        Discovery
------- --------------------------------- --------------------- ---------
1/1     Equipped                          Config                Complete
1/2     Equipped                          Config                Complete
1/3     Empty

FP9300-A# show server status
Server  Slot Status                       Overall Status        Discovery
------- --------------------------------- --------------------- ---------
1/1     Equipped                          Ok                    Complete
1/2     Equipped                          Ok                    Complete
1/3     Empty

当整体状态为“Ok”时，您的系统即已恢复。您仍必须重新配置安全设备（包括许可证配置），并重新创建所有逻辑设备。更多详情：

Firepower 9300 快速入门指南 -http://www.cisco.com/go/firepower9300-quick
Firepower 9300 配置指南 -http://www.cisco.com/go/firepower9300-config
Firepower 4100 系列快速入门指南 -http://www.cisco.com/go/firepower4100-quick
Firepower 4100 系列配置指南 -http://www.cisco.com/go/firepower4100-config

管理员密码未知时恢复出厂默认配置

此程序可将 Firepower 4100/9300 机箱系统恢复为其默认配置设置，包括管理员密码。当管理员密码未知时，可遵照此程序重置设备上的配置。此程序也会清除所有已安装的逻辑设备。

注	此程序需要控制台访问 Firepower 4100/9300 机箱。

过程

步骤 1

使用所提供的控制台电缆将 PC 连接到控制台端口，并使用已设置为 9600 波特、8 个数据位、无奇偶校验、1 个停止位、无流量控制功能的终端仿真器连接到控制台。有关控制台电缆的详细信息，请参阅《思科 Firepower 9300 硬件安装指南》。

步骤 2

启动设备。系统显示以下提示时，按 ESC 键停止启动。

示例:

!!  Rommon image verified successfully  !!

Cisco System ROMMON, Version 1.0.09, RELEASE SOFTWARE
Copyright (c) 1994-2015  by Cisco Systems, Inc.

Current image running: Boot ROM0
Last reset cause: ResetRequest
DIMM Slot 0 : Present
DIMM Slot 1 : Present
No USB drive !!
BIOS has been locked !!

Platform FPR9K-SUP with 16384 Mbytes of main memory
MAC Address: 00:00:00:00:00:00

find the string ! boot bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.3.14.69.SPA bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.3.14.69.SPA

Use BREAK, ESC or CTRL+L to interrupt boot.
Use SPACE to begin boot immediately.
Boot interrupted.
rommon 1 >

步骤 3

记下启动和系统映像名称：

示例:

bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.3.14.69.SPA 
bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.3.14.69.SPA

步骤 4

加载启动映像：

rommon 1 > boot kickstart_image

示例:

rommon 1 > boot bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.3.14.69.SPA
 !! Kickstart Image verified successfully !!

Linux version: 2.6.27.47 (security@cisco.com) #1 SMP Tue Nov 24 12:10:28 PST 2015
[ 0.000000] Fastboot Memory at 0c100000 of size 201326592
Usage: init 0123456SsQqAaBbCcUu
INIT: POST INIT Starts at Wed Jun 1 13:46:33 UTC 2016
can't create lock file /var/lock/mtab~302: No such file or directory (use -n flag to override)
S10mount-ramfs.supnuovaca Mounting /isan 3000m
Mounted /isan
TAC support: http://www.cisco.com/tac
Copyright (c) 2002-2015, Cisco Systems, Inc. All rights reserved.
The copyrights to certain works contained in this software are
owned by other third parties and used and distributed under
license. Certain components of this software are licensed under
the GNU General Public License (GPL) version 2.0 or the GNU
Lesser General Public License (LGPL) Version 2.1. A copy of each
such license is available at
http://www.opensource.org/licenses/gpl-2.0.php and
http://www.opensource.org/licenses/lgpl-2.1.php
switch(boot)#

步骤 5

输入配置终端模式：

switch(boot) # config terminal

示例:

switch(boot)#
switch(boot)# config terminal
Enter configuration commands, one per line.  End with CNTL/Z.

步骤 6

重置密码并确认更改：

switch(boot) (config) # admin-password erase

注	此步骤会清除所有配置并将系统恢复为其默认配置设置。

示例:

switch(boot)(config)# admin-password erase
Your password and configuration will be erased!
Do you want to continue? (y/n)  [n] y

步骤 7

退出配置终端模式：

switch(boot) (config) # exit

步骤 8

加载此程序第 3 步中提到的系统映像，然后使用初始配置任务流从头配置您的系统。

switch(boot) # load system_image

示例:

switch(boot)# load bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.3.14.69.SPA

Uncompressing system image: bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.3.14.69.SPA

生成故障排除日志文件

您可以生成日志文件来帮助进行故障排除，或在需要时发送至思科 TAC。

过程

步骤 1

连接到本地管理模式：

Firepower# connect local-mgmt

步骤 2

（可选）输入以下命令：

Firepower(local-mgmt)# show tech-support ?

命令输出中显示您可以为其生成故障排除文件的组件。

示例:

  chassis  Chassis 
  fprm     Firepower Platform Management 
  module   Security Module

步骤 3

运行以下命令以生成故障排除文件：

Firepower(local-mgmt)# show tech-support <component keyword>

请确保为要生成其故障排除文件的组件提供所需的关键字。例如， module 关键字会为安全模块生成故障排除文件。

请确保为要生成其故障排除文件的组件提供所需的关键字。例如， fprm 关键字会为平台管理生成故障排除文件。

表 2. 组件和命令示例
组件	命令示例
机箱	Firepower (local-mgmt)# show tech-support chassis 1
Firepower 平台管理	fprm 选项在 2.8(1) 版本中已被弃用，不能再使用。
安全模块	Firepower (local-mgmt)# show tech-support module 1

示例:

Firepower(local-mgmt)# show tech-support chassis 1 detail

The show tech support file will be located at /workspace/techsupport/20191105041703_firepower-9300_BC1_all.tar

Initiating tech-support information task on FABRIC A ...

Initiating tech-support information task on Chassis 1 Fabric Extender 1 ...
Initiating tech-support information task on Chassis 1 CIMC 1 ...
Initiating tech-support information task on Adaptor 1 on Chassis/Server 1/1 ...
Initiating tech-support information task on Adaptor 2 on Chassis/Server 1/1 ...
Initiating tech-support information task on Chassis 1 CIMC 2 ...
Initiating tech-support information task on Adaptor 1 on Chassis/Server 1/2 ...
Initiating tech-support information task on Adaptor 2 on Chassis/Server 1/2 ...
Completed initiating tech-support subsystem tasks (Total: 8)
Waiting (Timeout: 900 Elapsed: 30) for completion of subsystem tasks (1/8).
Waiting (Timeout: 900 Elapsed: 50) for completion of subsystem tasks (2/8).
Waiting (Timeout: 900 Elapsed: 70) for completion of subsystem tasks (5/8).
Waiting (Timeout: 900 Elapsed: 90) for completion of subsystem tasks (6/8).
Waiting (Timeout: 900 Elapsed: 110) for completion of subsystem tasks (6/8).
Waiting (Timeout: 900 Elapsed: 130) for completion of subsystem tasks (6/8).
Waiting (Timeout: 900 Elapsed: 150) for completion of subsystem tasks (6/8).
Waiting (Timeout: 900 Elapsed: 170) for completion of subsystem tasks (6/8).
Waiting (Timeout: 900 Elapsed: 190) for completion of subsystem tasks (6/8).
Waiting (Timeout: 900 Elapsed: 210) for completion of subsystem tasks (6/8).
Waiting (Timeout: 900 Elapsed: 230) for completion of subsystem tasks (7/8).
--More--
The detailed tech-support information is located at workspace:///techsupport/201--More--
91105041703_firepower-9300_BC1_all.tar

同样，您也可以从安全模块生成故障排除文件。

在生成故障排除文件后，您可以在工作空间中找到该文件。

步骤 4

运行以下命令以确认文件是否生成：

dir workspace:/techsupport

示例:

1  34426880 Mar 05 13:10:05 2019 20190305130133_firepower-9300_FPRM.tar
1  56995840 Aug 27 05:30:37 2019 20190827052331_firepower-9300_FPRM.tar
1  56842240 Aug 27 12:42:42 2019 20190827123535_firepower-9300_FPRM.tar
1  87623680 Sep 17 06:27:57 2019 20190917062046_firepower-9300_FPRM.tar
1  87756800 Sep 17 10:22:38 2019 20190917101527_firepower-9300_FPRM.tar
1 152627200 Nov 05 04:30:10 2019 20191105041703_firepower-9300_BC1_all.tar

Usage for workspace://
3999125504 bytes total
476835840 bytes used
3317436416 bytes free

注	如果您使用所有三个参数（fprm、机箱和模块）成功生成文件，则应在 /techsupport 目录中看到它们。

步骤 5

运行以下命令。

Firepower(local-mgmt)# copy workspace:/techsupport/<troubleshooting file name> ?

输出结果中显示支持的协议，用于允许将故障排除文件从 FXOS 复制到您的本地计算机。您可以使用任何受支持的协议。

示例:

Firepower(local-mgmt)# copy workspace:/techsupport/
20191105041703_firepower-9300_BC1_all.tar ?
  ftp:        Dest File URI 
  http:       Dest File URI 
  https:      Dest File URI 
  scp:        Dest File URI 
  sftp:       Dest File URI 
  tftp:       Dest File URI 
  usbdrive:   Dest File URI 
  volatile:   Dest File URI 
  workspace:  Dest File URI

在将文件从 FXOS 复制到计算机之前，请确保满足以下前提条件：

本地计算机上的防火墙接受任何必要端口上的传入连接。例如，如果通过安全外壳复制文件，则计算机必须允许来自任何相关端口（如端口 22）的连接。
您的计算机必须运行安全复制 (SCP) 服务或任何受支持的协议，以允许复制文件。您可以在互联网上找到各种 SSH 或 SCP 服务器软件。但是，思科不支持安装和配置任何特定 SCP 服务器。

步骤 6

运行以下命令以复制文件。

Firepower(local-mgmt)# copy workspace:/techsupport/<troubleshooting file name> <supported file transfer protocol>://<username>@<destination IP address>

示例:

firepower-9300(local-mgmt)# copy workspace:/techsupport/
20191105041703_firepower-9300_BC1_all.tar scp:/xyz@192.0.2.1

启用模块核心转储

在模块上启用核心转储有助于在系统崩溃时进行故障排除，或者应要求发送到思科 TAC。

过程

步骤 1

连接到所需的模块；例如：

Firepower# connect module 1 console

步骤 2

（可选）输入以下命令以查看当前的核心转储状态：

Firepower-module1> show coredump detail

命令输出会显示当前核心转储状态信息，包括是否启用核心转储压缩。

示例:

Firepower-module1>show coredump detail
Configured status: ENABLED.
ASA Coredump: ENABLED.
Bootup status: ENABLED.
Compress during crash: DISABLED.

注	此命令仅在设备上运行 ASA 逻辑设备时可用，而在设备上运行 FTD 逻辑设备时不可用。

步骤 3

使用 config coredump 命令可启用或禁用核心转储，以及在崩溃期间启用或禁用核心转储压缩。

使用 config coredump enable 在崩溃期间创建核心转储。
使用 config coredump disable 在崩溃期间禁用核心转储创建。
使用 config coredump compress enable 来启用核心转储压缩。
使用 config coredump compress disable 来禁用核心转储压缩。

示例:

Firepower-module1>config coredump enable
Coredump enabled successfully.
ASA coredump enabled, do 'config coredump disableAsa' to disable
Firepower-module1>config coredump compress enable
WARNING: Enabling compression delays system reboot for several minutes after a system failure.  Are you sure? (y/n): 
y
Firepower-module1>

注	核心转储文件会消耗磁盘空间，如果空间不足且未启用压缩，则即使启用了核心转储，也无法保存核心转储文件。

查找序列号 Firepower 4100/9300 机箱

您可以找到有关 Firepower 4100/9300 机箱及其序列号的详细信息。请注意，Firepower 4100/9300 机箱的序列号与逻辑设备的序列号不同。

过程

步骤 1

输入机箱范围：

scope chassis

示例:

Firepower# scope chassis
Firepower /chassis #

步骤 2

查看清单详细信息：

show inventory

示例:

Firepower /chassis # show inventory

输出中显示序列号和其他详细信息。

Chassis    PID             Vendor            Serial (SN) HW Revision
---------- --------------- ----------------- ----------- -----------
         1 FPR-C9300-AC    Cisco Systems Inc JMX1950196H 0

重建 RAID 虚拟驱动器

RAID（独立磁盘冗余阵列）是多个独立物理驱动器的阵列或组，旨在提供高性能和容错能力。驱动器组是一组物理驱动器。这些驱动器在称为虚拟驱动器的分区中进行管理。

与单驱动器存储系统相比，RAID 驱动器组可提高数据存储可靠性和容错能力。通过从剩余驱动器重建缺失数据，可以防止驱动器故障导致的数据丢失。RAID 可提高 I/O 性能并提高存储子系统的可靠性。

如果一个 RAID 驱动器发生故障或离线，则 RAID 虚拟驱动器会被视为处于降级状态。使用此程序来验证 RAID 虚拟驱动器是否处于降级状态，并在必要时临时将本地磁盘配置保护策略设置为“否”(no) 以便重新构建它。

注	当您将本地磁盘配置保护策略设置为“否”(no) 时，磁盘上的所有数据都会被销毁。

过程

步骤 1	检查 RAID 驱动器状态。进入机箱模式： scope chassis 进入服务器模式： scope server 1 进入 RAID 控制器： scope raid-controller 1 sas 查看虚拟驱动器： show virtual-drive 如果 RAID 虚拟驱动器被降级，则可操作性显示为 Degraded 。例如： `Virtual Drive: ID: 0 Block Size: 512 Blocks: 3123046400 Size (MB): 1524925 Operability: Degraded Presence: Equipped`
步骤 2	将本地磁盘配置策略保护设置为“否”(no) 以重建 RAID 驱动器。注意 - 完成这一步后，磁盘上的所有数据都将被销毁。输入组织范围： scope org 输入本地磁盘配置策略范围： scope local-disk-config-policy ssp-default 将保护设为“否”(no)： set protect no 提交配置： commit-buffer
步骤 3	等待 RAID 驱动器重建。检查 RAID 重建状态： scope chassis 1 show server 当 RAID 驱动器重建成功时，插槽的总体状态会显示为 Ok 。例如：示例: `Server: Slot Overall Status Service Profile ------- --------------------- --------------- 1 Ok ssp-sprof-1`
步骤 4	RAID 驱动器重建成功后，将本地磁盘配置策略保护恢复为“是”(yes)。输入组织范围： scope org 输入本地磁盘配置策略范围： scope local-disk-config-policy ssp-default 将保护设为“否”(no)： set protect yes 提交配置： commit-buffer

确定 SSD 的问题

使用以下程序来收集信息并确定设备上安装的 SSD 可能存在的问题。SSD 问题的一个示例症状是数据管理引擎 (DME) 进程无法启动。

注	当您插入新的 SSD 时，在 Blade BIOS 检测后，只有基本信息（类型、型号、序列号等）会填充到资产下。仅在 SSP-OS 升级完成后，本地磁盘数据才会填充到资产下。如果 SSP-OS 升级仍处于“正在更新状态”，则资产不会显示本地磁盘条目，也不会显示有关 SSD 连接的故障消息。

如果以下日志记录文件的输出表明 SSD 存在问题，则需要对管理引擎模块执行 RMA（请参阅https://www.cisco.com/c/en/us/buy/product-returns-replacements-rma.html）。

过程

步骤 1

连接到 FXOS 命令 shell：

connect fxos

步骤 2

显示 nvram 日志记录文件：

show logging nvram

错误输出示例：

2020 Oct 22 13:03:26 MDCNGIPSAPL02 %$ VDC-1 %$ Oct 22 13:03:25 %KERN-2-SYSTEM_MSG: [28175880.598580] EXT3-fs error (device sda4): ext3_get_inode_loc: unable to read inode block - inode=14, block=6

步骤 3

显示日志记录文件：

show logging logfile

错误输出示例：

   2020 Oct 21 21:11:25  (none) kernel: [28118744.718445] EXT3-fs error (device sda4): ext3_get_inode_loc: unable to read inode block - inode=14, block=6

非歧视性语言

当地语言翻译版本说明

Results

Chapter: 故障排除

故障排除

数据包捕获

背板端口映射

数据包捕获准则和限制

创建或编辑数据包捕获会话

过程

示例:

示例:

示例:

示例:

Syntax Description

示例:

Syntax Description

Syntax Description

示例

配置数据包捕获的过滤器

过程

示例

启动和停止数据包捕获会话

过程

示例

下载数据包捕获文件

过程

示例

删除数据包捕获会话

过程

示例

测试网络连接

开始之前

过程

示例:

示例:

示例:

管理接口状态故障排除

过程

示例:

示例:

确定端口通道状态

过程

示例:

示例:

示例:

示例:

示例:

示例:

示例:

下一步做什么

从软件故障中恢复

开始之前

过程

示例:

示例:

示例:

示例:

示例:

示例:

从损坏的文件系统中恢复

开始之前

过程

示例:

示例:

示例:

示例:

示例:

示例:

示例:

示例:

示例:

示例:

示例:

管理员密码未知时恢复出厂默认配置

过程

示例:

示例:

示例: