FXOS: FPR4100/9300 FXOS version の downgrade について

Yasutaka Yokouchi · ‎2020-04-23

はじめに
問題
原因
解決策
参考情報

はじめに

本ドキュメントではFPR4100/9300 の FXOS version のダウングレードの注意点についてご紹介します。
* 本記事は2020年4月23日現在の情報をもとに作成しております

問題

FXOS のダウングレードはアップグレードと同様の手順で、Firepower Chassis Manager (以降 FCM) 画面より行うことが実装上可能です。*手順については下記URLをご確認ください。

FXOS（Firepower eXtensible Operating System）のアップグレード方法

しかし、上記方法で FXOS のダウングレードを実施すると以下のような予期せぬ動作が発生する場合があります。
(以下は一例です)

FXOS が再起動を繰り返す
Logical Devices (ASA or FTD)が正常に起動しない
FXOS の CLI 上に不明なメッセージが繰り返し出力される

原因

FCM 画面より FXOS をダウングレードする方法は Cisco が公式にサポートする方法ではないため、様々な問題が発生する可能性があります。ダウングレードに関する記載は下記URL等にございます。

Cisco Firepower 4100/9300 Upgrade Guide

(抜粋)
Note on Downgrades

Downgrade of FXOS images is not officially supported. The only Cisco-supported method of downgrading an image version of FXOS is to perform a complete re-image of the device.

解決策

FXOS のダウングレードを実施が必要となった際は、下記URLに記載のある手順を参考にして頂き、完全な再イメージ化(complete re-image) を実施頂ますようお願い致します。(下記はFXOS version 2.6.1 のドキュメントになります。)

Cisco Firepower 4100/9300 FXOS CLI Configuration Guide, 2.6(1)

また、Firepower1000/2100 シリーズの Re-image につきましては下記URLをご確認ください。

参考情報

mayupon0110 · ‎2020-06-26

こんにちは。
いつもコミュニティに有益な情報を掲載頂きありがとうございます。

脆弱性等の影響で、FXOS のバージョンアップを実施する機会がかなりある中で
問題が発生した場合の、ダウングレード方法をヒヤリングされることが多く、
情報を集めてる中で、本コミュニティを確認しました。

FXOS のバージョンアップ自体は、基本的にスマートライセンス周りの改善など
あまりシステムに影響を与える事もない事から、御社も最新版を推奨していると認識しております。

ただ、それでも万が一に備えてバージョンダウンについて聞かれることも多く
御社としては非推奨、行う場合は Re-Image の手法ということで理解できました。

その中で2点ほど質問がありまして、よろしければご回答頂くことは可能でしょうか。

1. re-image とする場合
ダウングレードのターゲットとなる版数の kickstart やイメージを用いて再イメージ化すると存じます。
その際、当たり前かとは思うのですが FXOS の設定は復元する必要があると考えています

なので、手順としては

(1) アップグレードする前に、既存の FXOS 版数で設定バックアップ
(2) FXOS のアップデート実施
(3) アップデート後に既存の版数へ戻す場合には、FXOS の re-image にて対応し (1) で取得したバックアップからリストア

上記となる認識ですが、よろしいでしょうか

2. FXOS の re-image 化を行う際、元々動作していた Security Module はどうなるのでしょうか

個人的には 1. の (3) にて FXOS の設定リストアすることで Interface 割り当て等含め
Security Module が復活するように見えるのですが、FXOS の Re-image を行うと
再度 Security Module 周りも1から作り直しという事になるのでしょうか

-----
万が一作り直しの場合は、ASA/FTD のイメージアップロードを行い Securty Module を構築
構築後、元々の ASA/FTD の設定をリストアまでを想定しています
-----

　 1. の作業のみで Security Module の事は考慮する必要がなければ
　作業はそこまで敷居が高くないと思いました

お忙しい中申し訳ございませんが、ご助言頂ければ幸いです。

Yasutaka Yokouchi · ‎2020-06-29

mayuponさん

こんにちは。本ドキュメントをご利用頂きありがとうございます。頂きましたご質問に以下に回答させていただきます。

> 1. re-image とする場合
> ダウングレードのターゲットとなる版数の kickstart やイメージを用いて再イメージ化すると存じます。
> その際、当たり前かとは思うのですが FXOS の設定は復元する必要があると考えています

> なので、手順としては

> (1) アップグレードする前に、既存の FXOS 版数で設定バックアップ
> (2) FXOS のアップデート実施
> (3) アップデート後に既存の版数へ戻す場合には、FXOS の re-image にて対応し (1) で取得したバックアップからリストア

> 上記となる認識ですが、よろしいでしょうか

上記、ご認識の通りとなります。
FXOS の Backup/Restore(Configuration file の Export/Import) については下記URLなども参考になるかと存じますのでご確認頂けますと幸いです。

Cisco Firepower 4100/9300 FXOS Firepower Chassis Manager 2.6(1) コンフィギュレーションガイド

> 2. FXOS の re-image 化を行う際、元々動作していた Security Module はどうなるのでしょうか

> 個人的には 1. の (3) にて FXOS の設定リストアすることで Interface 割り当て等含め
> Security Module が復活するように見えるのですが、FXOS の Re-image を行うと
> 再度 Security Module 周りも1から作り直しという事になるのでしょうか

> -----
> 万が一作り直しの場合は、ASA/FTD のイメージアップロードを行い Securty Module を構築
> 構築後、元々の ASA/FTD の設定をリストアまでを想定しています
> -----

> 　 1. の作業のみで Security Module の事は考慮する必要がなければ
> 　作業はそこまで敷居が高くないと思いました

FXOSのFCM上で取得頂きましたExportファイルを使いRestoreを実施いただきますと、Logical Device も復旧致します。

復旧方法に関する具体的な手順等につきましては下記URLに詳細な紹介がございますのでご参考にして頂けたらと存じます。

ご参考に慣れば幸いです。

mayupon0110 · ‎2020-07-08

Yokouchi さん

こんにちは、お忙しい中ご返信頂きましてありがとうございました。
またお礼が遅くなったこと大変申し訳ございません。

一番懸念していた部分として、FXOS のダウングレードの際、Security Module 上の
設定復元の有無を心配してたのですが、あくまでも FXOS 側で復元することで
ダウングレードが可能とのことで安心致しました。

各種参考ドキュメントのご提示も非常に助かります。
本件、手厚いご支援頂きありがとうございました。

今後ともよろしくお願い致します。