Inhoud

Inleiding

Voorwaarden

Hardware en softwarevereisten

Gebruikte componenten

Conventies

Handmatige configuratie-conversie

upgrade van de PIX-softwareversie naar 7.x

Upgradeer de PIX security applicatie met de opdracht flash van het kopiëren

Upgradeer de PIX security applicatie van monitormodus

Interface-namen converteren van Cisco PIX-software 7.0 naar Cisco ASA-indeling

Kopieert de configuratie van PIX naar ASA

Methode 1: Handmatig kopiëren/plakken

Methode 2: Downloaden via TFTP/FTP

Een PIX-softwareversie 6.x-configuratie toepassen op ASA-softwareversie 7.x

Probleemoplossing - handmatige configuratie conversie

Apparaatstrek in opnieuw opstarten

Foutbericht

Configuratie lijkt niet juist

Sommige services, zoals FTP, werken niet

Kan geen toegang tot internet hebben wanneer Cisco PIX security applicatie wordt vervangen door Cisco adaptieve security applicatie (ASA)

Gerelateerde informatie

Inleiding

Dit document legt uit hoe u kunt migreren van PIX 500 Series security applicaties naar ASA 5500 Series adaptieve security applicaties.

Opmerking: PIX 501, PIX 506 en PIX 506E ondersteunen geen softwareversie 7.

Er zijn twee manieren om een PIX-configuratie naar een ASA-configuratie om te zetten:

- Kantoorondersteunde conversie

- Handmatige conversie

Automatische op tools gebaseerde / met tools ondersteunde conversie

Cisco raadt u aan de software-ondersteunde conversie te gebruiken om PIX-configuraties naar ASA-configuraties te converteren.

De gereedschap-geassisteerde conversiemethode is sneller en schaalbaarder als u meerdere conversies maakt. De uitvoer van het proces in een intermediaire configuratie bevat echter zowel de oude syntaxis als de nieuwe syntaxis. Deze methode is afhankelijk van de installatie van de intermediaire configuratie op het adaptieve security apparaat waarmee de conversie kan worden voltooid. Totdat deze op het doelapparaat is geïnstalleerd, kunt u de laatste configuratie niet bekijken.

Opmerking: Cisco heeft het PIX-protocol vrijgegeven voor ASA-migratie om het migratieproces naar de nieuwe ASA-apparaten te helpen automatiseren. U kunt dit gereedschap downloaden van de PIX-softwarewebsite. Raadpleeg Migratie van de configuratie van PIX 500 Series security applicatie naar ASA 5500 Series adaptieve security applicaties voor meer informatie.

Voorwaarden

Hardware en softwarevereisten

U kunt PIX 515, 515E, 525, 535 upgraden naar versie 7.0.

Voordat u het upgradeproces start naar versie 7.x, raadt Cisco u aan om versie 6.2 of hoger van de PIX-uitvoering te gebruiken. Dit waarborgt dat de huidige configuratie correct geconverteerd wordt. Daarnaast moet aan deze hardwarevereisten worden voldaan voor minimale RAM-vereisten:

PIX-model

RAM-vereisten

Beperkt (R)

Niet-beperkt (UR) / alleen failover (FO)

PIX-515

64 MB*

128 MB*

PIX-515 E

64 MB*

128 MB*

PIX-525

128 MB

256 MB

PIX-535

512 MB

1 GB

Geef de opdracht show versie uit om de hoeveelheid RAM vast te stellen die momenteel op PIX geïnstalleerd is.

Opmerking: voor PIX 515- en 515E-software-upgrades kan ook een geheugenupgrade nodig zijn:

- Degenen met beperkte licenties en 32 MB geheugen moeten worden bijgewerkt tot 64 MB geheugen.

- Degenen met onbeperkte licenties en 64 MB geheugen moeten worden bijgewerkt tot 128 MB geheugen.

Zie deze tabel voor de onderdeelnummers die u nodig hebt om het geheugen op deze apparaten te verbeteren.

Configuratie van huidige applicatie

Upgradeoplossing

Licentie voor platform

Totaal geheugen (vóór de upgrade)

Onderdeelnummer

Totaal geheugen (na upgrade)

Beperkt (R)

32 MB

PIX-515-MEM-32=

64 MB

Onbeperkt (UR)

32 MB

PIX-515-MEM-128=

128 MB

Uitsluitend failover (FO)

64 MB

PIX-515-MEM-128=

128 MB

Opmerking: het onderdeelnummer is afhankelijk van de licentie die op de PIX is geïnstalleerd.

De upgrade van softwareversie 6.x tot 7.x is naadloos en vereist enige handmatige arbeid, maar deze stappen moeten voltooid zijn voordat u begint:

1. Zorg ervoor dat u geen geleider- of uitstroom hebt/opdrachten in uw huidige configuratie toepast. Deze opdrachten worden niet langer ondersteund in 7.x en het upgradeproces verwijdert deze. Gebruik het gereedschap Converteren om deze opdrachten naar toegangslijsten te converteren voordat u de upgrade probeert.

2. Zorg ervoor dat PIX geen Point to Point Tunneling Protocol (PPTP)-verbindingen sluit. Software versie 7.x ondersteunt momenteel geen PPTP-beëindiging.

3. Kopieer alle digitale certificaten voor VPN-verbindingen in de PIX-modus voordat u het upgradeproces start.

4. Lees deze documenten om er zeker van te zijn dat u nieuwe, veranderde en afgeschreven opdrachten hebt:

- Releaseopmerkingen van de softwareversie die u wilt verbeteren, die u kunt vinden in "Cisco PIX security applicatie release Notes".

- Gids voor Cisco PIX 6.2 en 6.3 gebruikers die uploaden naar Cisco PIX-software versie 7.0

5. plan de migratie tijdens de onderbreking uit te voeren. Hoewel de migratie een eenvoudig proces in twee stappen is, is de upgrade van de PIX security applicatie naar 7.x een belangrijke verandering en vereist enige downtime.

6. Download de 7.x-software van Cisco Downloads (alleen geregistreerde klanten).

Gebruikte componenten

De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:

- ASA 5500 Series security applicaties

- PIX security applicatie 515, 515E, 525 en 535

- PIX-softwarereleases 6.3, 7.0

De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.

Conventies

Raadpleeg de Cisco Technical Tips Convention voor meer informatie over documentconventies.

Handmatige configuratie-conversie

Met het handmatige conversieproces gebruikt u een teksteditor om de configuratie regel voor regel te bekijken en PIX-specifieke opdrachten naar ASA-opdrachten te converteren.

Handmatige conversie van de PIX-configuratie naar een ASA-configuratie geeft u de meeste controle over het conversieproces. Dit proces is echter tijdrovend en werkt niet als u meer dan één conversie nodig hebt.

Deze drie stappen moeten worden voltooid om van PIX naar ASA te migreren:

1. upgrade van de PIX-softwareversie naar 7.x.

2. interfacenamen converteren van Cisco PIX-software 7.0 naar Cisco ASA-indeling.

3. Kopieer de PIX-software 7.0-configuratie naar Cisco ASA 5500.

upgrade van de PIX-softwareversie naar 7.x

Voltooi de volgende stappen voordat u het upgradeproces start:

1. Geef de show in werking stellen-configuratie of schrijf netto opdracht uit om de huidige PIX-configuratie op te slaan naar een tekstbestand of een TFTP-server.

2. Geef de opdracht versie van de show uit om de vereisten, zoals RAM, te controleren. Sla de uitvoer van deze opdracht ook op in een tekstbestand. Als u moet terugkeren naar een oudere versie van de code, kunt u de oorspronkelijke activeringssleutel nodig hebben.

Als de PIX eerder dan 4.2 een basisversie van het invoersysteem (BASIS) heeft of als u van plan bent een PIX 515 of een PIX 535 te upgraden met een PDM die al is geïnstalleerd, moet u de upgradeprocedure in de Monitormodus voltooien in plaats van met de methode van de flitser van de kopie. Lees de berichten bij de start om de geprogrammeerde versie te bekijken en start de PIX opnieuw op met een console-kabel die bij de start is aangesloten.

De geprogrammeerde versie staat in een bericht, zoals:

Rebooting....

CISCO SYSTEMS PIX FIREWALL

Embedded BIOS Version 4.3.207 01/02/02 16:12:22.73

Compiled by morlee

64 MB RAM

Opmerking: de opdrachten 6.x worden tijdens de upgrade automatisch geconverteerd naar 7.x. De automatische conversie van opdrachten resulteert in een wijziging van de configuratie. U moet de configuratiewijzigingen na de 7.x-softwarereleases bekijken om te controleren of de automatische wijzigingen voldoende zijn. Sla de configuratie vervolgens op in een flash-geheugen om te voorkomen dat het systeem de configuratie opnieuw converteert wanneer het security apparaat opnieuw wordt opgestart.

N.B.: Nadat het systeem is bijgewerkt naar 7.x, is het belangrijk dat u de software versie 6.x np disk hulpprogramma niet gebruikt, zoals het herstellen van het wachtwoord, omdat het de 7.x software-afbeelding corrumpeert en u het systeem uit de monitormodus moet hervatten. Het kan er ook toe leiden dat u de vorige configuratie, het beveiligingspaneel en de belangrijke informatie verliest.

Upgradeer de PIX security applicatie met de opdracht flash van het kopiëren

Voltooi deze stappen om de PIX te verbeteren met het gebruik van de opdracht van de flitser van de kopdruk.

1. Kopieer de binaire afbeelding van PIX-apparaat, bijvoorbeeld pix701.bin, naar de hoofdmap van de TFTP-server.

2. Geef vanuit de instelling voor inschakelen de flitser-opdracht kopiëren uit.

pixfirewall>enable

Password:

pixfirewall#copy tftp flash

3. Voer het IP-adres van de TFTP-server in.

Address or name of remote host [0.0.0.0]?

4. Voer de naam in van het bestand op de TFTP-server die u wilt laden. Dit is de naam van het binaire beeldbestand van PIX.

Source file name [cdisk]?

5. Wanneer u wordt gevraagd het TFTP-exemplaar te starten, typt u ja.

copying tftp://172.18.173.123/pix701.bin to flash:image

[yes|no|again]?yes

6. De afbeelding wordt nu gekopieerd van de TFTP-server naar de Flash.

Dit bericht verschijnt en geeft aan dat de overdracht een succes is, het oude binaire beeld in Flash wordt gewist en het nieuwe beeld wordt geschreven en geïnstalleerd.

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Received 5124096 bytes

Erasing current image

Writing 5066808 bytes of image

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Image installed

pixfirewall#

7. Laad het PIX-apparaat opnieuw om de nieuwe afbeelding te starten.

pixfirewall#reload

Proceed with reload? [confirm]

Rebooting....

8. PIX start nu de 7.0-afbeelding, en dit is het volledige upgradeproces.

Voorbeeld configuratie - upgrade van de PIX-applicatie met de opdracht flitser kopiëren

pixfirewall#copy tftp flash

Address or name of remote host [0.0.0.0]? 172.18.173.123

Source file name [cdisk]? pix701.bin

copying tftp://172.18.173.123/pix701.bin to flash:image

[yes|no|again]? yes

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Received 5124096 bytes

Erasing current image

Writing 5066808 bytes of image

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Image installed

pixfirewall#

pixfirewall#reload

Proceed with reload? [confirm]

Rebooting...

CISCO SYSTEMS PIX FIREWALL

Embedded BIOS Version 4.3.207 01/02/02 16:12:22.73

Compiled by morlee

128 MB RAM

PCI Device Table.

Bus Dev Func VendID DevID Class Irq

00 00 00 8086 7192 Host Bridge

00 07 00 8086 7110 ISA Bridge

00 07 01 8086 7111 IDE Controller

00 07 02 8086 7112 Serial Bus 9

00 07 03 8086 7113 PCI Bridge

00 0D 00 8086 1209 Ethernet 11

00 0E 00 8086 1209 Ethernet 10

00 13 00 11D4 2F44 Unknown Device 5

Cisco Secure PIX Firewall BIOS (4.2) #0: Mon Dec 31 08:34:35 PST 2001

Platform PIX-515E

System Flash=E28F128J3 @ 0xfff00000

Use BREAK or ESC to interrupt flash boot.

Use SPACE to begin flash boot immediately.

Reading 5063168 bytes of image from flash.

######################################################################

######################################################################

128MB RAM

Total NICs found: 2

mcwa i82559 Ethernet at irq 11 MAC: 0009.4360.ed44

mcwa i82559 Ethernet at irq 10 MAC: 0009.4360.ed43

BIOS Flash=am29f400b @ 0xd8000

Old file system detected. Attempting to save data in flash

!--- This output indicates that the Flash file

!--- system is formatted. The messages are normal.

Initializing flashfs...

flashfs[7]: Checking block 0...block number was (-27642)

flashfs[7]: erasing block 0...done.

flashfs[7]: Checking block 1...block number was (-30053)

flashfs[7]: erasing block 1...done.

flashfs[7]: Checking block 2...block number was (-1220)

flashfs[7]: erasing block 2...done.

flashfs[7]: Checking block 3...block number was (-22934)

flashfs[7]: erasing block 3...done.

flashfs[7]: Checking block 4...block number was (2502)

flashfs[7]: erasing block 4...done.

flashfs[7]: Checking block 5...block number was (29877)

flashfs[7]: erasing block 5...done.

flashfs[7]: Checking block 6...block number was (-13768)

flashfs[7]: erasing block 6...done.

flashfs[7]: Checking block 7...block number was (9350)

flashfs[7]: erasing block 7...done.

flashfs[7]: Checking block 8...block number was (-18268)

flashfs[7]: erasing block 8...done.

flashfs[7]: Checking block 9...block number was (7921)

flashfs[7]: erasing block 9...done.

flashfs[7]: Checking block 10...block number was (22821)

flashfs[7]: erasing block 10...done.

flashfs[7]: Checking block 11...block number was (7787)

flashfs[7]: erasing block 11...done.

flashfs[7]: Checking block 12...block number was (15515)

flashfs[7]: erasing block 12...done.

flashfs[7]: Checking block 13...block number was (20019)

flashfs[7]: erasing block 13...done.

flashfs[7]: Checking block 14...block number was (-25094)

flashfs[7]: erasing block 14...done.

flashfs[7]: Checking block 15...block number was (-7515)

flashfs[7]: erasing block 15...done.

flashfs[7]: Checking block 16...block number was (-10699)

flashfs[7]: erasing block 16...done.

flashfs[7]: Checking block 17...block number was (6652)

flashfs[7]: erasing block 17...done.

flashfs[7]: Checking block 18...block number was (-23640)

flashfs[7]: erasing block 18...done.

flashfs[7]: Checking block 19...block number was (23698)

flashfs[7]: erasing block 19...done.

flashfs[7]: Checking block 20...block number was (-28882)

flashfs[7]: erasing block 20...done.

flashfs[7]: Checking block 21...block number was (2533)

flashfs[7]: erasing block 21...done.

flashfs[7]: Checking block 22...block number was (-966)

flashfs[7]: erasing block 22...done.

flashfs[7]: Checking block 23...block number was (-22888)

flashfs[7]: erasing block 23...done.

flashfs[7]: Checking block 24...block number was (-9762)

flashfs[7]: erasing block 24...done.

flashfs[7]: Checking block 25...block number was (9747)

flashfs[7]: erasing block 25...done.

flashfs[7]: Checking block 26...block number was (-22855)

flashfs[7]: erasing block 26...done.

flashfs[7]: Checking block 27...block number was (-32551)

flashfs[7]: erasing block 27...done.

flashfs[7]: Checking block 28...block number was (-13355)

flashfs[7]: erasing block 28...done.

flashfs[7]: Checking block 29...block number was (-29894)

flashfs[7]: erasing block 29...done.

flashfs[7]: Checking block 30...block number was (-18595)

flashfs[7]: erasing block 30...done.

flashfs[7]: Checking block 31...block number was (22095)

flashfs[7]: erasing block 31...done.

flashfs[7]: Checking block 32...block number was (1486)

flashfs[7]: erasing block 32...done.

flashfs[7]: Checking block 33...block number was (13559)

flashfs[7]: erasing block 33...done.

flashfs[7]: Checking block 34...block number was (24215)

flashfs[7]: erasing block 34...done.

flashfs[7]: Checking block 35...block number was (21670)

flashfs[7]: erasing block 35...done.

flashfs[7]: Checking block 36...block number was (-24316)

flashfs[7]: erasing block 36...done.

flashfs[7]: Checking block 37...block number was (29271)

flashfs[7]: erasing block 37...done.

flashfs[7]: Checking block 125...block number was (0)

flashfs[7]: erasing block 125...done.

flashfs[7]: inconsistent sector list, fileid 7, parent_fileid 0

flashfs[7]: inconsistent sector list, fileid 12, parent_fileid 0

flashfs[7]: 5 files, 3 directories

flashfs[7]: 0 orphaned files, 0 orphaned directories

flashfs[7]: Total bytes: 16128000

flashfs[7]: Bytes used: 5128192

flashfs[7]: Bytes available: 10999808

flashfs[7]: flashfs fsck took 59 seconds.

flashfs[7]: Initialization complete.

Saving the configuration

!

Saving a copy of old configuration as downgrade.cfg

!

Saved the activation key from the flash image

Saved the default firewall mode (single) to flash

Saving image file as image.bin

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Upgrade process complete

Need to burn loader....

Erasing sector 0...[OK]

Burning sector 0...[OK]

Licensed features for this platform:

Maximum Physical Interfaces : 6

Maximum VLANs : 25

Inside Hosts : Unlimited

Failover : Active/Active

VPN-DES : Enabled

VPN-3DES-AES : Enabled

Cut-through Proxy : Enabled

Guards : Enabled

URL Filtering : Enabled

Security Contexts : 2

GTP/GPRS : Disabled

VPN Peers : Unlimited

This platform has an Unrestricted (UR) license.

Encryption hardware device : VAC (IRE2141 with 2048KB, HW:1.0, CGXROM:1.9, FW:6.5)

--------------------------------------------------------------------------

. .

| |

||| |||

.|| ||. .|| ||.

.:||| | |||:..:||| | |||:.

C i s c o S y s t e m s

--------------------------------------------------------------------------

Cisco PIX Security Appliance Software Version 7.0(1)

****************************** Warning *******************************

This product contains cryptographic features and is

subject to United States and local country laws

governing, import, export, transfer, and use.

Delivery of Cisco cryptographic products does not

imply third-party authority to import, export,

distribute, or use encryption. Importers, exporters,

distributors and users are responsible for compliance

with U.S. and local country laws. By using this

product you agree to comply with applicable laws and

regulations. If you are unable to comply with U.S.

and local laws, return the enclosed items immediately.

A summary of U.S. laws governing Cisco cryptographic

products may be found at:

http://www.cisco.com/wwl/export/crypto/tool/stqrg.html

If you require further assistance please contact us by

sending email to export@cisco.com.

******************************* Warning *******************************

Copyright (c) 1996-2005 by Cisco Systems, Inc.

Restricted Rights Legend

Use, duplication, or disclosure by the Government is

subject to restrictions as set forth in subparagraph

(c) of the Commercial Computer Software - Restricted

Rights clause at FAR sec. 52.227-19 and subparagraph

(c) (1) (ii) of the Rights in Technical Data and Computer

Software clause at DFARS sec. 252.227-7013.

Cisco Systems, Inc.

170 West Tasman Drive

San Jose, California 95134-1706

!--- These messages are printed for any deprecated commands.

ERROR: This command is no longer needed. The LOCAL user database is always enabled.

*** Output from config line 50, "aaa-server LOCAL protoco..."

ERROR: This command is no longer needed. The 'floodguard' feature is always enabled.

*** Output from config line 55, "floodguard enable"

Cryptochecksum(unchanged): 9fa48219 950977b6 dbf6bea9 4dc97255

!--- All current fixups are converted to the new Modular Policy Framework.

INFO: converting 'fixup protocol dns maximum-length 512' to MPF commands

INFO: converting 'fixup protocol ftp 21' to MPF commands

INFO: converting 'fixup protocol h323_h225 1720' to MPF commands

INFO: converting 'fixup protocol h323_ras 1718-1719' to MPF commands

INFO: converting 'fixup protocol http 80' to MPF commands

INFO: converting 'fixup protocol netbios 137-138' to MPF commands

INFO: converting 'fixup protocol rsh 514' to MPF commands

INFO: converting 'fixup protocol rtsp 554' to MPF commands

INFO: converting 'fixup protocol sip 5060' to MPF commands

INFO: converting 'fixup protocol skinny 2000' to MPF commands

INFO: converting 'fixup protocol smtp 25' to MPF commands

INFO: converting 'fixup protocol sqlnet 1521' to MPF commands

INFO: converting 'fixup protocol sunrpc_udp 111' to MPF commands

INFO: converting 'fixup protocol tftp 69' to MPF commands

INFO: converting 'fixup protocol sip udp 5060' to MPF commands

INFO: converting 'fixup protocol xdmcp 177' to MPF commands

Type help or '?' for a list of available commands.

pixfirewall>

Opmerking: Geef de opdracht show versie uit om te controleren of PIX nu de 7.x software versie draait.

Opmerking: Om fouten te onderzoeken die tijdens de migratie van de configuratie optraden, geeft de show opstarten-configuratie fouten opdracht uit. De fouten verschijnen in deze uitvoer nadat u de PIX voor het eerst hebt opgestart.

Upgradeer de PIX security applicatie van monitormodus

Monitormodus invoeren

Voltooi deze stappen om de monitormodus op de PIX in te voeren.

1. Sluit een console kabel aan op de console poort op de PIX met het gebruik van deze communicatie instellingen:

- 9600 bits per seconde

- 8 gegevensbits

- geen pariteit

- 1 stopcontact

- geen stroomregeling

2. Stroomprogramma of herladen van de PIX. Tijdens het opstarten wordt u gevraagd BREAK of ESC te gebruiken om de Flash-start te onderbreken. U hebt tien seconden om het normale startproces te onderbreken.

3. Druk op de ESC-toets of verstuur een BREAK-teken om de monitormodus in te voeren.

- Als u Windows Hyper Terminal gebruikt, kunt u op de Esc-toets drukken of op Ctrl+Break drukken om een BREAK-teken te verzenden.

- Als u via een eindserver wilt tellen om toegang te krijgen tot de console poort van de PIX, moet u Ctrl+] (Control + rechterbeugel) drukken om naar de Telnet-opdrachtmelding te gaan. Geef dan de opdracht om de pauze te verzenden.

4. De monitor>prompt wordt weergegeven.

5. Ga verder naar het gedeelte Upgradeer de PIX van de sectie Monitormodus.

Upgradeer de PIX van Monitor Mode

Voltooi deze stappen om de PIX-modus te verbeteren.

1. Kopieer de binaire afbeelding van PIX-apparaat, bijvoorbeeld pix701.bin, naar de hoofdmap van de TFTP-server.

2. Geef de monitor op in de PIX. Als u niet zeker weet hoe u dit moet doen, zie Monitormodus invoeren.

Opmerking: Eenmaal in de monitormodus kunt u de "?" gebruiken van toepassing om een lijst met beschikbare opties te zien.

3. Voer het interfacenummer in waarop de TFTP-server is aangesloten of de interface die het dichtst bij de TFTP-server staat. De standaardinstelling is interface 1 (Binnenin).

monitor>interface

Opmerking: in Monitor Mode, onderhandelt de interface altijd met de snelheid en de duplex. De interface-instellingen kunnen niet zwaar worden gecodeerd. Daarom als de PIX-interface in een schakelaar is aangesloten die hard gecodeerd is voor snelheid/duplex, moet u deze opnieuw configureren om automatisch te onderhandelen terwijl u in de Monitor Mode staat. Houd er ook rekening mee dat het PIX-apparaat geen Gigabit Ethernet-interface vanaf de monitormodus kan initialiseren. In plaats daarvan moet u een Fast Ethernet-interface gebruiken.

4. Voer het IP-adres in van de interface die in stap 3 is gedefinieerd.

monitor>address

5. Voer het IP-adres van de TFTP-server in.

monitor>server

6. (Optioneel) Voer het IP-adres van uw gateway in. Een toegangspunt is vereist als de interface van de PIX niet op hetzelfde netwerk is als de TFTP-server.

monitor>gateway

7. Voer de naam in van het bestand op de TFTP-server die u wilt laden. Dit is de naam van het binaire beeldbestand van PIX.

monitor>file

8. Ping van de PIX aan de TFTP server om IP connectiviteit te verifiëren.

Als de pings faalt, controleer de kabels, het IP adres van de PIX-interface en de TFTP-server en het IP adres van de gateway (indien nodig). De pings moeten slagen voordat u verdergaat.

monitor>ping

9. Typ tftp om de TFTP-download te starten.

monitor>tftp

10. PIX downloads van het beeld in RAM en start het beeld automatisch op.

Tijdens het opstarten wordt het bestandssysteem geconverteerd naar uw huidige configuratie. U bent echter nog niet klaar. Let op dit waarschuwingsbericht nadat u bent opgestart en ga verder met stap 11:

******************************************************************

**                                                                    **

**   *** WARNING *** WARNING *** WARNING *** WARNING *** WARNING ***  **

**                                                                    **

**          ----> Current image running from RAM only! <----          **

**                                                                    **

**  When the PIX was upgraded in Monitor mode the boot image was not  **

**  written to Flash.  Please issue "copy tftp: flash:" to load and   **

**  save a bootable image to Flash.  Failure to do so will result in  **

**  a boot loop the next time the PIX is reloaded.                    **

**                                                                    **

************************************************************************

11. Voer na het opstarten de modus in en kopieer dezelfde afbeelding opnieuw naar de PIX. Geef deze keer de flitser opdracht van de kopie op.

Dit slaat de afbeelding op in het Flash-bestandssysteem. Als deze stap niet is voltooid, wordt de volgende keer dat PIX wordt herladen, opnieuw opgestart.

pixfirewall>enable

pixfirewall#copy tftp flash

Opmerking: Voor uitgebreide instructies hoe u de afbeelding kunt kopiëren met het gebruik van de opdracht flitser van de kopie, zie de upgrade van de PIX security applicatie met de sectie van de flitser van de camera van de kopie.

12. Zodra de afbeelding wordt gekopieerd met de opdracht flitser van de kopie, is het upgradeproces voltooid.

Voorbeeld configuratie - upgrade van de PIX security applicatie van monitormodus

monitor>interface 1

0: i8255X @ PCI(bus:0 dev:13 irq:10)

1: i8255X @ PCI(bus:0 dev:14 irq:7 )

2: i8255X @ PCI(bus:1 dev:0  irq:11)

3: i8255X @ PCI(bus:1 dev:1  irq:11)

4: i8255X @ PCI(bus:1 dev:2  irq:11)

5: i8255X @ PCI(bus:1 dev:3  irq:11)

Using 1: i82559 @ PCI(bus:0 dev:14 irq:7 ), MAC: 0050.54ff.4d81

monitor>address 10.1.1.2

address 10.1.1.2

monitor>server 172.18.173.123

server 172.18.173.123

monitor>gateway 10.1.1.1

gateway 10.1.1.1

monitor>file pix701.bin

file pix701.bin

monitor>ping 172.18.173.123

Sending 5, 100-byte 0xa014 ICMP Echoes to 172.18.173.123, timeout is 4 seconds:

!!!!!

Success rate is 100 percent (5/5)

monitor>tftp

tftp pix701.bin@172.18.173.123..........................................

Received 5124096 bytes

Cisco PIX Security Appliance admin loader (3.0) #0: Mon Mar  7 17:39:03 PST 2005

#######################################################################

128MB RAM

Total NICs found: 6

mcwa i82559 Ethernet at irq 10  MAC: 0050.54ff.4d80

mcwa i82559 Ethernet at irq  7  MAC: 0050.54ff.4d81

mcwa i82558 Ethernet at irq 11  MAC: 00e0.b600.2014

mcwa i82558 Ethernet at irq 11  MAC: 00e0.b600.2015

mcwa i82558 Ethernet at irq 11  MAC: 00e0.b600.2016

mcwa i82558 Ethernet at irq 11  MAC: 00e0.b600.2017

BIOS Flash=AT29C257 @ 0xfffd8000

Old file system detected. Attempting to save data in flash

!--- This output indicates that the Flash file

!--- system is formatted. The messages are normal.

Initializing flashfs...

flashfs[7]: Checking block 0...block number was (-10627)

flashfs[7]: erasing block 0...done.

flashfs[7]: Checking block 1...block number was (-14252)

flashfs[7]: erasing block 1...done.

flashfs[7]: Checking block 2...block number was (-15586)

flashfs[7]: erasing block 2...done.

flashfs[7]: Checking block 3...block number was (5589)

flashfs[7]: erasing block 3...done.

flashfs[7]: Checking block 4...block number was (4680)

flashfs[7]: erasing block 4...done.

flashfs[7]: Checking block 5...block number was (-21657)

flashfs[7]: erasing block 5...done.

flashfs[7]: Checking block 6...block number was (-28397)

flashfs[7]: erasing block 6...done.

flashfs[7]: Checking block 7...block number was (2198)

flashfs[7]: erasing block 7...done.

flashfs[7]: Checking block 8...block number was (-26577)

flashfs[7]: erasing block 8...done.

flashfs[7]: Checking block 9...block number was (30139)

flashfs[7]: erasing block 9...done.

flashfs[7]: Checking block 10...block number was (-17027)

flashfs[7]: erasing block 10...done.

flashfs[7]: Checking block 11...block number was (-2608)

flashfs[7]: erasing block 11...done.

flashfs[7]: Checking block 12...block number was (18180)

flashfs[7]: erasing block 12...done.

flashfs[7]: Checking block 13...block number was (0)

flashfs[7]: erasing block 13...done.

flashfs[7]: Checking block 14...block number was (29271)

flashfs[7]: erasing block 14...done.

flashfs[7]: Checking block 15...block number was (0)

flashfs[7]: erasing block 15...done.

flashfs[7]: Checking block 61...block number was (0)

flashfs[7]: erasing block 61...done.

flashfs[7]: inconsistent sector list, fileid 9, parent_fileid 0

flashfs[7]: inconsistent sector list, fileid 10, parent_fileid 0

flashfs[7]: 9 files, 3 directories

flashfs[7]: 0 orphaned files, 0 orphaned directories

flashfs[7]: Total bytes: 15998976

flashfs[7]: Bytes used: 10240

flashfs[7]: Bytes available: 15988736

flashfs[7]: flashfs fsck took 58 seconds.

flashfs[7]: Initialization complete.

Saving the datafile

!

Saving a copy of old datafile for downgrade

!

Saving the configuration

!

Saving a copy of old configuration as downgrade.cfg

!

Saved the activation key from the flash image

Saved the default firewall mode (single) to flash

The version of image file in flash is not bootable in the current version of

software.

Use the downgrade command first to boot older version of software.

The file is being saved as image_old.bin anyway.

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Upgrade process complete

Need to burn loader....

Erasing sector 0...[OK]

Burning sector 0...[OK]

Erasing sector 64...[OK]

Burning sector 64...[OK]

Licensed features for this platform:

Maximum Physical Interfaces : 6

Maximum VLANs               : 25

Inside Hosts                : Unlimited

Failover                    : Active/Active

VPN-DES                     : Enabled

VPN-3DES-AES                : Enabled

Cut-through Proxy           : Enabled

Guards                      : Enabled

URL Filtering               : Enabled

Security Contexts           : 2

GTP/GPRS                    : Disabled

VPN Peers                   : Unlimited

This platform has an Unrestricted (UR) license.

Encryption hardware device : VAC+ (Crypto5823 revision 0x1)

--------------------------------------------------------------------------

.            .

|            |

|||          |||

.|| ||.      .|| ||.

.:||| | |||:..:||| | |||:.

C i s c o  S y s t e m s

--------------------------------------------------------------------------

Cisco PIX Security Appliance Software Version 7.0(1)

****************************** Warning *******************************

This product contains cryptographic features and is

subject to United States and local country laws

governing, import, export, transfer, and use.

Delivery of Cisco cryptographic products does not

imply third-party authority to import, export,

distribute, or use encryption. Importers, exporters,

distributors and users are responsible for compliance

with U.S. and local country laws. By using this

product you agree to comply with applicable laws and

regulations. If you are unable to comply with U.S.

and local laws, return the enclosed items immediately.

A summary of U.S. laws governing Cisco cryptographic

products may be found at:

http://www.cisco.com/wwl/export/crypto/tool/stqrg.html

If you require further assistance please contact us by

sending email to export@cisco.com.

******************************* Warning *******************************

Copyright (c) 1996-2005 by Cisco Systems, Inc.

Restricted Rights Legend

Use, duplication, or disclosure by the Government is

subject to restrictions as set forth in subparagraph

(c) of the Commercial Computer Software - Restricted

Rights clause at FAR sec. 52.227-19 and subparagraph

(c) (1) (ii) of the Rights in Technical Data and Computer

Software clause at DFARS sec. 252.227-7013.

Cisco Systems, Inc.

170 West Tasman Drive

San Jose, California 95134-1706

!--- These messages are printed for any deprecated commands.

.ERROR: This command is no longer needed. The LOCAL user database is always enabled.

*** Output from config line 71, "aaa-server LOCAL protoco..."

ERROR: This command is no longer needed. The 'floodguard' feature is always enabled.

*** Output from config line 76, "floodguard enable"

Cryptochecksum(unchanged): 8c224e32 c17352ad 6f2586c4 6ed92303

!--- All current fixups are converted to the

!--- new Modular Policy Framework.

INFO: converting 'fixup protocol dns maximum-length 512' to MPF commands

INFO: converting 'fixup protocol ftp 21' to MPF commands

INFO: converting 'fixup protocol h323_h225 1720' to MPF commands

INFO: converting 'fixup protocol h323_ras 1718-1719' to MPF commands

INFO: converting 'fixup protocol http 80' to MPF commands

INFO: converting 'fixup protocol ils 389' to MPF commands

INFO: converting 'fixup protocol netbios 137-138' to MPF commands

INFO: converting 'fixup protocol rsh 514' to MPF commands

INFO: converting 'fixup protocol rtsp 554' to MPF commands

INFO: converting 'fixup protocol sip 5060' to MPF commands

INFO: converting 'fixup protocol skinny 2000' to MPF commands

INFO: converting 'fixup protocol smtp 25' to MPF commands

INFO: converting 'fixup protocol sqlnet 1521' to MPF commands

INFO: converting 'fixup protocol sunrpc_udp 111' to MPF commands

INFO: converting 'fixup protocol tftp 69' to MPF commands

INFO: converting 'fixup protocol sip udp 5060' to MPF commands

INFO: converting 'fixup protocol xdmcp 177' to MPF commands

************************************************************************

**                                                                    **

**   *** WARNING *** WARNING *** WARNING *** WARNING *** WARNING ***  **

**                                                                    **

**          ----> Current image running from RAM only! <----          **

**                                                                    **

**  When the PIX was upgraded in Monitor mode the boot image was not  **

**  written to Flash.  Please issue "copy tftp: flash:" to load and   **

**  save a bootable image to Flash.  Failure to do so will result in  **

**  a boot loop the next time the PIX is reloaded.                    **

**                                                                    **

************************************************************************

Type help or '?' for a list of available commands.

pixfirewall>

pixfirewall>enable

Password:

pixfirewall#

pixfirewall#copy tftp flash

Address or name of remote host []? 172.18.173.123

Source filename []? pix701.bin

Destination filename [pix701.bin]?

Accessing tftp://172.18.173.123/pix701.bin...!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Writing file flash:/pix701.bin...

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

5124096 bytes copied in 139.790 secs (36864 bytes/sec)

pixfirewall#

Interface-namen converteren van Cisco PIX-software 7.0 naar Cisco ASA-indeling

De volgende stap in het proces is de nieuwe geconverteerde Cisco PIX-software 7.0-gebaseerde configuratie offline te bewerken.

Aangezien de Cisco ASA interface name-conventie anders is dan Cisco PIX security applicaties, moet u wijzigingen aanbrengen in de Cisco PIX-configuratie voordat u deze kopieert/uploadt naar uw Cisco ASA 5500 Series security applicatie.

Voltooi deze stappen om de interfacenaam wijzigingen in de PIX-configuratie aan te brengen:

1. Kopieer de nieuwe op Cisco PIX-software 7.0 gebaseerde configuratie offline. Om dit te doen, uploadt u de configuratie naar een TFTP/FTP-server of kopieert u de configuratie van een console-sessie naar een teksteditor.

Om de PIX-configuratie naar een TFTP/FTP-server te uploaden, geeft u deze opdracht uit:

copy startupâˆ’config tftp://n.n.n.n/PIX7cfg.txt

or

copy startupâˆ’config ftp://n.n.n.n/PIX7cfg.txt

2. Nadat het op Cisco PIX-software 7.0 gebaseerde configuratiebestand met succes is geüpload naar de TFTP/FTP-server (of is geplakt/gekopieerd naar een teksteditor), opent u Kladblok/WordPad of een favoriete teksteditor om de interfacenamen in de PIX-configuratie te wijzigen.

Cisco PIX-security applicaties gebruiken een aantal interfaces van 0 tot en met n. Cisco ASA 5500 Series security applicaties aantal interfaces op basis van hun locatie/sleuf. Ingesloten interfaces hebben een nummer van 0/0 tot 0/3 en de beheerinterface is Management 0/0. Interfaces op de 4GE SSM-module zijn genummerd van 1/0 tot 1/3.

Cisco ASA 5510 met een basislicentie die 7.0 draait, heeft drie Fast Ethernet-poorten (0/0 tot 0/2) plus de beschikbare Management 0/0-interface. Cisco ASA 5510 met een Security Plus-licentie heeft alle vijf Fast Ethernet-interfaces beschikbaar. Cisco ASA 5520 en 5540 hebben vier Gigabit Ethernet poorten en één Fast Ethernet-beheerpoort. Cisco ASA 5550 heeft acht Gigabit Ethernet poorten en één Fast Ethernet-poort.

Verander de interfacenamen op de PIX-configuratie in ASA interface-formaat.

Bijvoorbeeld :

Ethernet0 ==> Ethernet0/0

Ethernet1 ==> Ethernet0/1

GigabitEthernet0 ==> GigabitEthernet0/0

Raadpleeg het gedeelte "Interfaceparameters configureren" van Cisco security applicatie opdrachtregel, versie 7.0 voor meer informatie.

Kopieert de configuratie van PIX naar ASA

Op dit punt hebt u een op Cisco PIX Software 7.0 gebaseerde configuratie met de interfacenamen die klaar zijn om te worden gekopieerd of geüpload naar uw Cisco ASA 5500 Series. Er zijn twee manieren om de Cisco PIX-software 7.0-gebaseerde configuratie naar het Cisco ASA 5500 Series apparaat te laden.

Volg de stappen in methode 1: Handmatige kopie/pasta of methode 2: Downloaden via TFTP/FTP.

Methode 1: Handmatig kopiëren/plakken

Kopieert de configuratie via de kopie-/plakmethode uit de PIX-console:

1. Meld u aan in de Cisco ASA 5500-serie door de console en geef de duidelijke configuratie alle opdracht uit om de configuratie te wissen voordat u de aangepaste Cisco PIX-software 7.0-configuratie plakt.

ASA#config t

ASA(config)#clear config all

2. Kopieer en plak de configuratie naar de ASA-console en bewaar de configuratie.

Opmerking: Zorg dat alle interfaces in de status no shutdown zijn voordat u start met testen.

Methode 2: Downloaden via TFTP/FTP

De tweede methode is om de Cisco PIX-software 7.0-gebaseerde configuratie te downloaden van een TFTP/FTP-server. Voor deze stap moet u de beheerinterface in de Cisco ASA 5500 Series applicatie voor TFTP/FTP configureren:

1. vanaf de ASA-console:

ASA#config t

ASA(config)#interface management 0

ASA(config)#nameif management

ASA(config)#ip add

ASA(config)#no shut

Opmerking: (optioneel) routebeheer <ip> <masker> <next-hop>

2. Nadat de beheerinterface is ingesteld, kunt u de PIX-configuratie naar de ASA downloaden:

ASA(Config)#copy tftp://

/PIX7cfg.txt running-config

3. Bewaar de configuratie.

Een PIX-softwareversie 6.x-configuratie toepassen op ASA-softwareversie 7.x

De conversie van een PIX 6.2 of 6.3 configuratie naar een nieuwe ASA security applicatie is een handmatig proces. De ASA/PIX-beheerder is verplicht de syntaxis van PIX 6.x te converteren om de ASA-syntaxis aan te passen en de opdrachten in de ASA-configuratie te typen. U kunt bepaalde opdrachten knippen en plakken, zoals de opdracht toegangslijsten. Verzeker u ervan dat u de PIX 6.2 of 6.3 configuratie nauw kunt vergelijken met de nieuwe ASA-configuratie om te voorkomen dat er fouten worden gemaakt in de conversie.

Opmerking: De Cisco CLI Analyzer (alleen geregistreerde klanten) kan worden gebruikt om een aantal van de oudere, niet-ondersteunde opdrachten zoals van toepassing, outbound of geleiding naar de juiste toegangslijst te converteren. De geconverteerde verklaringen moeten grondig worden herzien. Er moet worden geverifieerd of de conversie in overeenstemming is met het beveiligingsbeleid.

Opmerking: het proces voor de upgrade naar een nieuw ASA-apparaat is anders dan een upgrade naar een nieuw PIX-apparaat. Een poging om met het PIX-proces te verbeteren genereert een aantal configuratiefouten in de ASA.

Probleemoplossing - handmatige configuratie conversie

Apparaatstrek in opnieuw opstarten

- Nadat u de methode van de flitser van het kopieer gebruikmaakt om de PIX te verbeteren, en opnieuw op te starten, wordt het vastgemaakt in deze herlader:

Cisco Secure PIX Firewall BIOS (4.0) #0:

Thu Mar  2 22:59:20 PST 2000

Platform PIX-515

Flash=i28F640J5 @ 0x300

Use BREAK or ESC to interrupt flash boot.

Use SPACE to begin flash boot immediately.

Reading 5063168 bytes of image from flash.

PIX-apparaten met een uitgangswaarde van 4.2 kunnen niet worden bijgewerkt met behulp van de opdracht voor het maken van een flitser van een kopie. U moet ze upgraden met de methode van de Monitormodus.

- Nadat de PIX 7.x draait en herstart, zit hij vast in deze herstartlus:

Rebooting....

Cisco Secure PIX Firewall BIOS (4.0) #0: Thu Mar 2 22:59:20 PST 2000

Platform PIX-515

Flash=i28F640J5 @ 0x300

Use BREAK or ESC to interrupt flash boot.

Use SPACE to begin flash boot immediately.

Reading 115200 bytes of image from flash.

PIX Flash Load Helper

Initializing flashfs...

flashfs[0]: 10 files, 4 directories

flashfs[0]: 0 orphaned files, 0 orphaned directories

flashfs[0]: Total bytes: 15998976

flashfs[0]: Bytes used: 1975808

flashfs[0]: Bytes available: 14023168

flashfs[0]: Initialization complete.

Unable to locate boot image configuration

Booting first image in flash

No bootable image in flash. Please download

an image from a network server in the monitor mode

Failed to find an image to boot

Als de PIX van Monitor Mode tot 7.0 wordt bijgewerkt, maar het 7.0 beeld wordt niet opnieuw gekopieerd naar Flash na de eerste laars van 7.0, dan wanneer de PIX opnieuw wordt geladen, wordt het in een rebootlus geplakt.

De resolutie is om het beeld opnieuw te laden vanuit de monitormodus. Nadat het programma is opgestart, moet u de afbeelding nog een keer kopiëren met behulp van de methode van de flitser van het exemplaar.

Foutbericht

Wanneer u uw upgrade uitvoert met de methode van de flitser van de fotokopie, ziet u deze foutmelding:

pixfirewall#copy tftp flash

Address or name of remote host [0.0.0.0]? 172.18.173.123

Source file name [cdisk]? pix701.bin

copying tftp://172.18.173.123/pix701.bin to flash:image

[yes|no|again]? y

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

Received 5124096 bytes

Erasing current image

Insufficient flash space available for this request:

Size info: request:5066808 current:1966136 delta:3100672 free:2752512

Image not installed

pixfirewall#

Dit bericht verschijnt doorgaans wanneer PIX 515 of een PIX 535 met de reeds geïnstalleerde PDM-modus is bijgewerkt met de flitsmethode van het kopiëren.

Upgradeer met de methodiek van de monitor om dit op te lossen.

Configuratie lijkt niet juist

Nadat u de PIX van 6.x tot 7.x hebt bijgewerkt, migreren sommige configuratie niet goed.

De output van de show het opstarten-in werking stellen-configuratie fouten opdracht toont om het even welke fouten die tijdens de migratie van de configuratie voorkwamen. De fouten verschijnen in deze uitvoer nadat u de PIX voor het eerst hebt opgestart. Onderzoek deze fouten en probeer ze op te lossen.

Sommige services, zoals FTP, werken niet

Soms werken sommige services zoals FTP niet na een upgrade.

De inspectie voor deze diensten is na de upgrade niet mogelijk. Inzage voor de juiste diensten mogelijk maken. Om dit te doen, voeg ze toe aan standaard-/mondiaal inspectiebeleid of creëer een afzonderlijk inspectiebeleid voor de gewenste service.

Raadpleeg het gedeelte "Application Layer Protocol Inspection" van Cisco Security Appliance Opdracht Line Configuration Guide, versie 7.0 voor meer informatie over inspectiebeleid.

Kan geen toegang tot internet hebben wanneer Cisco PIX security applicatie wordt vervangen door Cisco adaptieve security applicatie (ASA)

Gebruik deze sectie als u geen toegang hebt tot internet nadat u de Cisco PIX security applicatie hebt vervangen door de Cisco adaptieve security applicatie (ASA).

Wanneer u de PIX uit het netwerk koppelt en de ASA op het netwerk aanbrengt met een IP-adres buiten dat hetzelfde is als de interface Outside van de PIX, heeft de upstream router nog steeds het mac-adres voor de PIX wat overeenkomt met het IP-adres buiten. Bijgevolg kan zij de antwoordpakketten niet terugsturen naar de ASA. Om de ASA te kunnen werken moet u de ARP ingang op de upstream router ontruimen zodat het de nieuwe/juiste mac-adres ingang leert. Als u de ARP-vermeldingen wilt doorspoelen wanneer u de PIX wilt vervangen door ASA, lost dit de internetconnectiviteit-kwestie op. Het ARP-invoersignaal moet door de ISP op hun einde worden uitgevoerd.

Gerelateerde informatie

- Cisco PIX 500 Series security applicaties - Inleiding

- Technische ondersteuning en documentatie – Cisco Systems