Inhoud

Inleiding

Voorwaarden

Vereisten

Gebruikte componenten

Verwante producten

Conventies

Configuratie

Nul-downtime upgrades uit voor failover-paren

Configuratie van actieve/standby-failover

Configuratie van actieve/actieve failover

Problemen oplossen

%ASA-5-72012: (VPN-secundair) heeft het niet bijgewerkt van IPSec failover-gegevens over de standby-unit (of) %ASA-6-720012: (VPN-unit) Kan IPsec failover-gegevens niet bijwerken in de standby-eenheid

Gerelateerde informatie

Inleiding

Dit document beschrijft hoe de CLI moet worden gebruikt om het softwarebeeld te verbeteren op een Cisco ASA 5500 Series Adaptieve security applicaties voor een failover-paar.

Opmerking: Adaptieve Security Devices Manager (ASDM) werkt niet als u de beveiligingssoftware van 7.0 tot 7.2 rechtstreeks verbetert (of degradeert) of de ASDM-software rechtstreeks van 5.0 tot 5.2 verbetert (of degradeert). U moet geleidelijk upgraden (of verlagen).

Raadpleeg PIX/ASA voor meer informatie over het upgraden van de ASDM en het softwarebeeld op ASA: Upgradeafbeelding bij gebruik van ASDM of CLI-configuratievoorbeeld

N.B.: In multi-context modus, kunt u de opdracht TFTP-flitser niet gebruiken om het PIX/ASA-beeld in alle contexten te verbeteren of te downloaden; het wordt alleen ondersteund in de System Exec-modus.

Voorwaarden

Vereisten

Er zijn geen specifieke vereisten van toepassing op dit document.

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- Cisco adaptieve security applicatie (ASA) met versie 7.0 en hoger

- Cisco ASDM versie 5.0 en hoger

Opmerking: Raadpleeg HTTPS Access voor ASDM voor informatie over hoe de ASA door ASDM kan worden geconfigureerd.

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Verwante producten

Deze configuratie kan ook worden gebruikt met Cisco PIX 500 Series security applicatie, versie 7.0 en hoger.

Conventies

Raadpleeg de Cisco Technical Tips Convention voor informatie over documentconventies.

Configuratie

Nul-downtime upgrades uit voor failover-paren

De twee eenheden in een overnameconfiguratie moeten dezelfde belangrijke (eerste nummer) en kleinere (tweede nummer) softwareversie hebben. U hoeft echter tijdens het upgradeproces de versipariteit op de eenheden niet te handhaven. U kunt verschillende versies op de software hebben die op elke eenheid worden uitgevoerd en de ondersteuning voor failover nog behouden. Om op lange termijn compatibiliteit en stabiliteit te waarborgen, raadt Cisco u aan beide eenheden zo snel mogelijk op dezelfde versie te upgraden.

Er zijn 3 typen upgrades beschikbaar. Het gaat om:

1. Onderhoudsrelease - U kunt vanuit elke onderhoudsrelease upgraden naar elke andere onderhoudsrelease binnen een kleine release. U kunt bijvoorbeeld overgaan van 7.0(1) naar 7.0(4) zonder eerst de onderhoudsreleases intussen te installeren.

2. Kleinere release: u kunt van een kleine release naar de volgende kleine release upgraden. U kunt een kleinere release niet overslaan. U kunt bijvoorbeeld overgaan van 7.0 naar 7.1. Verbeteringen van 7.0 rechtstreeks naar 7.2 worden niet ondersteund voor upgrades zonder downtime; u moet eerst upgraden naar 7.1

3. Belangrijke release: u kunt de laatste kleine release van de vorige versie upgrades uitvoeren naar de volgende belangrijke release. U kunt bijvoorbeeld overgaan van 7.9 naar 8.0, ervan uitgaande dat 7.9 de laatste kleine versie van de 7.x-release is.

Configuratie van actieve/standby-failover

Voltooi deze stappen om twee eenheden in een actieve/STANDBY-configuratie te upgraden:

1. Download de nieuwe software naar beide eenheden en specificeer de nieuwe afbeelding die moet worden geladen met de opdracht van het laarssysteem.

Raadpleeg een softwareafbeelding en een ASDM-afbeelding bij upgrade op basis van CLI voor meer informatie.

2. Herladen van de standby-eenheid om het nieuwe beeld te starten door de opdracht voor het opnieuw laden van de failover in te voeren op de actieve eenheid zoals hieronder wordt getoond:

active#failover reload-standby

3. Wanneer de standby-unit klaar is met het opnieuw laden en in de stand-by modus staat, dient u de actieve eenheid te dwingen te falen in de standby-unit door de opdracht no-failover actief op de actieve eenheid in te voeren.

active#no failover active

Opmerking: Gebruik de opdracht Show failover om te controleren of de standby unit zich in de stand-by modus bevindt.

4. Herladen van de voormalige actieve eenheid (nu de nieuwe standby-eenheid) door de opdracht opnieuw laden in te voeren:

newstandby#reload

5. Wanneer de nieuwe standby-unit klaar is met het opnieuw laden en in de stand Standby Klaar staat is, zet de oorspronkelijke actieve unit terug naar de actieve status door de failover actieve opdracht in te voeren:

newstandby#failover active

Dit voltooit het proces van het verbeteren van een Active/Standby failover-paar.

Configuratie van actieve/actieve failover

Voltooi deze stappen om twee eenheden in een actieve/actieve configuratie van de failover te upgraden:

1. Download de nieuwe software naar beide eenheden en specificeer de nieuwe afbeelding die moet worden geladen met de opdracht van het laarssysteem.

Raadpleeg een softwareafbeelding en een ASDM-afbeelding bij upgrade op basis van CLI voor meer informatie.

2. Maak beide overnamegroepen actief op de primaire eenheid door de actieve opdracht in te voeren in de ruimte van de systeemuitvoering van de primaire eenheid:

primary#failover active

3. Laad de secundaire eenheid opnieuw om het nieuwe beeld te starten door de opdracht voor het opnieuw laden van een failover in te voeren in de ruimte voor systeemuitvoering van de primaire eenheid:

primary#failover reload-standby

4. Wanneer de secundaire eenheid klaar is met het opnieuw laden, en beide overvalgroepen in de stand-by Klaar staat op die eenheid, maken beide overvalgroepen actief op de secundaire eenheid met behulp van de opdracht no-over-actieve overnamesprong in de ruimte voor systeemuitvoering van de primaire eenheid:

primary#no failover active

Opmerking: Gebruik de opdracht Show failover om te controleren of beide groepen in de Standby Ready-status op de secundaire eenheid zijn.

5. Zorg ervoor dat beide overvalgroepen zich in de status Standby Klaar op de primaire eenheid bevinden en laad de primaire eenheid opnieuw met behulp van de opdracht opnieuw laden:

primary#reload

6. Als de overnamegroepen met de vooringenomen opdracht zijn geconfigureerd, zullen ze automatisch actief worden op hun aangewezen eenheid nadat de voortijdige vertraging is verstreken. Als de overnamegroepen niet zijn ingesteld met de opdracht Voorlopig, kunt u ze teruggeven naar de actieve status op hun aangewezen eenheden met de opdracht actieve groep overzetten.

Problemen oplossen

%ASA-5-72012: (VPN-secundair) heeft het niet bijgewerkt van IPSec failover-gegevens over de standby-unit (of) %ASA-6-720012: (VPN-unit) Kan IPsec failover-gegevens niet bijwerken in de standby-eenheid

Probleem

Een van deze foutmeldingen wordt weergegeven wanneer u probeert de Cisco adaptieve security applicatie (ASA) te verbeteren:

%ASA-5-72012: (VPN-Secundair) Kan IPSec failover-gegevens niet bijwerken in de standby-eenheid.

%ASA-6-72012: (VPN-unit) is er niet in geslaagd IPsec failover-gegevens in de standby-unit bij te werken.

Oplossing

Deze foutmeldingen zijn informatieve fouten. De berichten hebben geen invloed op de functionaliteit van de ASA of VPN.

Deze berichten verschijnen wanneer het VPN failover-subsysteem geen IPsec-gerelateerde wist uit te voeren gegevens omdat de corresponderende IPsec-tunnel is verwijderd in de standby-unit. Om deze op te lossen, voert u de Wor standby-opdracht op de actieve eenheid uit.

Er zijn twee insecten gedeponeerd om dit gedrag aan te pakken; u kunt een upgrade uitvoeren naar een softwareversie van ASA waarin deze insecten zijn gerepareerd. Raadpleeg Cisco bug-ID’s CSCtj58420 (alleen geregistreerde klanten) en CSCtn56517 (alleen geregistreerde klanten) voor meer informatie.

Gerelateerde informatie

- Cisco ASA 5500 Series adaptieve security applicaties

- Cisco adaptieve security apparaatbeheer

- Verzoeken om opmerkingen (RFC’s)

- Technische ondersteuning en documentatie – Cisco Systems