升级 Firepower 7000/8000 系列和 NGIPSv

升级核对表：带有 FMC 的 Firepower 7000/8000 系列和 NGIPSv

请在升级 Firepower 7000/8000 系列和 NGIPSv 设备之前填写此核对表。


注

在此过程中的任何时候，请确保保持部署通信和运行状况。请勿重启正在进行的设备升级。升级过程在预检查期间可能会显示为非活动；这是预期行为。如果您遇到升级问题，升级失败的升级或无响应的设备，请联系 Cisco TAC。

规划和可行性

认真规划和准备可以帮助您避免失误。

表 1.

✓

操作/检查

计划升级路径。

这对于多设备部署、多跳升级或需要升级操作系统或托管环境，同时还要保持部署兼容性的情况尤其重要。始终了解已经完成的升级和即将执行的升级。

注

 

在 FMC 部署中，通常先升级 FMC，然后再升级其受管设备。但是，在某些情况下，您可能需要先升级设备。

请参阅升级路径。

阅读所有升级指南和计划配置更改。

尤其是对于主要版本升级而言，升级可能会导致您或需要您在升级前或升级后的重大配置更改。从版本说明开始，版本说明包含重要且特定于版本的信息，包括升级警告、行为更改、新功能和弃用的功能以及已知问题。

检查设备访问。

设备可以在升级期间或在升级失败时停止传输流量（具体取决于接口配置）。升级之前，请确保来自您所在位置的流量不必遍历设备本身即可访问设备的管理界面。在 FMC 部署中，您还必须能够访问 FMC 管理界面而不遍历设备。

检查带宽。

确保管理网络具有执行大型数据传输的带宽。在 FMC 部署中，如果您在升级时将升级包传输到托管设备，则带宽不足会延长升级时间，甚至导致升级超时。如有可能，请在启动设备升级之前将升级软件包复制到受管设备。

请参阅将数据从 Firepower 管理中心下载到受管设备的准则（故障排除技术说明）。

安排维护窗口。

考虑对流量和检查的任何影响以及升级可能需要的时间，将维护窗口安排在影响最小的时候。此外，还要考虑您必须在该维护窗口中执行的任务，以及可以提前执行的任务。例如，不要等到维护窗口将升级包复制到设备，运行就绪性检查，执行备份等操作。

升级程序包

思科支持和下载站点上可以获取升级包。

表 2.

✓

操作/检查

将升级包上传到 FMC。

请参阅上传到 Firepower 管理中心。

将升级包复制到设备。

如果 FMC 运行的是版本 6.2.3+，我们建议您在启动设备升级之前将软件包复制（推送）到受管设备。

请参阅复制到托管设备。

备份

灾难恢复能力是任何系统维护计划的重要组成部分。

备份和恢复可能是一个复杂的过程。您不想跳过任何步骤或忽略安全或许可问题。有关备份和恢复的要求、指南、限制和最佳实践的详细信息，请参阅适用于您的部署的配置指南。


小心

我们强烈建议在升级前和升级后，备份到安全的远程位置并验证传输是否成功。

表 3.

✓

操作/检查

备份 7000/8000 系列设备。

使用 FMC 备份 7000/8000 系列设备。NGIPSv 不支持备份。

如果支持：

  • 升级前：如果升级失败是灾难性的，您可能必须重新映像并恢复。重新映像会将大多数设置恢复为出厂默认设置，包括系统密码。如果您有最近的备份，可以更快地恢复正常操作。

  • 升级后：这会创建新升级的部署的快照。在 FMC 部署中，我们建议您在升级其受管设备后备份 FMC，以便新的 FMC 备份文件“知道”其设备已升级。

关联升级

由于操作系统和托管环境升级会影响流量和检查，因此请在维护窗口中执行。

表 4.

✓

操作/检查

升级虚拟主机。

如果需要，请升级任何虚拟设备的托管环境。如果需要执行此操作，通常是因为您运行的是旧版 VMware 并正在执行主要设备升级。

最终检查

一系列最终检查可确保您已准备好升级。

表 5.

✓

操作/检查

检查配置。

确保您已进行任何必要的升级前配置更改，并准备进行必要的升级后配置更改。

检查 NTP 同步。

确保所有设备与您正在使用提供时间的 NTP 服务器进行同步。不同步可能会导致升级失败。在 FMC 部署中，如果时钟不同步超过 10 秒，运行状况模块会发出警报，但您仍应手动进行检查。

要检查时间，请执行以下操作：

  • FMC：选择系统 > 配置 > 时间。

  • 设备：使用 show time CLI 命令。

检查硬盘空间。

运行磁盘空间检查进行软件升级。如果可用磁盘空间不足，会导致升级失败。

请参阅目标版本的Cisco Firepower 发行说明中的升级软件一章。

部署配置。

在升级前部署配置可减少失败的可能性。在某些部署中，如果您的配置已过期，您可能会被阻止升级。在 FMC 高可用性部署中，您只需从主用对等设备进行部署。

在部署时，资源需求可能会导致少量数据包未经检测而被丢弃。 此外，部署某些配置会重启 Snort，这会中断流量检测，并且根据您的设备处理流量的方式，可能会中断流量，直至重启完成。

请参阅目标版本的Cisco Firepower 发行说明中的升级软件一章。

运行就绪性检查。

如果 FMC 运行的是版本 6.1.0+，我们建议进行兼容性和就绪性检查。这些检查会评估您是否准备好进行软件升级。

请参阅 Firepower 软件就绪性检查。

检查正在运行的任务。

在升级之前，请确保设备上的基本任务已完成，包括最终部署。在升级开始时运行的任务会停止，成为失败的任务，且不能恢复。我们还建议您检查计划在升级期间运行的任务，并取消或推迟这些任务。

升级带有 FMC 的 Firepower 7000/8000 和 NGIPSv

使用此程序升级 Firepower 7000/8000 系列和 NGIPSv 设备。如果多台设备使用相同的升级软件包，可一次性对这些设备同时进行升级。您必须同时升级设备堆叠和高可用性对的成员。

开始之前

完成预升级核对表。确保部署中的设备保持正常运行，并且能够成功通信。

过程

步骤 1

（可选）交换执行交换/路由的高可用性设备对的主用/备用角色。

如果您部署高可用性对仅为了执行访问控制，请首先进行主用设备升级。升级完成后，主用设备和备用设备保持其原有角色。

但是，在路由或交换部署中，则先进行备用设备升级。设备会交换角色，然后新的备用设备进行升级。升级完成后，设备的角色保持交换后的状态。如果您想要保留主用/备用角色，请先手动交换角色，然后再进行升级。这样，升级流程会将它们交换回来。

选择设备 (Devices) > 设备管理 (Device Management)，点击对等设备旁边的切换主用设备 (Switch Active Peer) 图标并确认您的选择。

步骤 2

选择系统 > 更新。

步骤 3

点击您想要使用的升级软件包旁边的安装图标，然后选择要升级的设备。

如果您想要升级的设备未列出，则表示您选择了错误的升级软件包。

注

 

我们强烈 建议同时从“系统更新”页面升级的设备数不超过五个。不能在所有选定设备完成升级过程之前停止升级。如果任何一个设备升级存在问题，则必须等待所有设备均完成升级，然后才可以解决该问题。

步骤 4

点击安装 (Install)，然后确认您要升级并重启设备。

流量在整个升级过程中丢弃还是不进行检测就穿过网络，取决于您的设备的配置和部署方式。有关详细信息，请参阅目标版本的Cisco Firepower 发行说明中的升级软件一章。

步骤 5

监控升级进度。

小心

 

请勿将更改部署到正在升级的设备或部署更改到，手动重启正在升级的设备，或者关闭正在升级的设备。请勿重启正在进行的设备升级。升级过程在预检查期间可能会显示为非活动；这是预期行为。如果您遇到升级问题，升级失败的升级或无响应的设备，请联系 Cisco TAC。

步骤 6

验证升级是否成功。

升级过程完成后，选择设备 > 设备管理，并确认您升级的设备具有正确的软件版本。

步骤 7

更新入侵规则 (SRU/LSP) 和漏洞数据库 (VDB)。

如果 思科支持和下载站点 上提供的组件比当前运行的版本新，请安装新版本。请注意，在更新入侵规则时，不需要自动重新应用策略。您可以稍后执行该操作。

步骤 8

完成发行说明中所述的任何升级后配置更改。

步骤 9

将配置重新部署到将刚才升级的设备。