思科 Firepower 4100/9300 FXOS CLI 配置指南，2.6(1)

非歧视性语言

此产品的文档集力求使用非歧视性语言。在本文档集中，非歧视性语言是指不隐含针对年龄、残障、性别、种族身份、族群身份、性取向、社会经济地位和交叉性的歧视的语言。由于产品软件的用户界面中使用的硬编码语言、基于 RFP 文档使用的语言或引用的第三方产品使用的语言，文档中可能无法确保完全使用非歧视性语言。 深入了解思科如何使用包容性语言。

当地语言翻译版本说明

思科可能会在某些地方提供本内容的当地语言翻译版本。请注意，翻译版本仅供参考，如有任何不一致之处，以本内容的英文版本为准。

Book Contents
Find Matches in This Book
语言选择
Download Options

Book Title

思科 Firepower 4100/9300 FXOS CLI 配置指南，2.6(1)

Chapter Title

故障排除

Results

已更新:
2020年7月20日

Chapter: 故障排除

故障排除

数据包捕获

数据包捕获工具是一项宝贵资产，可用于调试连接和配置问题，了解通过 Firepower 4100/9300 机箱的流量。您可以使用数据包捕获工具记录通过 Firepower 4100/9300 机箱上面向特定接口的流量。

您还可以创建多个数据包捕获会话，每个会话都可以捕获多个接口上的流量。对于包含在数据包捕获会话中的每个接口，将创建单独的数据包捕获 (PCAP) 文件。

背板端口映射

Firepower 4100/9300 机箱对内部背板端口使用以下映射：

安全模块

端口映射

说明

安全模块 1/安全引擎

Ethernet1/9

内部数据 0/0

安全模块 1/安全引擎

Ethernet1/10

内部数据 0/1

安全模块 2

Ethernet1/11

内部数据 0/0

安全模块 2

Ethernet1/12

内部数据 0/1

安全模块 3

Ethernet1/13

内部数据 0/0

安全模块 3

Ethernet1/14

内部数据 0/1

数据包捕获准则和限制

数据包捕获工具存在以下限制：

  • 捕获速度最多达到 100 Mbps。

  • 即使没有足够的存储空间来运行数据包捕获会话，依然可以创建数据包捕获会话。在开始数据包捕获会话之前，您应验证您有足够的存储空间。

  • 不支持多个活动数据包捕获会话。

  • 仅在内部交换机的入口阶段进行捕获。

  • 对于内部交换机无法理解的数据包（例如，安全组标记和网络服务报头数据包），过滤器不起作用。

  • 即使您在一个或多个父接口上设有多个子接口，针对每个会话也只可捕获一个子接口的数据包。

  • 无法捕获整个 EtherChannel 或 EtherChannel 子接口的数据包。然而，对于分配至逻辑设备的 EtherChannel，可以捕获 EtherChannel 每个成员接口上的数据包。 如果分配子接口而不是父接口，则无法捕获成员接口上的数据包。

  • 当捕获会话仍处于活动状态时，您无法复制或导出 PCAP 文件。

  • 删除数据包捕获会话时，与此会话相关的所有数据包捕获文件也将被删除。

创建或编辑数据包捕获会话

过程

步骤 1

进入数据包捕获模式：

Firepower-chassis # scope packet-capture

步骤 2

创建过滤器；请参阅配置数据包捕获的过滤器。

可以将过滤器应用于数据包捕获会话中包含的任何接口。
步骤 3

要创建或编辑数据包捕获会话：

Firepower-chassis /packet-capture # enter session session_name

步骤 4

指定要用于此数据包捕获会话的缓冲区大小：

Firepower-chassis /packet-capture/session* # set session-memory-usage session_size_in_megabytes

指定的缓冲区大小必须介于 1 和 2048 MB 之间。

步骤 5

指定要为此数据包捕获会话捕获的数据包长度：

Firepower-chassis /packet-capture/session* # set session-pcap-snaplength session_snap_length_in_bytes

指定的 Snap 长度必须在 64 到 9006 个字节之间。如果未配置会话 Snap 长度，则默认的捕获长度为 1518 个字节。
步骤 6

指定此数据包捕获会话中应包含的物理源端口。

您可以从多个端口捕获，也可以在同一数据包捕获会话期间同时从物理端口和应用端口捕获。将为会话中包含的每个端口创建单独的数据包捕获文件。无法捕获整个 EtherChannel 的数据包。然而，对于分配至逻辑设备的 EtherChannel，可以捕获 EtherChannel 每个成员接口上的数据包。 如果分配子接口而不是父 EtherChannel，则无法捕获成员接口上的数据包。

注 

要从数据包捕获会话中删除端口，请使用 delete 代替下面所列命令中的 create 。

  1. 指定物理端口。

    Firepower-chassis /packet-capture/session* # create {phy-port | phy-aggr-port} port_id

    示例:

    
Firepower-chassis /packet-capture/session* # create phy-port Ethernet1/1
Firepower-chassis /packet-capture/session/phy-port* #

  2. 捕获子接口上的数据包。

    Firepower-chassis /packet-capture/session/phy-port* # set subinterface id

    即使您在一个或多个父接口上设有多个子接口，针对每个捕获会话也只可捕获一个子接口的数据包。不支持 Etherchannel 的子接口。如果系统也将父接口分配至实例，您可以选择父接口或子接口；您无法同时选择两者。

    示例:

    
Firepower-chassis /packet-capture/session/phy-port* # set subinterface 100
Firepower-chassis /packet-capture/session/phy-port* #

  3. 对于容器实例，请指定容器实例名称。

    Firepower-chassis /packet-capture/session/phy-port* # set app-identifier instance_name

    示例:

    
Firepower-chassis /packet-capture/session/phy-port* # set app-identifier ftd-instance1
Firepower-chassis /packet-capture/session/phy-port* #

  4. 指定应用类型。

    Firepower-chassis /packet-capture/session/phy-port* # set app name

    示例:

    
Firepower-chassis /packet-capture/session/phy-port* # set app ftd
Firepower-chassis /packet-capture/session/phy-port* #

  5. (可选) 应用所需的过滤器。

    Firepower-chassis /packet-capture/session/phy-port* # set {source-filter} filtername

    注 

    要从端口删除过滤器，请使用 set source-filter "" 。

  6. 根据需要重复上述步骤，添加所需的所有端口。

步骤 7

指定此数据包捕获会话中应包含的应用源端口。

您可以从多个端口捕获，也可以在同一数据包捕获会话期间同时从物理端口和应用端口捕获。将为会话中包含的每个端口创建单独的数据包捕获文件。

注 

要从数据包捕获会话中删除端口，请使用 delete 代替下面所列命令中的 create 。

  1. 指定应用端口。

    Firepower-chassis /packet-capture/session* # create app_port module_slot link_name interface_name app_name

  2. 对于容器实例，请指定容器实例名称。

    Firepower-chassis /packet-capture/session/app-port* # set app-identifier instance_name

    示例:

    
Firepower-chassis /packet-capture/session/app-port* # set app-identifier ftd-instance1
Firepower-chassis /packet-capture/session/app-port* #

  3. (可选) 应用所需的过滤器。

    Firepower-chassis /packet-capture/session/phy-port* # set {source-filter} filtername

    注 

    要从端口删除过滤器，请使用 set source-filter "" 。

  4. 根据需要重复上述步骤，添加所需的所有应用端口。

步骤 8

如果想要现在开始数据包捕获会话：

Firepower-chassis /packet-capture/session* # enable

默认情况下，新建的数据包捕获会话处于禁用状态。提交更改后，明确启用会话会激活数据包捕获会话。如果有其他会话正处于活动状态，启用会话将生成错误。您必须禁用已处于活动状态的数据包捕获会话，才能启用此会话。

步骤 9

将任务提交到系统配置：

Firepower-chassis /packet-capture/session* # commit-buffer

如果已启用数据包捕获会话，系统将开始捕获数据包。要从会话下载 PCAP 文件，您需要先停止捕获。

示例

Firepower-chassis# scope packet-capture 
Firepower-chassis packet-capture # create session asa1inside
Firepower-chassis packet-capture/session # set session-memory-usage 256
Firepower-chassis packet-capture/session* # create phy-port Ethernet3/1
Firepower-chassis packet-capture/session* # create phy-aggr-port Ethernet2/1/1
Firepower-chassis packet-capture/session* # create app-port 1 link1 Ethernet 1/1 asa
Firepower-chassis packet-capture/session* # create filter interface1vlan100
Firepower-chassis packet-capture/filter* # set ivlan 100
Firepower-chassis packet-capture/filter* # set srcIP 6.6.6.6
Firepower-chassis packet-capture/filter* # set srcPort 80
Firepower-chassis packet-capture/filter* # set destIP 10.10.10.10
Firepower-chassis packet-capture/filter* # set destPort 5050
Firepower-chassis packet-capture/filter* # exit
Firepower-chassis packet-capture/session* # scope phy-port Ethernet3/1
Firepower-chassis packet-capture/session/phy-port* # set src-filter interface1vlan100
Firepower-chassis packet-capture/session/phy-port* # exit
Firepower-chassis packet-capture/session* # scope app-port 1 link1 Ethernet1/1 asa
Firepower-chassis packet-capture/session/app-port* # set src-filter interface1vlan100
Firepower-chassis packet-capture/session/app-port* # exit
Firepower-chassis packet-capture/session* # enable
Firepower-chassis packet-capture/session* # commit-buffer
Firepower-chassis packet-capture/session #

配置数据包捕获的过滤器

您可以创建过滤器来限制数据包捕获会话中包含的流量。在创建数据包捕获会话时，您可以选择哪些接口应使用特定过滤器。


注
如果您修改或删除已应用于当前正在运行的数据包捕获会话的过滤器，那么在您禁用并重新启用该会话后，更改才会生效。

过程

步骤 1

进入数据包捕获模式：

Firepower-chassis # scope packet-capture

步骤 2

要创建新的数据包捕获过滤器：

Firepower-chassis /packet-capture # create filter filter_name

要编辑现有的数据包捕获过滤器：

Firepower-chassis /packet-capture # enter filter filter_name

要删除现有的数据包捕获过滤器：

Firepower-chassis /packet-capture # delete filter filter_name

步骤 3

通过设置一个或多个过滤器属性，指定过滤器的详细信息：

Firepower-chassis /packet-capture/filter* # set <filterprop filterprop_value

注 

您可以使用 IPv4 或 IPv6 地址过滤，但无法在同一数据包捕获会话中同时过滤这两类地址。
表 1. 支持的过滤器属性

ivlan

内部 VLAN ID （进入端口时的数据包 VLAN）

ovlan

外部 VLAN ID（Firepower 4100/9300 机箱添加的 VLAN）

srcip

源 IP 地址 (IPv4)

destip

目的 IP 地址 (IPv4)

srcipv6

源 IP 地址 (IPv6)

destipv6

目的 IP 地址 (IPv6)

srcport

源端口号

destport

目的端口号

protocol

IP 协议 [IANA 定义的协议值，采用十进制格式]

ethertype

以太网协议类型 [IANA 定义的以太网协议类型值，采用十进制格式。例如：IPv4 = 2048，IPv6 = 34525，ARP = 2054，SGT = 35081]

srcmac

源 Mac 地址

destmac

目的 MAC 地址

示例

Firepower-chassis# scope packet-capture 
Firepower-chassis packet-capture # create filter interface1vlan100
Firepower-chassis packet-capture/filter* # set ivlan 100
Firepower-chassis packet-capture/filter* # set srcip 6.6.6.6
Firepower-chassis packet-capture/filter* # set srcport 80
Firepower-chassis packet-capture/filter* # set destip 10.10.10.10
Firepower-chassis packet-capture/filter* # set destport 5050
Firepower-chassis packet-capture/filter* # commit-buffer

启动和停止数据包捕获会话

过程

步骤 1

进入数据包捕获模式：

Firepower-chassis # scope packet-capture

步骤 2

输入您要启动或停止数据包捕获会话的范围：

Firepower-chassis /packet-capture # enter session session_name

步骤 3

要启动数据包捕获会话：

Firepower-chassis /packet-capture/session* # enable [append | overwrite]

注 

您无法在另一个会话运行时启动数据包捕获会话。

在数据包捕获会话运行时，单个 PCAP 文件的文件大小将随流量捕获而增加。一旦达到缓冲区大小限制，系统将开始丢弃数据包，您将会看到“丢弃计数 (Drop Count)”字段数值增加。

步骤 4

要停止数据包捕获会话：

Firepower-chassis /packet-capture/session* # disable

步骤 5

将任务提交到系统配置：

Firepower-chassis /packet-capture/session* # commit-buffer

如果已启用数据包捕获会话，会话中所包含的接口的 PCAP 文件将开始收集流量。如果会话配置为覆盖会话数据，现有的 PCAP 数据将会擦除。如果不这样配置，数据将被附加到现有文件（如有）。

示例

Firepower-chassis# scope packet-capture 
Firepower-chassis packet-capture # scope session asa1inside
Firepower-chassis packet-capture/session # enable append
Firepower-chassis packet-capture/session* # commit-buffer
Firepower-chassis packet-capture/session #

下载数据包捕获文件

您可将数据包捕获 (PCAP) 文件从会话下载到本地计算机，以便使用网络数据包分析器分析这些文件。

PCAP 文件将存储到 workspace://packet-capture 目录，并使用以下命名约定：

workspace://packet-capture/session-<id>/<session-name>-<interface-name>.pcap

过程

要从 Firepower 4100/9300 机箱复制 PCAP 文件：

注 

您应先停止数据包捕获会话，然后从该会话下载 PCAP 文件。

  1. 连接到本地管理：

    Firepower-chassis # connect localmgmt

  2. 复制 PCAP 文件：

    # copy pcap_file copy_destination

示例

Firepower-chassis# connect localmgmt 
# copy workspace:/packet-capture/session-1/test-ethernet-1-1-0.pcap scp://user@10.10.10.1:/workspace/

删除数据包捕获会话

如果单个数据包捕获会话当前未运行，则可将其删除，或者可以删除所有不活动的数据包捕获会话。

过程

步骤 1

进入数据包捕获模式：

Firepower-chassis # scope packet-capture

步骤 2

要删除特定的数据包捕获会话：

Firepower-chassis /packet-capture # delete session session_name

步骤 3

要删除所有不活动的数据包捕获会话：

Firepower-chassis /packet-capture # delete-all-sessions

步骤 4

将任务提交到系统配置：

Firepower-chassis /packet-capture* # commit-buffer

示例

Firepower-chassis# scope packet-capture 
Firepower-chassis packet-capture # delete session asa1inside
Firepower-chassis packet-capture* # commit-buffer
Firepower-chassis packet-capture #

测试网络连接

开始之前

要使用主机名或 IPv4 地址 ping 网络中的另一设备，以此来测试基本网络连接，请使用 ping 命令。要使用主机名或 IPv6 地址 ping 网络上中的另一设备，请使用 ping6 命令。

要使用主机名或 IPv4 地址跟踪网络中另一设备的路由，请使用 traceroute 命令。要使用主机名或 IPv6 地址跟踪网络中另一设备的路由，请使用 traceroute6 命令。

  • ping 和 ping6 命令可在 local-mgmt 模式下使用。

  • ping 命令还可在 module 模式下使用。

  • traceroute 和 traceroute6 命令可在 local-mgmt 模式下使用。

  • traceroute 命令还可在 module 模式下使用。

过程

步骤 1

通过输入以下命令之一连接到 local-mgmt 或 module 模式：

  • connect local-mgmt

  • connect module module-ID { console | telnet}

示例:

FP9300-A# connect local-mgmt
FP9300-A(local-mgmt)#
步骤 2

使用主机名或 IPv4 地址 ping 网络中的另一设备，以此来测试基本网络连接：

ping {hostname | IPv4_address } [ count number_packets ] | [ deadline seconds ] | [ interval seconds ] | [ packet-size bytes ]

示例:

此示例演示如何 ping 连接网络中的另一设备十二次： 


FP9300-A(local-mgmt)# ping 198.51.100.10 count 12
PING 198.51.100.10 (198.51.100.10) from 203.0.113.5 eth0: 56(84) bytes of data.
64 bytes from 198.51.100.10: icmp_seq=1 ttl=61 time=0.264 ms
64 bytes from 198.51.100.10: icmp_seq=2 ttl=61 time=0.219 ms
64 bytes from 198.51.100.10: icmp_seq=3 ttl=61 time=0.234 ms
64 bytes from 198.51.100.10: icmp_seq=4 ttl=61 time=0.205 ms
64 bytes from 198.51.100.10: icmp_seq=5 ttl=61 time=0.216 ms
64 bytes from 198.51.100.10: icmp_seq=6 ttl=61 time=0.251 ms
64 bytes from 198.51.100.10: icmp_seq=7 ttl=61 time=0.223 ms
64 bytes from 198.51.100.10: icmp_seq=8 ttl=61 time=0.221 ms
64 bytes from 198.51.100.10: icmp_seq=9 ttl=61 time=0.227 ms
64 bytes from 198.51.100.10: icmp_seq=10 ttl=61 time=0.224 ms
64 bytes from 198.51.100.10: icmp_seq=11 ttl=61 time=0.261 ms
64 bytes from 198.51.100.10: icmp_seq=12 ttl=61 time=0.261 ms

--- 198.51.100.10 ping statistics ---
12 packets transmitted, 12 received, 0% packet loss, time 11104ms
rtt min/avg/max/mdev = 51.005/51.062/51.164/0.064 ms

FP9300-A(local-mgmt)#
步骤 3

使用主机名或 IPv4 地址跟踪网络中另一设备的路由：

traceroute { hostname | IPv4_address}

示例:


FP9300-A(local-mgmt)# traceroute 198.51.100.10
traceroute to 198.51.100.10 (198.51.100.10), 30 hops max, 40 byte packets
 1  198.51.100.57 (198.51.100.57)  0.640 ms  0.737 ms  0.686 ms
 2  net1-gw1-13.cisco.com (198.51.100.101)  2.050 ms  2.038 ms  2.028 ms
 3  net1-sec-gw2.cisco.com (198.51.100.201)  0.540 ms  0.591 ms  0.577 ms
 4  net1-fp9300-19.cisco.com (198.51.100.108)  0.336 ms  0.267 ms  0.289 ms

FP9300-A(local-mgmt)#
步骤 4

（可选）输入 exit 退出 local-mgmt 模式并返回到顶级模式。

确定端口通道状态

您可以按照以下步骤来确定当前定义的端口通道的状态。

过程

步骤 1

通过输入以下命令进入 /eth-uplink/fabric 模式：

  • scope eth-uplink

  • scope fabric { a | b}

示例:

FP9300-A# scope eth-uplink
FP9300-A /eth-uplink # scope fabric a
FP9300-A /eth-uplink/fabric #
步骤 2

输入 show port-channel 命令以显示当前的端口通道列表以及每个通道的管理状态和运行状态。

示例:

FP9300-A /eth-uplink/fabric # show port-channel

Port Channel:
    Port Channel Id Name             Port Type          Admin
 State Oper State       State Reason
    --------------- ---------------- ------------------ -----
------ ---------------- ------------
    10              Port-channel10   Data               Enabl
ed     Failed           No operational members
    11              Port-channel11   Data               Enabl
ed     Failed           No operational members
    12              Port-channel12   Data               Disab
led    Admin Down       Administratively down
    48              Port-channel48   Cluster            Enabl
ed     Up

FP9300-A /eth-uplink/fabric #
步骤 3

通过输入以下命令进入 /port-channel 模式，以显示各个端口通道和端口信息：

  • scope port-channel ID

示例:

FP9300-A /eth-uplink/fabric/port-channel # top
FP9300-A# connect fxos
Cisco Firepower Extensible Operating System (FX-OS) Software
TAC support: http://www.cisco.com/tac
Copyright (c) 2002-2017, Cisco Systems, Inc. All rights reserved.

The copyrights to certain works contained in this software are
owned by other third parties and used and distributed under
license.

    <--- remaining lines removed for brevity --->
 
FP9300-A(fxos)#
步骤 4

输入 show 命令以显示指定端口通道的状态信息。el.

示例:

FP9300-A /eth-uplink/fabric/port-channel # show

Port Channel:
    Port Channel Id Name             Port Type          Admin
 State Oper State       State Reason
    --------------- ---------------- ------------------ -----
------ ---------------- ------------
    10              Port-channel10   Data               Enabl
ed     Failed           No operational members

FP9300-A /eth-uplink/fabric/port-channel #
步骤 5

输入 show member-port 命令以显示端口通道成员端口的状态信息。

示例:

FP9300-A /eth-uplink/fabric/port-channel # show member-port

Member Port:
    Port Name       Membership         Oper State       State Reas
on
    --------------- ------------------ ---------------- ----------
--
    Ethernet2/3     Suspended          Failed           Suspended
    Ethernet2/4     Suspended          Failed           Suspended

FP9300-A /eth-uplink/fabric/port-channel #

除非已将端口通道分配到逻辑设备，否则不会显示相关信息。如果从逻辑设备中移除端口通道或逻辑设备被删除，该端口通道将恢复为“暂停”状态。

步骤 6

要查看其他端口通道和 LACP 信息，请通过输入以下命令退出 /eth-uplink/fabric/port-channel 模式并进入 fxos 模式：

  • top

  • connect fxos

示例:
步骤 7

输入 show port-channel summary 命令以显示当前端口通道的摘要信息。

示例:

FP9300-A(fxos)# show port-channel summary
Flags:  D - Down        P - Up in port-channel (members)
        I - Individual  H - Hot-standby (LACP only)
        s - Suspended   r - Module-removed
        S - Switched    R - Routed
        U - Up (port-channel)
        M - Not in use. Min-links not met
-------------------------------------------------------------
-------------------
Group Port-       Type     Protocol  Member Ports
      Channel
-------------------------------------------------------------
-------------------
10    Po10(SD)    Eth      LACP      Eth2/3(s)    Eth2/4(s)  
  
11    Po11(SD)    Eth      LACP      Eth2/1(s)    Eth2/2(s)  
  
12    Po12(SD)    Eth      LACP      Eth1/4(D)    Eth1/5(D)  
  
48    Po48(SU)    Eth      LACP      Eth1/1(P)    Eth1/2(P)

其他 show port-channel 和 show lacp 命令可在 fxos 模式下使用。您可以使用这些命令来显示各种端口通道和 LACP 信息，例如容量、流量、计数器和使用率。

下一步做什么

有关创建端口通道的信息，请参阅添加 EtherChannel（端口通道）。

从软件故障中恢复

开始之前

在阻止系统成功引导的软件故障情况下，您可以使用以下程序引导新的软件版本。要完成该过程，您需要 TFTP 来引导启动映像，下载新的系统和管理器映像，然后使用新映像进行引导。

特定 FXOS 版本的恢复映像可以从 Cisco.com 上的以下任一位置获取：

恢复映像包含三个单独的文件。例如，以下是 FXOS 2.1.1.64 的当前恢复映像。

Recovery image (kickstart) for FX-OS 2.1.1.64.
fxos-k9-kickstart.5.0.3.N2.4.11.63.SPA

Recovery image (manager) for FX-OS 2.1.1.64.
fxos-k9-manager.4.1.1.63.SPA

Recovery image (system) for FX-OS 2.1.1.64.
fxos-k9-system.5.0.3.N2.4.11.63.SPA

过程

步骤 1

访问 ROMMON：

  1. 连接到控制台端口。

  2. 重启系统。

    系统将开始加载，并且在该过程中会显示一个倒计时计时器。

  3. 在倒计时期间按 Escape 键可进入 ROMMON 模式。

示例:

Cisco System ROMMON, version 1.0.09, RELEASE SOFTWARE 
Copright (c) 1994-2015 by Cisco Systems, Inc. 
Compiled Sun 01/01/1999 23:59:59:59.99 by user

Current image running: Boot ROM0
Last reset cause: LocalSoft
DIMM Slot 0 : Present
DIMM Slot 1 : Present
No USB drive !!

Platform FPR9K-SUP with 16384 Mbytes of main memory
MAC Address aa:aa:aa:aa:aa:aa

find the string ! boot bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.0.00.00.SPA 
  bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.0.00.00.SPA

Use BREAK, ESC or CTRL+L to interrupt boot.
use SPACE to begin boot immediately.
Boot interrupted.

rommon 1  >
步骤 2

TFTP 引导启动映像：

  1. 确认已正确设置管理 IP 地址、管理网络掩码和网关 IP 地址。您可以使用 set 命令查看其值。您可以使用 ping 命令测试与 TFTP 服务器的连接性。 

    rommon 1 > set
    ADDRESS=
    NETMASK=
    GATEWAY=
    SERVER=
    IMAGE=
    PS1="ROMMON ! > "
rommon > address <ip-address>
rommon > netmask <network-mask>
rommon > gateway <default-gateway>

  2. 将启动映像复制到可从 Firepower 4100/9300 机箱访问的 TFTP 目录。

    注 
    该启动映像的版本号将与捆绑包版本号不匹配。显示 FXOS 版本与启动映像之间映射的信息可在 Cisco.com 软件下载页面找到。

  3. 使用引导命令从 ROMMON 引导映像：

    boot tftp://<IP address>/<path to image>
    注 

    您还可以使用插入 Firepower 4100/9300 机箱前面板的 USB 插槽中的 USB 介质设备，从 ROMMON 引导启动映像。如果 USB 设备是在系统运行期间插入的，则您需要先重新启动系统，然后系统才会识别该 USB 设备。

    系统将显示一系列 # 指示正在接收映像并且随后会加载启动映像。

示例:

rommon 1 > set
    ADDRESS=
    NETMASK=
    GATEWAY=
    SERVER=
    IMAGE=
    PS1="ROMMON ! > "

rommon 2 > address 10.0.0.2
rommon 3 > netmask 255.255.255.0
rommon 4 > gateway 10.0.0.1
rommon 5 > ping 10.0.0.2
..!!!!!!!!!!
Success rate is 100 percent (10/10)
rommon 6 > ping 192.168.1.2
..!!!!!!!!!!
Success rate is 100 percent (10/10)

rommon 7 > boot tftp://192.168.1.2/fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA
             ADDRESS: 10.0.0.2
             NETMASK: 255.255.255.0
             GATEWAY: 10.0.0.1
              SERVER: 192.168.1.2
               IMAGE: fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA

        TFTP_MACADDR: aa:aa:aa:aa:aa:aa
............................................................................

Receiving fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA from 192.168.1.2

###############################################################################
###############################################################################
#############################################################################

File reception completed.
步骤 3

下载与您刚刚加载到 Firepower 4100/9300 机箱的启动映像相匹配的恢复系统和管理器映像：

  1. 要下载恢复系统和管理器映像，您需要设置管理 IP 地址和网关。您无法通过 USB 下载这些映像。

    switch(boot)# config terminal
switch(boot)(config)# interface mgmt 0
switch(boot)(config-if)# ip address <ip address> <netmask>
switch(boot)(config-if)# no shutdown
switch(boot)(config-if)# exit
switch(boot)(config)# ip default-gateway <gateway>
switch(boot)(config)# exit

  2. 将恢复系统和管理器映像从远程服务器复制到 bootflash：

    switch(boot)# copy URL bootflash:

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://username@hostname/ path/ image_name

    • scp://username@hostname/ path/ image_name

    • sftp://username@hostname/ path/ image_name

    • tftp://hostname/ path/ image_name

    示例:

    switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-system.5.0.3.N2.4.11.69.SPA
  bootflash:

switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-manager.4.1.1.69.SPA
  bootflash:

  3. 将映像成功复制到 Firepower 4100/9300 机箱后，创建一个自 nuova-sim-mgmt-nsg.0.1.0.001.bin 的管理器映像系统链接。此链接可向加载机制指明要加载的管理器映像。该系统链接的名称应始终为 nuova-sim-mgmt-nsg.0.1.0.001.bin，无论您尝试加载什么映像都是如此。 

    switch(boot)# copy bootflash:<manager-image> 
  bootflash:nuova-sim-mgmt-nsg.0.1.0.001.bin

示例:

switch(boot)# config terminal
Enter configuration commands, one per line.  End with CNTL/Z.

switch(boot)(config)# interface mgmt 0
switch(boot)(config-if)# ip address 10.0.0.2 255.255.255.0
switch(boot)(config-if)# no shutdown
switch(boot)(config-if)# exit
switch(boot)(config)# ip default-gateway 10.0.0.1
switch(boot)(config)# exit
switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-system.5.0.3.N2.4.11.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-manager.4.1.1.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy bootflash:fxos-k9-manager.4.1.1.69.SPA
  bootflash:nuova-sim-mgmt-nsg.0.1.0.001.bin

Copy complete, now saving to disk (please wait)...

switch(boot)#
步骤 4

加载您刚刚下载的系统映像：

switch(boot)# load bootflash:<system-image>

示例:

switch(boot)# load bootflash:fxos-k9-system.5.0.3.N2.4.11.69.SPA
Uncompressing system image: bootflash:/fxos-k9-system.5.0.3.N2.4.11.69.SPA


Manager image digital signature verification successful
...
System is coming up ... Please wait ...


Cisco FPR Series Security Appliance
FP9300-A login:
步骤 5

加载恢复映像后，输入以下命令以避免系统尝试加载旧映像：

注 

在加载恢复映像后应立即执行此步骤。

 
FP9300-A# scope org
FP9300-A /org # scope fw-platform-pack default
FP9300-A /org/fw-platform-pack # set platform-bundle-version ""
Warning: Set platform version to empty will result software/firmware incompatibility issue.
FP9300-A /org/fw-platform-pack* # commit-buffer
步骤 6

下载并安装您要在 Firepower 4100/9300 机箱上使用的平台捆绑包映像。有关详细信息，请参阅映像管理。

示例:

FP9300-A# scope firmware
FP9300-A /firmware # show download-task

Download task:
    File Name Protocol Server          Port       Userid          State
    --------- -------- --------------- ---------- --------------- -----
    fxos-k9.2.1.1.73.SPA
              Tftp     192.168.1.2            0                 Downloaded
FP9300-A /firmware # show package fxos-k9.2.1.1.73.SPA detail
Firmware Package fxos-k9.2.1.1.73.SPA:
    Version: 2.1(1.73)
    Type: Platform Bundle
    State: Active
Time Stamp: 2012-01-01T07:40:28.000
Build Date: 2017-02-28 13:51:08 UTC
FP9300-A /firmware #

从损坏的文件系统中恢复

开始之前

如果管理引擎的板载闪存损坏，并且系统无法再成功启动，您可以使用以下程序恢复系统。要完成该过程，您需要 TFTP 来引导启动映像，重新格式化闪存，下载新的系统和管理器映像，然后使用新映像进行引导。


注

此程序包括重新格式化系统闪存。因此，您需要在系统恢复后对其进行完全重新配置。

特定 FXOS 版本的恢复映像可以从 Cisco.com 上的以下任一位置获取：

恢复映像包含三个单独的文件。例如，以下是 FXOS 2.1.1.64 的恢复映像。

Recovery image (kickstart) for FX-OS 2.1.1.64.
fxos-k9-kickstart.5.0.3.N2.4.11.63.SPA

Recovery image (manager) for FX-OS 2.1.1.64.
fxos-k9-manager.4.1.1.63.SPA

Recovery image (system) for FX-OS 2.1.1.64.
fxos-k9-system.5.0.3.N2.4.11.63.SPA

过程

步骤 1

访问 ROMMON：

  1. 连接到控制台端口。

  2. 重启系统。

    系统将开始加载，并且在该过程中会显示一个倒计时计时器。

  3. 在倒计时期间按 Escape 键可进入 ROMMON 模式。

示例:

Cisco System ROMMON, version 1.0.09, RELEASE SOFTWARE 
Copright (c) 1994-2015 by Cisco Systems, Inc. 
Compiled Sun 01/01/1999 23:59:59:59.99 by user

Current image running: Boot ROM0
Last reset cause: LocalSoft
DIMM Slot 0 : Present
DIMM Slot 1 : Present
No USB drive !!

Platform FPR9K-SUP with 16384 Mbytes of main memory
MAC Address aa:aa:aa:aa:aa:aa

find the string ! boot bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.0.00.00.SPA 
  bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.0.00.00.SPA

Use BREAK, ESC or CTRL+L to interrupt boot.
use SPACE to begin boot immediately.
Boot interrupted.

rommon 1  >
步骤 2

TFTP 引导启动映像：

  1. 确认已正确设置管理 IP 地址、管理网络掩码和网关 IP 地址。您可以使用 set 命令查看其值。您可以使用 ping 命令测试与 TFTP 服务器的连接性。 

    rommon 1 > set
    ADDRESS=
    NETMASK=
    GATEWAY=
    SERVER=
    IMAGE=
    PS1="ROMMON ! > "
rommon > address <ip-address>
rommon > netmask <network-mask>
rommon > gateway <default-gateway>

  2. 将启动映像复制到可从 Firepower 4100/9300 机箱访问的 TFTP 目录。

    注 
    该启动映像的版本号将与捆绑包版本号不匹配。显示 FXOS 版本与启动映像之间映射的信息可在 Cisco.com 软件下载页面找到。

  3. 使用引导命令从 ROMMON 引导映像：

    boot tftp://<IP address>/<path to image>
    注 

    您还可以使用插入 Firepower 4100/9300 机箱前面板的 USB 插槽中的 USB 介质设备，从 ROMMON 引导启动映像。如果 USB 设备是在系统运行期间插入的，则您需要先重新启动系统，然后系统才会识别该 USB 设备。

    系统将显示一系列 # 指示正在接收映像并且随后会加载启动映像。

示例:

rommon 1 > set
    ADDRESS=
    NETMASK=
    GATEWAY=
    SERVER=
    IMAGE=
    PS1="ROMMON ! > "

rommon 2 > address 10.0.0.2
rommon 3 > netmask 255.255.255.0
rommon 4 > gateway 10.0.0.1
rommon 5 > ping 10.0.0.2
..!!!!!!!!!!
Success rate is 100 percent (10/10)
rommon 6 > ping 192.168.1.2
..!!!!!!!!!!
Success rate is 100 percent (10/10)

rommon 7 > boot tftp://192.168.1.2/fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA
             ADDRESS: 10.0.0.2
             NETMASK: 255.255.255.0
             GATEWAY: 10.0.0.1
              SERVER: 192.168.1.2
               IMAGE: fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA

        TFTP_MACADDR: aa:aa:aa:aa:aa:aa
............................................................................

Receiving fxos-k9-kickstart.5.0.3.N2.1.11.1.SPA from 192.168.1.2

###############################################################################
###############################################################################
#############################################################################

File reception completed.
步骤 3

加载 kickstart 映像后，使用 init system 命令重新格式化闪存。

init system 命令会擦除闪存内容，包括下载到系统的所有软件映像以及系统上的所有配置。完成该命令大概需要 20-30 分钟。

示例:

switch(boot)# init system

This command is going to erase your startup-config, licenses as well as the contents of your bootflash:.

Do you want to continue? (y/n)  [n] y

Detected 32GB flash...
Initializing the system
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Initializing startup-config and licenses
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Formatting bootflash:
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Formatting SAM partition:
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Formatting Workspace partition:
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
Formatting Sysdebug  partition:
mke2fs 1.35 (28-Feb-2004)
Checking for bad blocks (read-only test):        done
步骤 4

将恢复映像下载到 Firepower 4100/9300 机箱：

  1. 要下载恢复映像，您需要设置管理 IP 地址和网关。您无法通过 USB 下载这些映像。

    switch(boot)# config terminal
switch(boot)(config)# interface mgmt 0
switch(boot)(config-if)# ip address <ip address> <netmask>
switch(boot)(config-if)# no shutdown
switch(boot)(config-if)# exit
switch(boot)(config)# ip default-gateway <gateway>
switch(boot)(config)# exit

  2. 将三个恢复映像从远程服务器复制到 bootflash：

    switch(boot)# copy URL bootflash:

    使用以下语法之一，为正在导入的文件指定 URL：

    • ftp://username@hostname/ path/ image_name

    • scp://username@hostname/ path/ image_name

    • sftp://username@hostname/ path/ image_name

    • tftp://hostname/ path/ image_name

    示例:

    switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-kickstart.5.0.3.N2.4.11.69.SPA
  bootflash:

switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-system.5.0.3.N2.4.11.69.SPA
  bootflash:

switch(boot)# copy
  scp://<username>@192.168.1.2/recovery_images/fxos-k9-manager.4.1.1.69.SPA
  bootflash:

  3. 将映像成功复制到 Firepower 4100/9300 机箱后，创建一个自 nuova-sim-mgmt-nsg.0.1.0.001.bin 的管理器映像系统链接。此链接可向加载机制指明要加载的管理器映像。该系统链接的名称应始终为 nuova-sim-mgmt-nsg.0.1.0.001.bin，无论您尝试加载什么映像都是如此。 

    switch(boot)# copy bootflash:<manager-image> 
  bootflash:nuova-sim-mgmt-nsg.0.1.0.001.bin

示例:

switch(boot)# config terminal
Enter configuration commands, one per line.  End with CNTL/Z.

switch(boot)(config)# interface mgmt 0
switch(boot)(config-if)# ip address 10.0.0.2 255.255.255.0
switch(boot)(config-if)# no shutdown
switch(boot)(config-if)# exit
switch(boot)(config)# ip default-gateway 10.0.0.1
switch(boot)(config)# exit
switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-kickstart.5.0.3.N2.4.11.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-system.5.0.3.N2.4.11.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy
  tftp://192.168.1.2/recovery_images/fxos-k9-manager.4.1.1.69.SPA
  bootflash:
Trying to connect to tftp server......
Connection to server Established. Copying Started.....
/
TFTP get operation was successful
Copy complete, now saving to disk (please wait)...

switch(boot)# copy bootflash:fxos-k9-manager.4.1.1.69.SPA
  bootflash:nuova-sim-mgmt-nsg.0.1.0.001.bin

Copy complete, now saving to disk (please wait)...

switch(boot)#
步骤 5

重新加载交换机：

switch(boot)# reload

示例:

switch(boot)# reload
This command will reboot this supervisor module. (y/n) ? y
[ 1866.310313] Restarting system.

!!  Rommon image verified successfully  !!


Cisco System ROMMON, Version 1.0.11, RELEASE SOFTWARE
Copyright (c) 1994-2016  by Cisco Systems, Inc.
Compiled Wed 11/23/2016 11:23:23.47 by builder
Current image running: Boot ROM1
Last reset cause: ResetRequest
DIMM Slot 0 : Present
DIMM Slot 1 : Present
No USB drive !! 
BIOS has been locked !!

Platform FPR9K-SUP with 16384 Mbytes of main memory
MAC Address: bb:aa:77:aa:aa:bb

autoboot: Can not find autoboot file 'menu.lst.local' 
          Or can not find correct boot string !!
rommon 1 >
步骤 6

从启动和系统映像引导：

rommon 1 > boot <kickstart-image> <system-image>
注 

在加载系统映像期间，您很可能会看到许可证管理器失败消息。可以安全忽略这些消息。

示例:

rommon 1 > dir
Directory of: bootflash:\

  01/01/12  12:33a <DIR>          4,096  .
  01/01/12  12:33a <DIR>          4,096  ..
  01/01/12  12:16a <DIR>         16,384  lost+found
  01/01/12  12:27a           34,333,696  fxos-k9-kickstart.5.0.3.N2.4.11.69.SPA
  01/01/12  12:29a          330,646,465  fxos-k9-manager.4.1.1.69.SPA
  01/01/12  12:31a          250,643,172  fxos-k9-system.5.0.3.N2.4.11.69.SPA
  01/01/12  12:34a          330,646,465  nuova-sim-mgmt-nsg.0.1.0.001.bin
          4 File(s) 946,269,798 bytes
          3 Dir(s)

rommon 2 > boot fxos-k9-kickstart.5.0.3.N2.4.11.69.SPA fxos-k9-system.5.0.3.N2.4.11.69.SPA
  !!   Kickstart Image verified successfully   !!

Linux version: 2.6.27.47 (security@cisco.com) #1 SMP Thu Nov 17 18:22:00 PST 2016
[    0.000000] Fastboot Memory at 0c100000 of size 201326592
Usage: init 0123456SsQqAaBbCcUu

INIT: version 2.86 booting

POST INIT Starts at Sun Jan  1 00:27:32 UTC 2012
S10mount-ramfs.supnuovaca Mounting /isan 3000m
Mounted /isan
Creating /callhome..
Mounting /callhome..
Creating /callhome done.
Callhome spool file system init done.
Platform is BS or QP MIO: 30
FPGA Version 0x00010500 FPGA Min Version 0x00000600
Checking all filesystems..r.r..r done.
Warning: switch is starting up with default configuration
Checking NVRAM block device ... done
. 
FIPS power-on self-test passed
Unpack CMC Application software
Loading system software
Uncompressing system image: bootflash:/fxos-k9-system.5.0.3.N2.4.11.69.SPA


Manager image digital signature verification successful

...

System is coming up ... Please wait ...
nohup: appending output to `nohup.out'

           ---- Basic System Configuration Dialog ----

  This setup utility will guide you through the basic configuration of
  the system. Only minimal configuration including IP connectivity to
  the Fabric interconnect and its clustering mode is performed through these steps.

  Type Ctrl-C at any time to abort configuration and reboot system.
  To back track or make modifications to already entered values,
  complete input till end of section and answer no when prompted
  to apply configuration.


  You have chosen to setup a new Security Appliance. Continue? (y/n):
步骤 7

加载映像后，系统将提示您进入初始配置设置。有关详细信息，请参阅使用控制台端口的初始配置。

步骤 8

下载您要在 Firepower 4100/9300 机箱上使用的平台捆绑包映像。有关详细信息，请参阅映像管理。

示例:

FP9300-A# scope firmware
FP9300-A /firmware # show download-task

Download task:
    File Name Protocol Server          Port       Userid          State
    --------- -------- --------------- ---------- --------------- -----
    fxos-k9.2.1.1.73.SPA
              Tftp     192.168.1.2            0                 Downloaded
FP9300-A /firmware # show package fxos-k9.2.1.1.73.SPA detail
Firmware Package fxos-k9.2.1.1.73.SPA:
    Version: 2.1(1.73)
    Type: Platform Bundle
    State: Active
Time Stamp: 2012-01-01T07:40:28.000
Build Date: 2017-02-28 13:51:08 UTC
FP9300-A /firmware #
步骤 9

安装您在上一步中下载的平台捆绑包映像：

  1. 进入自动安装模式：

    Firepower-chassis /firmware # scope auto-install

  2. 安装 FXOS 平台捆绑包：

    Firepower-chassis /firmware/auto-install # install platform platform-vers version_number

    version_number 是您正在安装的 FXOS平台捆绑包的版本号，例如 2.1(1.73)。

  3. 系统将首先验证想要安装的软件包。它会告知您当前已安装的应用与指定的 FXOS 平台软件包之间的所有不兼容。此外，它还会警告您，在升级过程中，任何现有会话都将终止，系统将需要重启。

    输入yes ，确认您想要继续验证。

  4. 输入yes 确认您想要继续安装，或者输入no 取消安装。

    Firepower 可扩展操作系统打开捆绑包，升级/重新加载组件。

  5. 要监控升级流程，请执行以下操作：

    • 输入 scope firmware 。

    • 输入 scope auto-install 。

    • 输入 show fsm status expand 。

步骤 10

如果您安装的平台捆绑包映像与用于恢复系统的映像一致，必须手动激活 kickstart 和系统映像，以便在将来加载系统时使用。安装映像与所使用的恢复映像一致的平台捆绑包时，系统不会自动激活。

  1. 设置交换矩阵互联 a 的范围： 

    FP9300-A# scope fabric-interconnect a

  2. 使用 show version 命令查看正在运行的内核版本和系统版本。您将使用这些字符串激活映像。 

    FP9300-A /fabric-interconnect # show version
    注 

    如果启动内核版本和启动系统版本已设置且与运行内核版本和运行系统版本相匹配，则无需激活映像，并且可以转至步骤 11。

  3. 输入以下命令以激活映像： 

    FP9300-A /fabric-interconnect # activate firmware 
  kernel-version <running_kernel_version> system-version <running_system_version>
commit-buffer
    注 

    服务器状态可能更改为“Disk Failed”。您无需担心此消息，并可继续执行此程序。

  4. 使用 show version 命令确认已正确设置启动版本并监控映像的激活状态。

    重要 

    在状态从“Activating”更改为“Ready”之前，请勿继续进行下一步。

    		 
    FP9300-A /fabric-interconnect # show version

示例:

FP9300-A /firmware # top
FP9300-A# scope fabric-interconnect a
FP9300-A /fabric-interconnect # show version
Fabric Interconnect A:
    Running-Kern-Vers: 5.0(3)N2(4.11.69)
    Running-Sys-Vers: 5.0(3)N2(4.11.69)
    Package-Vers: 2.1(1.73)
    Startup-Kern-Vers:
    Startup-Sys-Vers:
    Act-Kern-Status: Ready
    Act-Sys-Status: Ready
    Bootloader-Vers:

FP9300-A /fabric-interconnect # activate firmware kernel-version 
  5.0(3)N2(4.11.69) system-version 5.0(3)N2(4.11.69)
Warning: When committed this command will reset the end-point
FP9300-A /fabric-interconnect* # commit-buffer
FP9300-A /fabric-interconnect # show version
Fabric Interconnect A:
    Running-Kern-Vers: 5.0(3)N2(4.11.69)
    Running-Sys-Vers: 5.0(3)N2(4.11.69)
    Package-Vers: 2.1(1.73)
    Startup-Kern-Vers: 5.0(3)N2(4.11.69)
    Startup-Sys-Vers: 5.0(3)N2(4.11.69)
    Act-Kern-Status: Activating
    Act-Sys-Status: Activating
    Bootloader-Vers:

FP9300-A /fabric-interconnect # show version
Fabric Interconnect A:
    Running-Kern-Vers: 5.0(3)N2(4.11.69)
    Running-Sys-Vers: 5.0(3)N2(4.11.69)
    Package-Vers: 2.1(1.73)
    Startup-Kern-Vers: 5.0(3)N2(4.11.69)
    Startup-Sys-Vers: 5.0(3)N2(4.11.69)
    Act-Kern-Status: Ready
    Act-Sys-Status: Ready
    Bootloader-Vers:
步骤 11

重新启动系统：

示例:

FP9300-A /fabric-interconnect # top
FP9300-A# scope chassis 1
FP9300-A /chassis # reboot no-prompt
Starting chassis reboot. Monitor progress with the command "show fsm status"
FP9300-A /chassis #

系统在最终关闭之前会先关闭每个安全模块/引擎，然后才重启 Firepower 4100/9300 机箱。此过程大约需要 5-10 分钟。

步骤 12

监控系统状态。服务器状态应从“Discovery”转为“Config”，最后转为“Ok”。

示例:

FP9300-A# show server status 
Server  Slot Status                       Overall Status        Discovery
------- --------------------------------- --------------------- ---------
1/1     Equipped                          Discovery             In Progress
1/2     Equipped                          Discovery             In Progress
1/3     Empty

FP9300-A# show server status
Server  Slot Status                       Overall Status        Discovery
------- --------------------------------- --------------------- ---------
1/1     Equipped                          Config                Complete
1/2     Equipped                          Config                Complete
1/3     Empty

FP9300-A# show server status
Server  Slot Status                       Overall Status        Discovery
------- --------------------------------- --------------------- ---------
1/1     Equipped                          Ok                    Complete
1/2     Equipped                          Ok                    Complete
1/3     Empty

当整体状态为“Ok”时，您的系统即已恢复。您仍必须重新配置安全设备（包括许可证配置），并重新创建所有逻辑设备。更多详情：

管理员密码未知时恢复出厂默认配置

此程序可将 Firepower 4100/9300 机箱系统恢复为其默认配置设置，包括管理员密码。当管理员密码未知时，可遵照此程序重置设备上的配置。


注

此程序需要控制台访问 Firepower 4100/9300 机箱。

过程

步骤 1

使用所提供的控制台电缆将 PC 连接到控制台端口，并使用已设置为 9600 波特、8 个数据位、无奇偶校验、1 个停止位、无流量控制功能的终端仿真器连接到控制台。有关控制台电缆的详细信息，请参阅《思科 Firepower 9300 硬件安装指南》。

步骤 2

启动设备。系统显示以下提示时，按 ESC 键停止启动。

示例:

!!  Rommon image verified successfully  !!

Cisco System ROMMON, Version 1.0.09, RELEASE SOFTWARE
Copyright (c) 1994-2015  by Cisco Systems, Inc.

Current image running: Boot ROM0
Last reset cause: ResetRequest
DIMM Slot 0 : Present
DIMM Slot 1 : Present
No USB drive !!
BIOS has been locked !!

Platform FPR9K-SUP with 16384 Mbytes of main memory
MAC Address: 00:00:00:00:00:00

find the string ! boot bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.3.14.69.SPA bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.3.14.69.SPA

Use BREAK, ESC or CTRL+L to interrupt boot.
Use SPACE to begin boot immediately.
Boot interrupted.
rommon 1 >
步骤 3

记下启动和系统映像名称：

示例:

bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.3.14.69.SPA 
bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.3.14.69.SPA
步骤 4

加载启动映像：

rommon 1 > boot kickstart_image

示例:

rommon 1 > boot bootflash:/installables/switch/fxos-k9-kickstart.5.0.3.N2.3.14.69.SPA
 !! Kickstart Image verified successfully !!

Linux version: 2.6.27.47 (security@cisco.com) #1 SMP Tue Nov 24 12:10:28 PST 2015
[ 0.000000] Fastboot Memory at 0c100000 of size 201326592
Usage: init 0123456SsQqAaBbCcUu
INIT: POST INIT Starts at Wed Jun 1 13:46:33 UTC 2016
can't create lock file /var/lock/mtab~302: No such file or directory (use -n flag to override)
S10mount-ramfs.supnuovaca Mounting /isan 3000m
Mounted /isan
TAC support: http://www.cisco.com/tac
Copyright (c) 2002-2015, Cisco Systems, Inc. All rights reserved.
The copyrights to certain works contained in this software are
owned by other third parties and used and distributed under
license. Certain components of this software are licensed under
the GNU General Public License (GPL) version 2.0 or the GNU
Lesser General Public License (LGPL) Version 2.1. A copy of each
such license is available at
http://www.opensource.org/licenses/gpl-2.0.php and
http://www.opensource.org/licenses/lgpl-2.1.php
switch(boot)#
步骤 5

输入配置终端模式：

switch(boot) # config terminal

示例:

switch(boot)#
switch(boot)# config terminal
Enter configuration commands, one per line.  End with CNTL/Z.
步骤 6

重置密码并确认更改：

switch(boot) (config) # admin-password erase
注 

此步骤会清除所有配置并将系统恢复为其默认配置设置。

示例:

switch(boot)(config)# admin-password erase
Your password and configuration will be erased!
Do you want to continue? (y/n)  [n] y
步骤 7

退出配置终端模式：

switch(boot) (config) # exit
步骤 8

加载此程序第 3 步中提到的系统映像，然后使用初始配置任务流从头配置您的系统。

switch(boot) # load system_image

示例:

switch(boot)# load bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.3.14.69.SPA

Uncompressing system image: bootflash:/installables/switch/fxos-k9-system.5.0.3.N2.3.14.69.SPA

Firepower 威胁防御群集成员的灾难恢复

在灾难恢复场景之后，使用此程序和 Firepower 威胁防御，将 Firepower 4100/9300 群集成员恢复在线状态并加入一个群集。请注意，如果与群集设备关联的 Firepower 威胁防御应用版本不同步，您必须按照更新逻辑设备的映像版本中所述的步骤，使其同步为相同版本。

开始之前

使用配置导出功能将包含 Firepower 4100/9300 机箱的逻辑设备和平台配置设置的 XML 文件导出到远程服务器或本地计算机。有关详细信息，请参阅关于配置导入/导出。

过程

步骤 1

从属设备正常运行后，恢复备份。有关如何导入配置的说明，请参阅导入配置文件。应用安装开始。

步骤 2

接受许可协议。
步骤 3

如有必要，设置应用的启动版本，以便群集中各个设备上的版本匹配。有关如何设置应用启动版本的说明，请参阅更新逻辑设备的映像版本。

步骤 4

一旦更改应用启动版本，请重新初始化安全模块，以使 Firepower 威胁防御运行版本与启动版本相匹配。

  1. 导航到“安全模块/安全引擎”页面。

  2. 单击 Reinitialize Security Engine 按钮。

  3. 单击“是”，以确认更改。系统会重新格式化安全模块并重新安装应用启动版本。

应用将恢复在线状态并加入群集。
步骤 5

确认应用的启动版本和运行版本相同。

  1. 在 FXOS CLI 中，进入安全服务模式：

    Firepower scope ssa

  2. 显示应用实例：

    firepower /ssa # show app-instance

    示例:

    firepower /ssa # show app-instance 
App Name   Slot ID    Admin State Oper State       Running Version Startup Version Profile Name Cluster State   Cluster Role
---------- ---------- ----------- ---------------- --------------- --------------- ------------ --------------- ------------
ftd        1          Enabled     Online           6.2.3.1624      6.2.3.1624                   In Cluster      Slave
步骤 6

在 Firepower 管理中心，删除从属设备成员。请参阅 Firepower 管理中心配置指南中的“删除从属设备成员”。
步骤 7

将恢复的 Firepower 9300/4100 从属设备重新添加到 Firepower 管理中心。请参阅 Firepower 管理中心配置指南中的“替换群集成员”。

生成故障排除日志文件

您可以生成日志文件来帮助进行故障排除，或在需要时发送至思科 TAC。

过程

步骤 1

选择工具 > 故障排除日志。

步骤 2

从下拉列表中选择您想要生成的日志文件类型：

  • FPRM - 生成用于排除软件（包括管理引擎和服务管理器）问题的日志文件。

  • 机箱 - 生成用于排除机箱硬件问题的日志文件。

  • 模块 <#> - 生成用于排除安全模块/引擎问题的日志文件。

步骤 3

单击生成日志。

步骤 4

单击是确认您想要生成日志文件。

日志文件已生成。此过程可能需要一些时间。系统生成日志文件过程中，将显示黄色状态消息。您可以单击状态消息中的中止作业取消生成日志文件。系统生成日志文件后，状态消息颜色变为绿色，表示作业已成功完成。

步骤 5

要下载生成的日志文件，请导航至下载文件列表中的日志文件，然后单击下载。日志文件存储在 techsupport 文件夹下。

注 

您可能需要单击刷新才能在下载文件列表中显示新生成的文件。

步骤 6

要删除生成的日志文件，请导航至下载文件列表中的日志文件，然后单击删除。

此文档是否有帮助?

Feedback反馈

联系我们