recomendación para hacer upgrade en ASA

[armandoasfar88]

tengo un ASA 5506-X con firepower services en version 9.12(3)12, tengo que hacer un upgrade a este ASA, la pregunta es como elijo la versión a la que voy a hacer el upgrade?, este asa es solo usado para acceso remoto con anyconnect de pocas personas.

[Edson A. Hernandez]

Revisa la matrix de compatibilidad primero para saber a cual versión puedes subir el sistema operativo

https://www.cisco.com/c/en/us/td/docs/security/asa/compatibility/asamatrx.html

**Recuerda apoyar con un like para mantener la comunidad activa.
**Por favor si la información fue util marca esta respuesta como correcta**

[armandoasfar88]

gracias, veo que la ultima version para el 5506-x es el 9.16(4), veo en el sitio de cisco que hay una version 9.16(4) Interim y otra sin esa descripción, cual es la diferencia?

[Julio E. Moisa]

Hola Armando,

La imagen IOS interim es temporal para corregir cierto bug o vulnerabilidad. Es una imagen provisional. Cisco por lo general indica la imagen sugerida para actualizacion, a pesar que pueden existir imagenes recientes estas puedan no ser sugeridas hasta que sean verificadas durante cierto tiempo, esto no indica que no puedas utilizarlas, todo lo contrario pero tomando en consideración que pueda presentar algun inconveniente.

Para actualizar un ASA es muy parecido a actualizar un router, lo que recomiendo es:

- Obtener un backup de la configuracion antes de actualizar.
- Tener un backup de la imagen actual.
- Revisar el upgrade path, pueda que se requiera ir por diferentes versiones de imagenes para no afectar tu configuracion actual.
https://www.cisco.com/c/en/us/td/docs/security/asa/asa96/release/notes/asarn96.html#ID-2152-0000000a

- Actualizar ASA:

https://www.cisco.com/c/es_mx/support/docs/security/asa-5500-x-series-next-generation-firewalls/200142-ASA-9-x-Upgrade-a-Software-Image-using.pdf

Saludos

[armandoasfar88]

entendible, gracais por la info,

una pregunta más, mi asa esta en version 9.12 y veo este error:

WARNING: Platform FPGA version is older than minimum recommended image.
WARNING: Platform ROMMON version is older than minimum recommended image.

Actualmente my FPGA esta en version 2.2 y mi ROMMON en version 1.1.8

Ire a la version 9.14, esto solucionara este error?, o tengo que hacer algo más aqui?

[Edson A. Hernandez]

Para actualizar la Rommon deberas descargar el archivo de rommon que tiene extencion .SPA

https://software.cisco.com/download/home/286283326/type/286287669/release/1.1.18

en el mismo link encontraras el procedimiento para hacer el upgrade

https://www.cisco.com/c/en/us/td/docs/security/asa/asa912/configuration/general/asa-912-general-config/admin-swconfig.html#task_90917D0EBAC2427487F6F51D21ABC235

[Julio E. Moisa]

Ten mucho cuidado al momento de actualizar el ASA con imagenes recientes (esto se daba mas en plataformas anteriores), revisa  la compatibilidad de hardware, he tenido casos donde el ASA no tiene la suficiente memoria para una imagen reciente, aunque la imagen sea aceptada pueda ser que tengas un problema a futuro, esas especificaciones las puedes ver donde se descarga ahi te especifica los requisitos, te comparto el siguiente enlace que puede ayudarte.

La rommon debes actualizarla antes de realizar una actualizacion.

https://community.cisco.com/t5/security-knowledge-base/asa-x-rommon-upgrade-for-ftd-sensors/ta-p/3746210

[armandoasfar88]

hola @Julio E. Moisa , donde puedo revisar la compatibilidad de hardware?, he revisado aqui y no me da esa informacion

https://software.cisco.com/download/home/286283326/type/280775065/release/9.16.4

[Julio E. Moisa]

Hola Armando,

Este caso se daba mas en los modelos de ASA de generacion anterior, en la seccion de descarga aparecian los requisitos para poder utilizar una imagen especifica, por ejemplo que se requeria 2GB de RAM para su apropiado funcionamiento.

En el enlace que compartes no aparece, esto puede indicar que puedes utilizar cualquier imagen sin requisito especifico. Igual puedes dar un vistazo en los field notices dentro de advisories.

Saludos,

[armandoasfar88]

perfecto gracias @Julio E. Moisa 

Pasa sumarizar:

1.- Sacar backup de config e imagen actual

2.- Hacer upgrade en el ROMMON

3.- Upgrade el OS del ASA

Estoy en lo correcto?

[Julio E. Moisa]

Asi es amigo, estos links te pueden ser utiles:

https://pei.com/asa-upgrade-rommon/

https://ccnpsecuritywannabe.blogspot.com/2021/02/cisco-asa-5506-x-rommon-upgrade.html

https://www.cisco.com/c/en/us/support/docs/security/asa-5500-x-series-next-generation-firewalls/200142-ASA-9-x-Upgrade-a-Software-Image-using.html

Cualquier consulta quedo a las ordenes.

[Edson A. Hernandez]

Estas versiones Interim de software son una forma de entregar rápidamente correcciones de errores y mejoras sin tener que esperar a la próxima versión de mantenimiento. Sin embargo, no suelen ser tan estables como las versiones principales de mantenimiento, y se recomienda que se utilicen solo para solucionar problemas específicos.

En resumen, las versiones Interim de software de Cisco ASA son lanzamientos temporales que se publican para solucionar problemas específicos, mientras que las versiones principales de mantenimiento son las versiones principales y más estables que se recomiendan para su uso en producción.