ASA/FTD: トレイン別のサポートモデルの違いについて

Taisuke Nakamura · ‎2016-03-10

はじめに
ASAソフトウェアのサポートモデルの違い
ベストプラクティス
よくある質問
FTDにも長期と短期サポート対象の違いはありますか
FXOSにも長期と短期サポート対象の違いはありますか
ASA トレイン 9.10 は、何故長期サポート対象ではないのですか
偶数トレインがリリース後、その1つ前の奇数トレインでも不具合修正は行われますか
何故、長期サポート対象と短期サポート対象のトレインモデルを採用したのですか
Download Software の Suggested Release との関係性をおしえてください
参考情報

はじめに

ASAソフトウェアは ASAバージョン 9.5(1)から、Firepower System ソフトウェアはバージョン 6.4(1)から、長期サポート対象と短期サポート対象のリリースが明確にわかれました。本ドキュメントではその違いや確認方法について紹介します。なお、Firepower System ソフトウェア (FTD) について詳しくは、「よくある質問」を参照してください。

ASAソフトウェアのサポートモデルの違い

ASAバージョン 9.5(1)以降より、2桁目のトレイン番号の違いで以下2つのサポートモデルに分かれます。製品機能や安定性、サポートに大きな違いがあるのでご注意ください。
　　　　　　　

偶数トレイン (9.4, 9.6, 9.8, 9.10,9.12,9.14,9.16,9.18..)

Long Term Release (LTR) リリース。旧名 Extendedリリース。
安定性を重視したトレイン
長期サポート対象
- First Customer Shipment (FCS)後の 36か月間以上のソフトウェア開発とサポート
1年に1回リリース (各年の春頃にリリース予定)
ASA 9.12とその後 2年に1回リリースの偶数トレイン (例: 9.16, 9.20 ...)は、より特別な Extra Long Term Release (XLTR) となり、通常の偶数トレインに比べ、より長期 (51か月以上) のソフトウェア開発とサポート。政府認証にも選ばれるトレイン

奇数トレイン (9.5, 9.7, 9.9,9.11,9.13,9.15,9.17..)

Short Term Release (STR) リリース。旧名 Standardリリース
複数の新機能の実装を目的としたトレイン
短期サポート対象
- First Customer Shipment (FCS)後の 18ヶ月間のソフトウェア開発とサポート
1年に1回リリース (各年の秋頃にリリース予定)
LTRリリースが公開され次第、LTRリリースへのバージョンアップを推奨

例えば、ASAバージョン 9.4(2)11や 9.12(2)9 など 2桁目が偶数の場合は長期サポート対象の安定バージョン、ASAバージョン 9.5(2)や 9.13(1)2など 2桁目が奇数の場合は短期サポート対象となります。

なお、ソフトウェア開発終了後も、既知事例やベストプラクティスに基づく TACサポートを、一定期間受ける事ができます。

なお、ASA 9.10トレインは ASA9.9(Standardリリース)の延長で急遽リリースされた特殊リリースとなり、ASA 9.10は非Extendedリリースです。そのため、ASA9.10はサポート期間は短めです。及び、リリーススケジュールの関係上、ASA 9.11は廃番の扱いとなります。

　　　
各トレインのサポートモデルの違いについて詳細は以下サイトを参照ください。

Cisco’s Next Generation Firewall Product Line Software Release and Sustaining Bulletin
https://www.cisco.com/c/en/us/products/collateral/security/firewalls/bulletin-c25-743178.html

　　　
最新のEoLアナウンスメントとサポート期間詳細は以下サイトを参照ください。サポート終了予定日が発表されたトレインが掲載されます。

End-of-Life and End-of-Sale Notices
http://www.cisco.com/c/en/us/products/security/asa-firepower-services/eos-eol-notice-listing.html

ベストプラクティス

安定性を重視した環境の場合、偶数トレイン(LTRリリース)のバージョンのご利用を強く推奨します。なお、各トレインの最新バージョンに最新の不具合修正が適用されるので、つまり選択したトレインの最新バージョンが、最も成熟したバージョンであるといえます。

奇数トレイン(STRリリース)は、市場の要望に応じた新機能の実装（とその安定化）を目的とした、サポート期間の短いトレインです。奇数トレインで発見された不具合修正は、その後リリースの偶数トレインに受け継がれます。

よくある質問

FTDにも長期と短期サポート対象の違いはありますか

はい、Firepower Threat Defense (FTD) もバージョン 6.4以降から、2桁目が偶数の場合長期サポートバージョン、2桁目が奇数の場合短期サポートバージョンとなります。例えば、FTD 6.4 や FTD 6.6、FTD 7.0 は長期サポート対象、FTD 6.5 や FTD 6.7, FTD 7.1 は短期サポート対象です。 FTD6.3も冬リリースですが短期サポート対象です。

また、FTD 6.4 とその後 2年に1回リリースの偶数トレイン (例: FTD 7.0, 7.4 ...)は、より特別な Extra Long Term Release (XLTR) となり、通常の偶数トレインに比べ、より長期 (51か月以上) のソフトウェア開発とサポートとなり、政府認証にも選ばれるトレインです。

FMCや Firepower Softwareも、2桁目が偶数のトレインが長期サポート対象で、特に安定性を重視した環境での利用に向きます。

サポート	Firepower System トレイン	備考
短期サポート対象 (STR)	6.5, 6.7, 7.1, 7.3	毎年秋にリリース新機能をいち早く利用したい場合向け
長期サポート対象 (LTR or XLTR)	6.4, 6.6, 7.0, 7.2, 7.4	毎年春にリリース安定した長期サポートリリース 6.4と 7.0 は超長期サポート対象 (XLTR)

奇数トレインの短期サポート対象リリースは、サポート期間が短く、後継の長期サポート対象のトレインがリリースされた後は、基本的に影響度の大きい不具合や脆弱性の修正しか行われないため、奇数トレインを利用時の場合は、後継の偶数トレインの安定バージョンへのアップグレードが推奨されます。奇数トレインで行われた修正や機能は、後継の偶数トレインに引き継がれるため、後継の偶数トレインは上位互換といえます。

より詳しくは、Cisco’s Next Generation Firewall Product Line Software Release and Sustaining Bulletin を参照してください。

FXOSにも長期と短期サポート対象の違いはありますか

はい、FXOSもバージョン 2.6以降から、2桁目が偶数の場合長期サポートバージョン、2桁目が奇数の場合短期サポートバージョンとなります。例えば、FXOS 2.6 や FXOS 2.8、FXOS 2.10 は長期サポート対象、FXOS 2.7 や FXOS 2.9 は短期対象です。

なお、FPR1000/2100シリーズは、ASAもしくはFTDに、対となるFXOSバージョンがバンドル(同梱)されているため、ASAもしくはFTDのバージョンを変更すると自動でFXOSバージョンも変わります。そのため、FPR1000/2100シリーズは、特にFXOSのバージョンの選定については考慮する必要はありません。

FPR4100/9300シリーズのみは、FXOSと ASA/FTDは独立して動作しているため、ASA/FTDと FXOSバージョンの互換性を考慮する必要があります。組み合わせは、以下ドキュメントの "Firepower 4100/9300 Compatibility with the ASA or FTD" の、FXOSバージョンとその対となる ASA もしくは FTD の Bold (太字) のバージョンを確認してください。例えば、FXOS 2.6を利用する場合は、ASA 9.12 もしくは FTD 6.4の利用が必要です。FXOS 2.7を利用する場合は、ASA 9.13 もしくは FTD 6.5が必要です。 Bold でないバージョンを組み合わせての利用は、例えば、アップグレード時の中継バージョンとしての一時利用以外では、常用は避けてください。
https://www.cisco.com/c/en/us/td/docs/security/asa/compatibility/asamatrx.html#id_59069

ASA トレイン 9.10 は、何故長期サポート対象ではないのですか

ASA 9.9.2の後継として 2018年10月秋に急遽リリースされた特殊トレインとなり、春リリース(※)で無いこともあり、特殊リリースとして ASA 9.10トレインは 2020年10月に早期にソフトウェアメンテアンスが終了します。(※本来長期サポート対象のトレインは毎年春に初リリースされます。) あわせ、ASA 9.10の後継として、ASA 9.12をリリースしたため、ASA 9.11は廃番となっています。

ASA 9.10のEoLアナウンスメントは以下URLを参照してください。

https://www.cisco.com/c/en/us/products/collateral/security/asa-firepower-services/eos-eol-notice-c51-742275.html

ASA 9.9と ASA 9.10の後継の、長期サポート対象の安定リリースは 9.12トレインとなり、ASA 9.9と ASA 9.10の修正も、ASA 9.12に引き継がれています。ASA 9.12は、Extra Long Term リリースのため、通常の長期サポート対象のリリースよりもさらにソフトウェメンテナンス期間が長い安定リリースです。短期サポート対象の ASA 9.9や ASA 9.10を利用時は、最新の修正を得るには、長期サポート対象の安定リリースである 9.12 か、それ以降へのバージョンアップが推奨されます。

偶数トレインがリリース後、その1つ前の奇数トレインでも不具合修正は行われますか

例えば、ASA 9.13の後継の ASA 9.14がリリースされた場合、以降 ASA 9.13には最低限の影響度の高い不具合修正が優先して行われ、それ以外の最新の修正の多くは後継の偶数トレインの9.14に適用されます。そのため、奇数トレインを利用時でその後継の偶数トレインがリリース時は、偶数トレインにアップグレードをお勧めします。後継の偶数トレインは、奇数トレインで影響を受ける不具合修正は受け継いでいます。

何故、長期サポート対象と短期サポート対象のトレインモデルを採用したのですか

新機能を多数含む短期サポート対象と、安定化を重視した長期サポート対象のトレインを、継続的に定期的にリリースすることで、お客様にてソフトウェアリリースを予想しやすくなり、またバージョン選定もしやすくなると弊社では考えているためです。

Download Software の Suggested Release との関係性をおしえてください

弊社の推奨する特に安定性の高いバージョンを Suggested Releaseとして選定され、Download Software サイトで確認することができます。長期サポート対象トレイン、かつ実績が多く安定しているバージョンが Suggested Release に選ばれる傾向にあります。なお、Suggested Release の選定は実績も考慮されるため、最新リリースバージョンが Suggested Release に選定されるのに数か月ほど時間がかかることがあります。

以下イメージの場合、9.12.3系と 9.8.4系のInterimバージョンが Suggested Releaseとなり、9.12.3系を利用する場合は、最新リリースである 9.12.3.12 が最も不具合の修正がすすんだ推奨バージョンとなり、利用に向くことがわかります。

参考情報

ASA: ASDMを用いた、同じトレイン内の最新バージョンへのアップグレード方法
https://supportforums.cisco.com/ja/document/12327751

Install and Upgrade Guied
http://www.cisco.com/c/en/us/support/security/asa-5500-series-next-generation-firewalls/products-installation-guides-list.html

ファイアウォールトラブルシューティング
https://supportforums.cisco.com/ja/document/12725841#hdr-1

Firepower System and FTDトラブルシューティング
https://community.cisco.com/t5/-/-/ta-p/3161733