FPR4100/9300: ASA/FTDと互換性のあるFXOSバージョンについて

[Taisuke Nakamura]

• FXOSと ASA/FTDの互換性について
• よくある質問
• Firepower 4100/9300 Compatibility with ASA and FTD 表の 太字と細字の違いを教えてください
• 推奨されるFXOSと ASAもしくはFTDの組み合わせバージョンの確認方法を教えてください
• Firepower1000/2100シリーズもFXOS互換性を考慮する必要がありますか
• 参考情報

FXOSと ASA/FTDの互換性について

Firepower4100/9300シリーズの場合、シャーシ管理用のFXOSソフトウェアと、通信処理用のASAもしくはFTDソフトウェアが別々に稼働しています。

FXOSと ASA/FTDは以下の互換性があるため、アップグレード時や初期セットアップ時といった特別な事情がある場合を除き、運用時はこの互換性を満たす組み合わせで利用をしてください。(以下は2024年1月現在 情報。)

FXOSリリース	ASA利用時 互換リリース	FTD利用時 互換リリース	補足
FXOS 2.14	ASA 9.20	FTD 7.4	長期サポート対象
FXOS 2.13	ASA 9.19	FTD 7.3
FXOS 2.12	ASA 9.18	FTD 7.2	長期サポート対象
FXOS 2.11	ASA 9.17	FTD 7.1
FXOS 2.10	ASA 9.16	FTD 7.0	長期サポート対象
FXOS 2.9	ASA 9.15	FTD 6.7
FXOS 2.8	ASA 9.14	FTD 6.6	長期サポート対象
FXOS 2.7	ASA 9.13	FTD 6.5
FXOS 2.6	ASA 9.12	FTD 6.4	長期サポート対象
FXOS 2.4	ASA 9.10	FTD 6.3
FXOS 2.3	ASA 9.9	FTD 6.2.2 or 6.2.3
FXOS 2.2	ASA 9.8	FTD 6.2.0 or 6.2.2	ASA利用時は長期サポート対象

なお、FXOSのバージョンにより、ASAもしくはFTDの推奨利用バージョン(互換バージョン)が異なることがあるため、より詳細な互換リストは Cisco Firepower 4100/9300 FXOS Compatibility の Firepower 4100/9300 Compatibility with ASA and FTD 表で最新情報を必ず確認してください。なお、基本的に、互換性のある FXOSと ASA/FTDの各リリースを利用し、各最新(Interim)バージョンを利用していれば、互換性は問題ありません。

よくある質問

Firepower 4100/9300 Compatibility with ASA and FTD 表の 太字と細字の違いを教えてください

ガイドに以下の記載があります通り、Bold (太字) が 互換性のあるASAもしくはFTDバージョンとなります。太字の互換性バージョンを原則利用し、細字のバージョンは例えばバージョンアップ時の中継としての一時的な利用が推奨されます。

The bold versions listed below are specially-qualified companion releases. You should use these software combinations whenever possible because Cisco performs enhanced testing for these combinations.

例えば以下は、2024年1月時の Firepower 4100/9300 Compatibility with ASA and FTD 表の抜粋となりますが、FXOS 2.12以降のバージョンを利用時、ASAの場合は 太字の 9.18 (recommended) が互換性のあるバージョンである事がわかります。FXOS 2.12 リリースは、細字の ASA 9.17 や 9.16 と組み合わせての 一時利用も可能ですが、 正式な互換性のある組み合わせではないため、アップグレード時の中継としての一時的な利用などやむを得ない場合の一時的な利用に留めてください。

以下は FPR4100/9300利用時の、ASA9.17からASA9.18へのアップグレード例です。
1. FXOS 2.11 + ASA 9.17 ・・・ 互換性ありの組み合わせ
2. FXOS 2.12 + ASA 9.17 ・・・ FXOSからアップグレード必要のため 一時的な互換性のない組み合わせ
3. FXOS 2.12 + ASA 9.18 ・・・ ASA/FXOS両方アップグレード後の互換性のある組み合わせ

FPR4100/9300シリーズのASAのアップグレード手順について詳しくは以下ガイドを参照してください。
https://www.cisco.com/c/en/us/td/docs/security/asa/upgrade/asa-upgrade/firepower-4100-9300.html

推奨されるFXOSと ASAもしくはFTDの組み合わせバージョンの確認方法を教えてください

ソフトウェアの品質や安定性、長期サポート有無と、導入/稼働実績などを考慮し認められたリリースは 「Suggested Release」に選ばれ、Download Software にて対象リリースを確認できます。

例えば、FPR4110でASAを利用している場合、Download Software から 2024年1月現在の ASA 推奨バージョン (Suggested Release) は、9.18.3最新Interimバージョンであることを確認できるため、推奨されるFXOSとASAの組み合わせは以下の何れかとなります。

[FPR4110 ASA利用時 推奨/安定バージョン 組み合わせ例 (2024年1月時)]

・ ASA 9.18.3 最新Interimバージョン + FXOS 2.12 最新バージョン (推奨)

なお、2024年1月現在、ASA 9.18 は 長期サポート対象リリースとなること、及び FXOSは新しいリリースのほうが より不具合修正や機能改善が進んでいるため（注：古いFXOSリリースは リリースのコード保護のため新規不具合修正が行われない事があります）、特に新規導入時はASA 9.18 + FXOS 2.12 の各最新バージョンの組み合わせのほうがよりサポート期間が長く運用可能である より良い組み合わせとなります。ASA/FTDのトレイン選定やサポート期間について詳しくは、コチラも参照してください。

Firepower1000/2100シリーズもFXOS互換性を考慮する必要がありますか

いいえ、FPR1000/2100シリーズはASA/FTDとFXOSが統合されており、ASA/FTDバージョンアップグレード時に自動的にFXOSもアップグレードされます。そのため、FXOSの互換性を考慮する必要は御座いません。

参考情報

ASA/FTD: トレイン別のサポートモデルの違いについて
https://community.cisco.com/t5/-/-/ta-p/3156005#toc-hId-1297122559

ファイアウォール トラブルシューティング
https://community.cisco.com/t5/-/-/ta-p/3161736

Firepower System and FTDトラブルシューティング
https://community.cisco.com/t5/-/-/ta-p/3161733