目次

概要

前提条件

要件

使用するコンポーネント

背景説明

設定

ネットワーク図

タスク 1.ダウンロード Ciscoソフトウェア ダウンロード ページからの ASA イメージ

タスク 2.アップロード Firepower シャーシ マネージャへの ASA イメージ

タスク 3.アップグレード最初の ASA ユニット

タスク 4.アップグレード第 2 ASA ユニット

確認

トラブルシューティング

関連情報

概要

この資料は firepower ハードウェア アプライアンスでインストールされる適応型セキュリティ アプライアンス（ASA）の高可用性の（HA）ペアのアップグレード手順を（ASA）記述したものです。

前提条件

要件

次の項目に関する知識が推奨されます。

- ASA 管理

- ASA フェールオーバー

使用するコンポーネント

このドキュメントの情報は、次のソフトウェアとハードウェアのバージョンに基づくものです。

- 2 x FP4150 実行中のコード 2.0.1-86

- ASA 9.6.2.1 （9.6.2.3）にアップグレードされる

本書の情報は、特定のラボ環境にあるデバイスに基づいて作成されたものです。 このドキュメントで使用するすべてのデバイスは、初期（デフォルト）設定の状態から起動しています。 対象のネットワークが実稼働中である場合には、どのような作業についても、その潜在的な影響について確実に理解しておく必要があります。

背景説明

HA が設定されるとき Firepower アプライアンス（FPR4100、FPR9300 等）インストールされる Firepower 拡張可能なオペレーティング システム（FXOS）コンフィギュレーション ガイドに ASA モジュールのアップグレード手順は（/アクティブ アクティブ/スタンバイまたはアクティブ）で説明があります。 関連した部分はここにあります:

この資料の目標は HA 環境のアップグレード プロセスのより多くの詳細な概容を少し提供することです。

注: 資料はターゲット ASA バージョンが存在 して、従って FXOS バンドル アップグレードがこのシナリオで必要とされない FXOS バージョンと互換性があると仮定します。 ターゲット ASA バージョンが FXOS イメージと互換性があるかどうか確認するために FXOS 互換性 マトリックスを常にチェックして下さい。 そうでなかったら、それから FXOS リリース ノートに記述されているように FXOS イメージを最初にアップグレードして下さい。

設定

ネットワーク図

それが Firepower シャーシ マネージャ（FCM）で UI 見られると同時に ASA1:

ASA2:

タスク 1.ダウンロード Ciscoソフトウェア ダウンロード ページからの ASA イメージ

ダウンロード ホーム > 製品 > Security > ファイアウォールへのナビゲートはイメージに示すように > 次世代ファイアウォール（NGFW） （NGFW）および HW プラットフォーム（例えば 4100、9000 等を）選択します。

タスク 2.アップロード Firepower シャーシ マネージャへの ASA イメージ

Firepower シャーシに ASA イメージをアップロードして下さい。 これは Firepower シャーシ マネージャ（FCM） UI または FXOS Command Line Interface （CLI）からすることができます。

方式 1.アップロード FCM UI からの ASA イメージ。

システム > 更新へのナビゲート。 『Upload Image』 を選択 し、ファイル名を規定 し、『Upload』 を選択 して下さい:

方式 2.アップロード FXOS CLI からの ASA イメージ。

FTP、SCP、SFTP または TFTPサーバからのイメージをアップロードできます。 シャーシ マネージメントインターフェイスとリモートサーバ間の接続を確認するために示されているようにして下さい:

FPR4100# connect local-mgmt

FPR4100(local-mgmt)# ping 10.48.40.70

PING 10.48.40.70 (10.48.40.70) from 10.62.148.88 eth0: 56(84) bytes of data.

64 bytes from 10.48.40.70: icmp_seq=1 ttl=61 time=34.4 ms

64 bytes from 10.48.40.70: icmp_seq=2 ttl=61 time=34.3 ms

64 bytes from 10.48.40.70: icmp_seq=3 ttl=61 time=34.3 ms

ASA イメージを変換するためにこのスコープにナビゲート し、ダウンロード イメージ コマンドを実行して下さい:

FPR4100# scope ssa

FPR4100 /ssa # scope app-software

FPR4100 /ssa/app-software # download image ftp://ftp_username@ 10.48.40.70/cisco-asa.9.6.2.3.SPA.csp

Password:

画像 転送プログレスを監視するために提示ダウンロード タスク detail コマンドを実行して下さい:

FPR4100 /ssa/app-software # show download-task detail

Downloads for Application Software:

File Name: cisco-asa.9.6.2.3.SPA.csp

Protocol: Ftp

Server: 10.48.40.70

Port: 0

Userid: anonymous

Path:

Downloaded Image Size (KB): 94214

Time stamp: 2016-12-08T10:21:56.775

State: Downloading

Transfer Rate (KB/s): 450.784698

Current Task: downloading image cisco-asa.9.6.2.3.SPA.csp from 10.48.40.70(FSM-STAGE:sam:dme:ApplicationDownloaderDownload:Local)

また正常な転送を確認するのにこのコマンドを使用できます:

FPR4100 /ssa/app-software # show download-task

Downloads for Application Software:

File Name                      Protocol   Server          Port      Userid       State

------------------------------ ---------- --------------- --------- ------------ -----

cisco-asa.9.6.2.2.SPA.csp      Ftp        10.48.40.70             0 anonymous    Downloaded

追加詳細については:

FPR4100 /ssa/app-software # show download-task fsm status expand

File Name: cisco-asa.9.6.2.3.SPA.csp

FSM Status:

Affected Object: sys/app-catalogue/dnld-cisco-asa.9.6.2.3.SPA.csp/fsm

Current FSM: Download

Status: Success

Completion Time: 2016-12-08T10:26:52.142

Progress (%): 100

FSM Stage:

Order  Stage Name                               Status       Try

------ ---------------------------------------- ------------ ---

1      DownloadLocal                            Success      1

2      DownloadUnpackLocal                      Success      1

ASA イメージはシャーシ リポジトリで示されています:

FPR4100 /ssa/app-software # exit

FPR4100 /ssa # show app

Application:

Name       Version    Description Author     Deploy Type CSP Type    Is Default App

---------- ---------- ----------- ---------- ----------- ----------- --------------

asa        9.6.2.1    N/A         cisco      Native      Application No

asa        9.6.2.3    N/A         cisco      Native      Application No

タスク 3.アップグレード最初の ASA ユニット

イメージに示すように最初にスタンバイ ASA ユニットをアップグレードして下さい:

新しいイメージを規定 し、orderto 開始するでアップグレードを『OK』 を選択 して下さい:

確認

FCM GUI からの ASA アップグレード進行状況:

1-2 分後に FCM は UI 示します:

ASA モジュール読み込み:

Firepower シャーシ CLI からの ASA アップグレード プロセス。

CLI は論理デバイス（ASA）が再起動することを示します。 この出力のモジュールブート CLI からの全アップグレード プロセス:

asa/sec/stby(config)#

[screen is terminating]

Disconnected from asa console!

Firepower-module1>

INIT: SwitchingStopping OpenBSD Secure Shell server: sshdstopped /usr/sbin/sshd (pid 5738)

.

Stopping Advanced Configuration and Power Interface daemon: stopped /usr/sbin/acpid (pid 5742)

acpid: exiting

acpid.

Stopping system message bus: dbus.

Stopping ntpd: stopped process in pidfile '/var/run/ntp.pid' (pid 6186)

done

Stopping crond: OK

Deconfiguring network interfaces... done.

Sending all processes the TERM signal...

SIGKILL_ALL will be delayed for 1 + 5 secs

Sending all processes the KILL signal...

Deactivating swap...

Unmounting local filesystems...

Rebooting... [ 1679.605561] Restarting system.

Cisco Systems, Inc.

Configuring and testing memory..

Cisco Systems, Inc.

Configuring and testing memory..

Configuring platform hardware...

Bios Version : FXOSSM1.1.2.1.3.031420161207

Platform ID  : FXOSSM1

Processor(s) Intel(R) Xeon(R) CPU E5-2699 v4 @ 2.20GHz

Total Memory  = 256 GB Effective Memory = 256 GB

Memory Operating Speed 2400 Mh

Please wait, preparing to boot.. .........................................................................................................

UEFI Interactive Shell v2.0. UEFI v2.40 (American Megatrends, 0x0005000B). Revision 1.02

Mapping table

fs0: Alias(s):HD17a65535a1:;blk1:

PciRoot(0x0)/Pci(0x1F,0x2)/Sata(0x0,0xFFFF,0x0)/HD(1,MBR,0x000EC692,0x800,0xEE6800)

blk0: Alias(s):

PciRoot(0x0)/Pci(0x1F,0x2)/Sata(0x0,0xFFFF,0x0)

blk2: Alias(s):

PciRoot(0x0)/Pci(0x1F,0x2)/Sata(0x0,0xFFFF,0x0)/HD(2,MBR,0x000EC692,0xEE7000,0x3BA000)

blk3: Alias(s):

PciRoot(0x0)/Pci(0x1F,0x2)/Sata(0x0,0xFFFF,0x0)/HD(3,MBR,0x000EC692,0x12A1000,0x950000)

blk4: Alias(s):

PciRoot(0x0)/Pci(0x1F,0x2)/Sata(0x0,0xFFFF,0x0)/HD(4,MBR,0x000EC692,0x1BF1000,0x2CD20800)

blk5: Alias(s):

PciRoot(0x0)/Pci(0x1F,0x2)/Sata(0x0,0xFFFF,0x0)/HD(4,MBR,0x000EC692,0x1BF1000,0x2CD20800)/HD(1,MBR,0x00000000,0x1BF1800,0x5D22000)

blk6: Alias(s):

PciRoot(0x0)/Pci(0x1F,0x2)/Sata(0x0,0xFFFF,0x0)/HD(4,MBR,0x000EC692,0x1BF1000,0x2CD20800)/HD(2,MBR,0x00000000,0x7914000,0x26FFD800)

To launch ROMMON.

CpuFrequency = 2200002 KHz

Cisco FXOSSM1 Blade Rommon 1.2.1.3, Mar 14 2016 12:11:29

Platform: SSPXRU

INFO: enic_identify: Enabling Cruz driver...

INFO: enic_identify: Cruz driver enabled.

INFO: init_spi_interface: HSFS_BERASE_4K.

INFO: enic_init: bar[0].vaddr 0xc6e00000.

INFO: enic_init: bar[2].vaddr 0xc6e10000.

INFO: enic_init: eNic port MTU is 1500.

INFO: enic_init: eNic bsize 1500 ring size 512.

INFO: enic_init: Waiting for Cruz link...

INFO: enic_init: Cruz link detected.

INFO: nb_eth_app_init: MAC address for interface 0: 00 15 a5 01 01 00

INFO: nb_eth_app_init: IP address 127.128.1.254

Start communicating with MIO in blade slot 1...

INFO: Allocated 1000 bytes of memory for cmd at 0x78a7d018.

INFO: Allocated 1000 bytes of memory for status at 0x76d34918.

INFO: Allocated 196608 bytes of memory for key file at 0x76d03018.

INFO: Status code 1: 'rommon initialize is completed'.

INFO: tftp_open: '/rommon/status_1.txt'@127.128.254.1 via 127.128.254.1

!

INFO: nb_tftp_upload: 31 bytes sent.

tftpget 0x78a7d018 1000

INFO: tftp_open: '/rommon/command_1.txt'@127.128.254.1 via 127.128.254.1

Received 154 bytes

WARNING: retrieve_mio_cmd_info: Invalid checksum 0x0.

tftpget 0x76d03018 196608

INFO: tftp_open: 'rommon/key_1.bin'@127.128.254.1 via 127.128.254.1

!

Received 131072 bytes

INFO: Status code 8: 'rommon succeeds to retrieve key file'.

INFO: tftp_open: '/rommon/status_1.txt'@127.128.254.1 via 127.128.254.1

!

INFO: nb_tftp_upload: 31 bytes sent.

INFO: Primary keys in flash are up-to-date.

INFO: Backup keys in flash are up-to-date.

continue check local image

the image file path: installables/chassis/fxos-lfbff-k8.9.6.2.2.SPA

the image file name only: fxos-lfbff-k8.9.6.2.2.SPA

local_image_file: fs0:fxos-lfbff-k8.9.6.2.2.SPA

INFO: File 'fs0:fxos-lfbff-k8.9.6.2.2.SPA' has 104831328 bytes.

local_image_file_size 104831328

Found image fs0:fxos-lfbff-k8.9.6.2.2.SPA in local storage, boot local image.

set pboot_image fxos-lfbff-k8.9.6.2.2.SPA

INFO: File 'fs0:fxos-lfbff-k8.9.6.2.2.SPA' has 104831328 bytes.

INFO: 'fs0:fxos-lfbff-k8.9.6.2.2.SPA' has 104831328 bytes

INFO: Booting LFBFF image...

INFO: Status code 7: 'rommon about to verify image signature from local disk'.

INFO: tftp_open: '/rommon/status_1.txt'@127.128.254.1 via 127.128.254.1

!

INFO: nb_tftp_upload: 31 bytes sent.

INIT: version 2.88 booting

Starting udev

Configuring network interfaces... done.

Populating dev cache

rw console=ttyS0,38400 loglevel=2 auto kstack=128 reboot=force panic=1 ide_generic.probe_mask=0x1 ide1=noprobe pci=nocrs processor.max_cstate=1 iommu=pt platform=sspxru boot_img=disk0:/fxos-lfbff-k8.9.6.2.2.SPA ciscodmasz=786432 cisconrsvsz=2359296 hugepagesz=1g hugepages=24 ssp_mode=0

No Partitions for HDD2.. Creating partition..

mount: special device /dev/sdb1 does not exist

rw console=ttyS0,38400 loglevel=2 auto kstack=128 reboot=force panic=1 ide_generic.probe_mask=0x1 ide1=noprobe pci=nocrs processor.max_cstate=1 iommu=pt platform=sspxru boot_img=disk0:/fxos-lfbff-k8.9.6.2.2.SPA ciscodmasz=786432 cisconrsvsz=2359296 hugepagesz=1g hugepages=24 ssp_mode=0

Create libvirt group

Start libvirtd Service

* Starting virtualization library daemon: libvirtd

no /usr/bin/dnsmasq found; none killed

2016-12-07 12:47:24.090+0000: 4373: info : libvirt version: 1.1.2

2016-12-07 12:47:24.090+0000: 4373: warning : virGetHostname:625 : getadd[ ok ]failed for 'ciscoasa': Name or service not known

Disable the default virtual networks

Network default destroyed

Done with libvirt initialization

rw console=ttyS0,38400 loglevel=2 auto kstack=128 reboot=force panic=1 ide_generic.probe_mask=0x1 ide1=noprobe pci=nocrs processor.max_cstate=1 iommu=pt platform=sspxru boot_img=disk0:/fxos-lfbff-k8.9.6.2.2.SPA ciscodmasz=786432 cisconrsvsz=2359296 hugepagesz=1g hugepages=24 ssp_mode=0

+++++++++++++++ BOOT CLI FILES COPIED +++++++++++++++++++++++++++

rw console=ttyS0,38400 loglevel=2 auto kstack=128 reboot=force panic=1 ide_generic.probe_mask=0x1 ide1=noprobe pci=nocrs processor.max_cstate=1 iommu=pt platform=sspxru boot_img=disk0:/fxos-lfbff-k8.9.6.2.2.SPA ciscodmasz=786432 cisconrsvsz=2359296 hugepagesz=1g hugepages=24 ssp_mode=0

Turbo Boost is UNSUPPORTED on this platform.

Configuration Xml found is /opt/cisco/csp/applications/configs/cspCfg_cisco-asa.9.6.2.3__asa_001_JAD201200C64A93395.xml

INIT: Entering runlevel: 3

rw console=ttyS0,38400 loglevel=2 auto kstack=128 reboot=force panic=1 ide_generic.probe_mask=0x1 ide1=noprobe pci=nocrs processor.max_cstate=1 iommu=pt platform=sspxru boot_img=disk0:/fxos-lfbff-k8.9.6.2.2.SPA ciscodmasz=786432 cisconrsvsz=2359296 hugepagesz=1g hugepages=24 ssp_mode=0

Starting system message bus: dbus.

Starting OpenBSD Secure Shell server: sshd

generating ssh RSA key...

generating ssh ECDSA key...

generating ssh DSA key...

done.

Starting Advanced Configuration and Power Interface daemon: acpid.

acpid: starting up

acpid: 1 rule loaded

acpid: waiting for events: event logging is off

Starting ntpd: done

Starting crond: OK

Cisco Security Services Platform

Type ? for list of commands

Firepower-module1>

Firepower-module1>show services status

Services currently running:

Feature   | Instance ID    |     State  |          Up Since

-----------------------------------------------------------

asa     | 001_JAD201200C64A93395 |   RUNNING  | :00:00:20

Firepower-module1>

全 手順はおよそ 5 分かかります。

また ASA アプリケーションに来られたオンラインがあることを確認するのにシャーシ CLI からの提示アプリケーション例 コマンドを使用できます:

FPR4100# scope ssa

FPR4100 /ssa # show app-instance

Application Name     Slot ID    Admin State     Operational State  Running Version Startup Version Cluster Oper State

-------------------- ---------- --------------- ------------------ --------------- --------------- ------------------

asa                  1          Enabled         Online             9.6.2.3          9.6.2.3         Not Applicabl

ASA モジュールは互いを検出します:

asa/sec/actNoFailover>

************WARNING****WARNING****WARNING******************************** Mate version 9.6(2)1 is not identical with ours 9.6(2)3 ************WARNING****WARNING****WARNING********************************

.

Detected an Active mate

Beginning configuration replication from mate.

End configuration replication from mate.

asa/sec/stby>

確認

FPR4100# connect module 1 console

Telnet escape character is '~'.

Trying 127.5.1.1...

Connected to 127.5.1.1.

Escape character is '~'.

CISCO Serial Over LAN:

Close Network Connection to Exit

Firepower-module1> connect asa

asa> enable

Password:

asa/sec/stby# show failover

Failover On

Failover unit Secondary

Failover LAN Interface: fover Ethernet1/8 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 2 of 1041 maximum

MAC Address Move Notification Interval not set

Version: Ours 9.6(2)3, Mate 9.6(2)1

Serial Number: Ours FLM2006EQFW, Mate FLM2006EN9U

Last Failover at: 12:48:23 UTC Dec 7 2016

This host: Secondary - Standby Ready

Active time: 0 (sec)

slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)3) status (Up Sys)

Interface INSIDE (192.168.0.2): Normal (Not-Monitored)

Interface OUTSIDE (192.168.1.2): Normal (Monitored)

Interface management (0.0.0.0): Normal (Waiting)

Other host: Primary - Active

Active time: 10320 (sec)

slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)1) status (Up Sys)

Interface INSIDE (192.168.0.1): Normal (Not-Monitored)

Interface OUTSIDE (192.168.1.1): Normal (Monitored)

Interface management (10.0.0.50): Normal (Waiting)

...

ASA ユニット間の適切なフェールオーバー オペレーションを確認するためにこれらのコマンドを実行して下さい:

- show conn count

- show xlate 数

- show crypto ipsec sa

タスク 4.アップグレード第 2 ASA ユニット

フェールオーバー 同位を切り替え、プライマリ ASA をアップグレードして下さい:

asa/sec/stby# failover active

Switching to Active

asa/sec/act#

新しいイメージを規定 し、アップグレードを開始して下さい:

5 分後に、アップグレード完了。

検証

シャーシ CLI から ASA アプリケーションに来られたオンラインがあることを確認して下さい:

FPR4100# scope ssa

FPR4100 /ssa # show app-instance

Application Name     Slot ID    Admin State     Operational State  Running Version Startup Version Cluster Oper State

-------------------- ---------- --------------- ------------------ --------------- --------------- ------------------

asa                  1          Enabled         Online             9.6.2.3          9.6.2.3         Not Applicable

ASA モジュールからフェールオーバー オペレーションを確認して下さい:

asa/pri/stby# show failover

Failover On

Failover unit Primary

Failover LAN Interface: fover Ethernet1/8 (up)

Reconnect timeout 0:00:00

Unit Poll frequency 1 seconds, holdtime 15 seconds

Interface Poll frequency 5 seconds, holdtime 25 seconds

Interface Policy 1

Monitored Interfaces 2 of 1041 maximum

MAC Address Move Notification Interval not set

Version: Ours 9.6(2)3, Mate 9.6(2)3

Serial Number: Ours FLM2006EN9U, Mate FLM2006EQFW

Last Failover at: 14:35:37 UTC Dec 7 2016

This host: Primary - Standby Ready

Active time: 0 (sec)

slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)3) status (Up Sys)

Interface INSIDE (192.168.0.2): Normal (Not-Monitored)

Interface OUTSIDE (192.168.1.2): Normal (Waiting)

Interface management (0.0.0.0): Normal (Waiting)

Other host: Secondary - Active

Active time: 656 (sec)

slot 0: UCSB-B200-M3-U hw/sw rev (0.0/9.6(2)3) status (Up Sys)

Interface INSIDE (192.168.0.1): Failed (Not-Monitored)

Interface OUTSIDE (192.168.1.1): Normal (Waiting)

Interface management (10.0.0.50): Normal (Waiting)

Stateful Failover Logical Update Statistics

Link : fover Ethernet1/8 (up)

Stateful Obj    xmit       xerr       rcv        rerr

General         7          0          8          0

...

スイッチバックする プライマリ/アクティブを持つフェールオーバー セカンダリ/スタンバイ:

asa/pri/stby# failover active

Switching to Active

asa/pri/act#

トラブルシューティング

現在のところ、この設定に関する特定のトラブルシューティング情報はありません。

関連情報

- FXOS コンフィギュレーション ガイド

- FXOS-ASA 互換性 ガイド

- FXOS リリース ノート

- テクニカル サポートとドキュメント - Cisco Systems