ASA FirePOWER モジュールのアップグレード

このドキュメントでは、管理方法の選択に応じて ASDM または Management Center を使用して ASA FirePOWER モジュールをアップグレードする方法について説明します。スタンドアロン、フェールオーバー、またはクラスタリングの各シナリオで FirePOWER アップグレードを実行するタイミングを判断するには、ASA のアップグレードを参照してください。

トラフィックフローとインスペクション

次の場合に、トラフィックフローおよび検査の中断が発生することがあります。

デバイスを再起動する場合。
デバイスソフトウェア、オペレーティングシステム、または仮想ホスティング環境をアップグレードする場合。
デバイスソフトウェアをアンインストールまたは復元する場合。
ドメイン間でデバイスを移動する場合。
設定の変更を展開する場合（Snort プロセスが再起動する）。

デバイスタイプ、高可用性または拡張性の設定、およびインターフェイス設定によって、中断の性質が決まります。これらのタスクは、保守期間中に行うか、中断による展開環境への影響が最も小さい時点で行うことを強く推奨します。

ASDM を使用した ASA FirePOWER モジュールのアップグレード

次の手順を使用して、ASDM によって管理される ASA FirePOWER モジュールをアップグレードします。

注意	構成の変更、手動による再起動、またはアップグレードモジュールのシャットダウンは行わないでください。進行中のアップグレードは再開しないでください。事前のチェック中に、アップグレードプロセスが停止しているように見える場合がありますが、これは想定内の動作です。アップグレードに失敗する、アプライアンスが応答しないなど、アップグレードで問題が発生した場合には Cisco TAC にお問い合わせください。

手順

ステップ 1	ASA のサポートされるバージョンを実行していることを確認します。 ASA と ASA FirePOWER のバージョンには広く互換性があります。ただし、厳密には ASA のアップグレードが必要でない場合でも、問題解決のために、サポートされた最新のバージョンへのアップグレードが必要になることがあります。そのシーケンスで ASA FirePOWER モジュールをアップグレードする場合の、スタンドアロン、フェールオーバー、クラスタリングのシナリオにおける ASA のアップグレード手順を参照してください。ASA ソフトウェアをアップグレードしない場合でも、ASA のフェールオーバーとクラスタリングアップグレード手順を参照する必要があります。これにより、モジュールのアップグレード前に装置でフェールオーバーまたはクラスタリングの無効化を実行して、トラフィックの損失を回避できます。たとえば、クラスタでは、各セカンダリユニットを順次アップグレードし（クラスタリングの無効化、モジュールのアップグレード、クラスタリングの再有効化を含む）、その後プライマリユニットをアップグレードする必要があります。
ステップ 2	アップグレードパッケージは Cisco.com からダウンロードします。メジャーバージョンの場合。バージョン 6.0 ～ 6.2.2 へのアップグレード：Cisco_Network_Sensor_Upgrade-[version]-[build].sh バージョン 6.2.3 以降へのアップグレード：Cisco_Network_Sensor_Upgrade-[version]-[build].sh.REL.tar パッチの場合。 5.4.1.x ～ 6.2.1.x へのアップグレード：Cisco_Network_Sensor_Patch-[version]-[build].sh バージョン 6.2.2.1 以降へのアップグレード：Cisco_Network_Sensor_Patch-[version]-[build].sh.REL.tar シスコサポートおよびダウンロードサイトから直接ダウンロードします。電子メールでパッケージを転送すると、破損する可能性があります。バージョン 6.2.2+ 以降のアップグレードパッケージは署名付きで、単純な .sh ではなく .sh.REL.tar の末尾になります。署名付きのアップグレードパッケージは解凍しないでください。
ステップ 3	ASDM を使用して ASA に接続し、アップグレードパッケージをアップロードします。 [構成（Configuration）] > [ASA FirePOWER の構成（ASA FirePOWER Configuration）] > [Updates]を選択します。 [更新のアップロード（Upload Update）] をクリックします。 [ファイルの選択（Choose File）] をクリックして対象ファイルに移動し、更新を選択します。 [Upload] をクリックします。
ステップ 4	保留中の構成の変更を展開します。展開しない場合、アップグレードが失敗することがあります。展開する際にリソースを要求すると、いくつかのパケットがインスペクションなしでドロップされることがあります。さらに、いくつかの設定を展開することで Snort が再起動されます。これにより、トラフィックのインスペクションが中断し、デバイスのトラフィックの処理方法によっては、再起動が完了するまでトラフィックが中断する場合があります。詳細については、トラフィックフローとインスペクションを参照してください。
ステップ 5	（バージョン 6.1.0 ～ 6.3.0.x へのアップグレード）ASA REST API を無効にします。 REST API を無効にしない場合、アップグレードは失敗します。ASA FirePOWER モジュールのバージョン 6.0 以降も実行している場合、ASA 5506-X シリーズのデバイスでは ASA REST API はサポートされません。 ASA の CLI を使用して、REST API を無効にします。 no rest-api agent 次のコマンドを実行して、アップグレード後に REST API を再度有効にすることができます。 rest-api agent
ステップ 6	[モニタリング（Monitoring）] > [ASA FirePOWER のモニタリング（ASA FirePOWER Monitoring）] > [タスクステータス（Task Status）] の順に選択して、必須タスクが完了していることを確認します。アップグレードの開始時に実行中のタスクは停止し、失敗したタスクとなり、再開できません。後で失敗ステータスメッセージを手動で削除できます。
ステップ 7	[構成（Configuration）] > [ASA FirePOWER の構成（ASA FirePOWER Configuration）] > [Updates]を選択します。
ステップ 8	アップロードしたアップグレードパッケージの横にある [インストール（Install）] アイコンをクリックして、モジュールをアップグレードして再起動することを確認します。トラフィックは、モジュールの設定方法に応じて、アップグレード中にドロップされるか、または検査されることなくネットワークを通過します。詳細については、トラフィックフローとインスペクションを参照してください。
ステップ 9	[タスクステータス（Task Status）] ページでアップグレードの進行状況をモニターします。モジュールのアップグレード中は、そのモジュールに構成の変更を加えないでください。アップグレードステータスに進行状況が数分間表示されない、またはアップグレードが失敗したことが示されている場合でも、アップグレードを再開したり、デバイスを再起動したりしないでください。代わりに、Cisco TAC に連絡してください。
ステップ 10	アップグレードが完了したら、ASDM を ASA に再接続します。
ステップ 11	[構成（Configuration）] > [ASA FirePOWER の構成（ASA FirePOWER Configuration）] の順に選択して、[更新（Refresh）] をクリックします。そうしない場合、インターフェイスが予期しない動作を示すことがあります。
ステップ 12	[構成（Configuration）] > [ASA FirePOWER の構成（ASA FirePOWER Configuration）] > [システム情報（System Information）] の順に選択して、モジュールのソフトウェアバージョンが正しいことを確認します。
ステップ 13	サポートサイトで利用可能な侵入ルールの更新や脆弱性データベース（VDB）が現在実行中のバージョンより新しい場合は、新しいバージョンをインストールします。
ステップ 14	リリースノートに記載されているアップグレード後の構成の変更をすべて完了します。
ステップ 15	構成を再展開します。

Firepower Management Center のアップグレード

Firepower Management Center を使用して ASA FirePOWER モジュールを管理している場合は、モジュールをアップグレードする前に Management Center をアップグレードする必要があります。

スタンドアロンの Secure Firewall Management Center のアップグレード

この手順を使用して、Secure Firewall Management Center Virtual を含め、スタンドアロンの Secure Firewall Management Center をアップグレードします。

注意	構成の変更の実行または展開、手動による再起動、または FMC のアップグレード中のシャットダウンは行わないでください。進行中のアップグレードを再開しないでください。事前のチェック中に、アップグレードプロセスが停止しているように見える場合がありますが、これは想定内の動作です。アップグレードに失敗する、アプライアンスが応答しないなど、アップグレードで問題が発生した場合にはCisco TACにお問い合わせください。

始める前に

事前アップグレードのチェックリストを完了します。展開したアプライアンスが正常で、きちんと通信していることを確認します。

手順

ステップ 1	[システム（System）] > [更新（Updates）] を選択します。
ステップ 2	使用するアップグレードパッケージの横にある [インストール（Install）] アイコンをクリックして、FMC を選択します。
ステップ 3	[インストール（Install）] をクリックすると、アップグレードが開始されます。アップグレードして再起動することを確認します。
ステップ 4	ログアウトするまで、事前チェックの進行状況をモニターします。この間、構成の変更を行わないでください。
ステップ 5	可能なときに、再度ログインします。マイナーアップグレード（パッチとホットフィックス）：アップグレードと再起動が完了した後にログインできます。メジャーアップグレードとメンテナンスアップグレード：アップグレードが完了する前にログインできます。アップグレードの進行状況をモニターし、アップグレードログとエラーメッセージを確認するために使用できるページが表示されます。アップグレードが完了し、システムが再起動すると再度ログアウトされます。リブート後に、再ログインしてください。
ステップ 6	プロンプトが表示されたら、エンドユーザーライセンス契約書（EULA）を確認し、承認します。
ステップ 7	アップグレードが成功したことを確認します。ログイン時にアップグレードの成功メッセージが表示されない場合は、[ヘルプ（Help）] > [バージョン情報（About）] を選択して、現在のソフトウェアのバージョン情報を表示します。
ステップ 8	侵入ルール（SRU/LSP）および脆弱性データベース（VDB）を更新します。シスコサポートおよびダウンロードサイトで利用可能なコンポーネントが現在実行中のバージョンより新しい場合は、新しいバージョンをインストールします。侵入ルールを更新する場合、ポリシーを自動的に再適用する必要はありません。後で適用します。
ステップ 9	リリースノートに記載されているアップグレード後の構成の変更をすべて完了します。
ステップ 10	構成を再展開します。すべての管理対象デバイスに再展開します。デバイスに構成を展開しない場合、最終的なアップグレードが失敗し、イメージの再作成が必要になることがあります。

ハイアベイラビリティ Firepower Management Center のアップグレード

この手順を使用して、ハイアベイラビリティペアに含まれる FMC の Firepower ソフトウェアをアップグレードします。

一度に 1 つのピアをアップグレードします。同期を一時停止して、まずスタンバイをアップグレードしてから、アクティブにします。スタンバイで事前チェックが開始されると、ステータスがスタンバイからアクティブに切り替わり、両方のピアがアクティブになります。この一時的な状態は split-brain と呼ばれていて、アップグレード中を除き、サポートされていません。ペアが split-brain の状況で、構成の変更または展開を行わないでください。同期の再開後は変更内容が失われます。

注意	構成の変更の実行または展開、手動による再起動、または FMC のアップグレード中のシャットダウンは行わないでください。進行中のアップグレードを再開しないでください。事前のチェック中に、アップグレードプロセスが停止しているように見える場合がありますが、これは想定内の動作です。アップグレードに失敗する、アプライアンスが応答しないなど、アップグレードで問題が発生した場合にはCisco TACにお問い合わせください。

始める前に

両方のピアの事前アップグレードチェックリストを完了します。展開したアプライアンスが正常で、きちんと通信していることを確認します。

手順

ステップ 1	同期を一時停止します。 [システム（System）] > [統合（Integration）]を選択します。 [ハイアベイラビリティ（High Availability）] タブで、[同期の一時停止（Pause Synchronization）] をクリックします。
ステップ 2	アップグレードパッケージをスタンバイにアップロードします。 FMC の高可用性の展開では、FMC アップグレードパッケージを両方のピアにアップロードし、パッケージをスタンバイに転送する前に同期を一時停止する必要があります。HA 同期の中断を制限するには、アップグレードの準備段階でパッケージをアクティブのピアに転送し、同期を一時停止した後に、実際のアップグレードプロセスの一環としてスタンバイのピアに転送します。
ステップ 3	ピアを一度に 1 つずつアップグレード：最初はスタンバイ、次はアクティブです。「スタンドアロンの Secure Firewall Management Center のアップグレード」の手順に従います。各ピアで更新が成功したことを確認したら停止します。要約すると、各ピアで次の手順を実行します。 [システム（System）] > [更新（Updates）] ページで、アップグレードをインストールします。ログアウトするまで進行状況をモニターし、可能な場合な再度ログインします（これは主なアップグレードで 2 回行われます）。アップグレードが成功したことを確認します。ペアが split-brain の状況で、構成の変更または展開を行わないでください。
ステップ 4	同期を再開します。アクティブピアにする FMC にログインします。 [システム（System）] > [統合（Integration）] の順に選択します。 [ハイアベイラビリティ（High Availability）] タブで、[アクティブにする（Make-Me-Active）] をクリックします。同期が再開し、その他の FMC がスタンバイモードに切り替わるまで待ちます。
ステップ 5	侵入ルール（SRU/LSP）および脆弱性データベース（VDB）を更新します。シスコサポートおよびダウンロードサイトで利用可能なコンポーネントが現在実行中のバージョンより新しい場合は、新しいバージョンをインストールします。侵入ルールを更新する場合、ポリシーを自動的に再適用する必要はありません。後で適用します。
ステップ 6	リリースノートに記載されているアップグレード後の構成の変更をすべて完了します。
ステップ 7	構成を再展開します。すべての管理対象デバイスに再展開します。デバイスに構成を展開しない場合、最終的なアップグレードが失敗し、イメージの再作成が必要になることがあります。

FMC を使用した ASA FirePOWER モジュールのアップグレード

この手順を使用して、FMC によって管理される ASA FirePOWER module をアップグレードします。モジュールをいつアップグレードするかは、ASAをアップグレードするかどうか、およびASAの展開によって異なります。

スタンドアロン ASA デバイス：ASA もアップグレードする場合は、ASA をアップグレードしてリロードした直後に、ASA FirePOWER module をアップグレードします。
ASA クラスタとフェールオーバーペア：トラフィックフローとインスペクションの中断を避けるには、これらのデバイスを一度に 1 台ずつ完全にアップグレードします。ASA をアップグレードする場合、各ユニットをリロードして ASA をアップグレードする直前に、ASA FirePOWER module をアップグレードします。

詳細については、アップグレードパス：FMC を搭載した ASA FirePOWERと ASA アップグレード手順を参照してください。

始める前に

事前アップグレードのチェックリストを完了します。展開したアプライアンスが正常で、きちんと通信していることを確認します。

手順

ステップ 1

[システム（System）] > [更新（Updates）] を選択します。

ステップ 2

使用するアップグレードパッケージの横にある [インストール（Install）] アイコンをクリックして、アップグレードするデバイスを選択します。

アップグレードするデバイスがリストに表示されない場合は、間違ったアップグレードパッケージを選択しています。

（注）

[システムの更新（System Update）] ページから同時にアップグレードするデバイスは 5 台までにすることを強く推奨します。選択したすべてのデバイスがそのプロセスを完了するまで、アップグレードを停止することはできません。いずれかのデバイスのアップグレードに問題がある場合、問題を解決する前に、すべてのデバイスのアップグレードを完了する必要があります。

ステップ 3

[Install] をクリックし、アップグレードして、デバイスを再起動することを確認します。

トラフィックは、デバイスの設定および展開方法に応じて、アップグレードの間ドロップするか、検査なしでネットワークを通過します。詳細については、対象バージョンの Cisco Firepower リリースノート内の「ソフトウェアのアップグレード」の章を参照してください。

ステップ 4

アップグレードの進捗状況をモニタします。

注意	アップグレード中のデバイスへの変更の展開、手動での再起動、シャットダウンは行わないでください。進行中のデバイスのアップグレードは再開しないでください。事前のチェック中に、アップグレードプロセスが停止しているように見える場合がありますが、これは想定内の動作です。アップグレードに失敗する、アプライアンスが応答しないなど、アップグレードで問題が発生した場合にはCisco TACにお問い合わせください。

ステップ 5

アップグレードが成功したことを確認します。

アップグレードが完了したら、[Devices] > [Device Management] を選択し、アップグレードしたデバイスのソフトウェアバージョンが正しいことを確認します。

ステップ 6

侵入ルール（SRU/LSP）および脆弱性データベース（VDB）を更新します。

シスコサポートおよびダウンロードサイトで利用可能なコンポーネントが現在実行中のバージョンより新しい場合は、新しいバージョンをインストールします。侵入ルールを更新する場合、ポリシーを自動的に再適用する必要はありません。後で適用します。

ステップ 7

リリースノートに記載されているアップグレード後の構成の変更をすべて完了します。

ステップ 8

アップグレードしたデバイスに構成を再度展開します。

Cisco Secure Firewall ASA アップグレードガイド

偏向のない言語

翻訳について

Book Title

Cisco Secure Firewall ASA アップグレードガイド

Chapter Title