Software voor upgrade voor PIX 500 security applicatie 6.x tot 7.x
Inhoud
Inleiding
Dit document legt uit hoe u de PIX-applicatie kunt upgraden van versie 6.2 of 6.3 naar versie 7.x. Het bestrijkt ook de installatie van Adaptieve Security Appliance Manager (ASDM) versie 5.0.
Voorwaarden
Vereisten
Voordat u deze upgradeprocedure start, dient u deze taken uit te voeren.
-
Gebruik de show in werking stellen-configuratie of schrijf het netto bevel om de huidige PIX-configuratie in een tekstbestand of een TFTP-server op te slaan.
-
Gebruik de opdracht Versie-afbeelding tonen om het serienummer en de activeringssleutel weer te geven. Sla deze uitvoer op in een tekstbestand. Als u moet terugkeren naar een oudere versie van de code, hebt u mogelijk de oorspronkelijke activeringssleutel nodig. Raadpleeg voor meer informatie over de activeringstoetsen de PIX-firewall vaak gestelde vragen.
-
Zorg ervoor dat u geen geleidings- of uitgaande opdrachten in uw huidige configuratie hebt. Deze opdrachten worden niet langer ondersteund in 7.x en het upgradeproces verwijdert deze. Gebruik het gereedschap Uitvoertolk (alleen geregistreerde klanten) om deze opdrachten naar toegangslijsten te converteren voordat u de upgrade uitvoert.
-
Zorg ervoor dat de PIX-verbindingen niet worden afgesloten met Point Tunneling Protocol (PPTP). PIX 7.1 en later ondersteunen momenteel geen PPTP-beëindiging.
-
Als u Failover gebruikt, zorg er dan voor dat de LAN- of stateful interface niet wordt gedeeld met gegevens die interfaces overschrijden. Als u bijvoorbeeld uw interne interface gebruikt om zowel gegevensverkeer als uw stateful failover-interface (failover-verbinding binnenin) door te geven, moet u de stateful failover-interface naar een andere interface verplaatsen voordat u een upgrade uitvoert. Als u dit niet doet, worden alle configuraties die aan de interne interface zijn gekoppeld verwijderd. Ook gaat het gegevensverkeer niet na de upgrade door de interface.
-
Zorg ervoor dat de PIX versie 6.2 of 6.3 draait voordat u verdergaat.
-
Lees de Releaseopmerkingen van de versie die u wilt upgraden zodat u alle nieuwe, veranderde en afgekeurde opdrachten kent.
-
Referentie van de upgrade Guide voor elke aanvullende opdrachtwijziging tussen versies 6.x en 7.x.
Gebruikte componenten
De informatie in dit document is gebaseerd op de volgende software- en hardware-versies:
-
PIX security applicatie 515, 515E, 525 en 535
-
PIX-softwarereleases 6.3(4), 7.0(1)
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u de potentiële impact van elke opdracht begrijpen.
Minimumsysteemvereisten
Voordat u het upgradeproces start naar versie 7.x, raadt Cisco u aan om versie 6.2 of hoger van de PIX-uitvoering te gebruiken. Dit waarborgt dat de huidige configuratie correct geconverteerd wordt. Daarnaast moet aan deze hardwarevereisten worden voldaan voor minimum RAM en Flash vereisten:
| PIX-model | RAM-vereisten | Flitser-vereisten | |
|---|---|---|---|
| Beperkt (R) | Niet-beperkt (UR) / alleen failover (FO) | ||
| PIX-515 | 64 MB* | 128 MB* | 16 MB |
| PIX-515 E | 64 MB* | 128 MB* | 16 MB |
| PIX-525 | 128 MB | 256 MB | 16 MB |
| PIX-535 | 512 MB | 1 GB | 16 MB |
* Voor alle PIX-515- en PIX-515E-applicaties moet een geheugenupgrade worden uitgevoerd.
Geef de opdracht show versie uit om de hoeveelheid RAM en Flash te bepalen die momenteel op PIX geïnstalleerd is. Er zijn geen Flash-upgrades nodig, aangezien alle PIX-applicaties in deze tabel 16 MB standaard hebben geïnstalleerd.
Opmerking: Alleen de PIX security applicaties in deze tabel worden ondersteund in versie 7.x. Oudere PIX security applicaties, zoals PIX-520, 510, 10000 en Classic, zijn stopgezet en werken versie 7.0 of hoger niet uit. Als u een van deze apparaten hebt en u 7.x of hoger wilt uitvoeren, neemt u contact op met uw plaatselijke Cisco-accountteam of -wederverkoper om een nieuwere security applicatie te kopen. Bovendien kunnen PIX-firewalls met minder dan 64 MB RAM (PIX-501, PIX-506 en PIX-506E) de oorspronkelijke release 7.0 niet uitvoeren.
Geheugenupgrade-informatie voor PIX 515/515E applicaties
Geheugenupgrades zijn alleen vereist voor de PIX-515- en PIX-515E-apparaten. Zie deze tabel voor de onderdeelnummers die u nodig hebt om het geheugen op deze apparaten te verbeteren.
Opmerking: het onderdeelnummer is afhankelijk van de licentie die op de PIX is geïnstalleerd.
| Configuratie van huidige applicatie | Upgradeoplossing | ||
|---|---|---|---|
| Licentie voor platform | Totaal geheugen (vóór de upgrade) | Onderdeelnummer | Totaal geheugen (na upgrade) |
| Beperkt (R) | 32 MB | PIX-515-MEM-32= | 64 MB |
| Onbeperkt (UR) | 32 MB | PIX-515-MEM-128= | 128 MB |
| Uitsluitend failover (FO) | 64 MB | PIX-515-MEM-128= | 128 MB |
Raadpleeg het productbericht van Cisco PIX 515/515E security applicatie Geheugen voor PIX-software v7.0 voor meer informatie.
Conventies
Raadpleeg de Cisco Technical Tips Convention voor meer informatie over documentconventies.
upgrade van de PIX-security applicatie
Software downloads
Bezoek het Cisco Software Center (alleen geregistreerde klanten) om PIX 7.x-software te downloaden. TFTP-serversoftware is niet langer beschikbaar op Cisco.com. U kunt echter veel TFTP-servers vinden wanneer u op uw favoriete zoekmachine van Internet naar "ftp server" zoekt. Cisco beveelt niet specifiek een bepaalde TFTP-implementatie aan. Raadpleeg voor meer informatie de TFTP-serverpagina (alleen geregistreerde klanten).
Upgradeprocedure
Let erop dat de upgrade van uw PIX security applicatie naar versie 7.x een belangrijke verandering is. Een groot deel van de CLI wordt aangepast en daarom zal uw configuratie na de upgrade zeer verschillend lijken. Alleen upgraden tijdens een onderhoudsvenster omdat het upgradeproces enige downtime vereist. Als u wilt terugkeren naar een 6.x-afbeelding, moet u de downgraad-procedures volgen. Als u dit niet doet, raakt de PIX in een continue herlader opgestapeld. Plaats uw PIX-applicatie model in deze tabel om verder te gaan en selecteer vervolgens de link om instructies te zien voor het upgraden.
| PIX-model | Upgrademethode |
|---|---|
| PIX-515 | monitor |
| PIX-515E | flitser van lettertype |
| PIX-525 | flitser van lettertype |
| PIX-535 (geen PDM geïnstalleerd) | flitser van lettertype |
| PIX-535 (PDM geïnstalleerd) | monitor |
Upgradeer de PIX security applicatie van monitormodus
Monitormodus invoeren
Voltooi deze stappen om de monitormodus op de PIX in te voeren.
-
Sluit een console kabel aan op de console poort op de PIX met het gebruik van deze communicatie instellingen:
-
9600 bits per seconde
-
8 gegevensbits
-
geen pariteit
-
1 stopcontact
-
geen stroomregeling
-
-
Stroomprogramma of herladen van de PIX. Tijdens het opstarten wordt u gevraagd BREAK of ESC te gebruiken om de Flash-start te onderbreken. U hebt tien seconden om het normale startproces te onderbreken.
-
Druk op de ESC-toets of verstuur een BREAK-teken om de monitormodus in te voeren.
-
Als u Windows Hyper-terminal gebruikt, kunt u op de ESC-toets drukken of op Ctrl+Break drukken om een BREAK-teken te verzenden.
-
Als u telnet door een eindserver om tot de troostpoort van de PIX toegang te hebben moet u Ctrl+] (Controle + rechtersteun) drukken om aan de bevelherinnering van het telnet te komen. Typ dan de opdracht break.
-
-
De monitor>prompt wordt weergegeven.
-
Ga verder naar het vak PIX-upgrade van de monitor-modus.
Upgradeer de PIX van Monitor Mode
Voltooi deze stappen om de PIX-modus te verbeteren.
Opmerking: Fast Ethernet-kaarten in 64-bits slots zijn niet zichtbaar in de monitormodus. Dit probleem betekent dat de TFTP-server niet op een van deze interfaces kan verblijven. De gebruiker moet de opdracht flitser van het exemplaar gebruiken om het PIX-firewallbestand te downloaden via TFTP.
-
Kopieer de binaire afbeelding van PIX-applicatie (bijvoorbeeld pix701.bin) naar de root folder van de TFTP-server.
-
Geef de monitor op in de PIX. Als u niet zeker weet hoe u dit moet doen, raadpleegt u de instructies voor het invoeren van de monitor in dit document.
Opmerking: Eenmaal in de monitormodus kunt u de "?" gebruiken belangrijk om een lijst met beschikbare opties te zien.
-
Voer het interfacenummer in waarop de TFTP-server is aangesloten of de interface die het dichtst bij de TFTP-server staat. De standaardinstelling is interface 1 (Binnenin).
monitor>interfaceOPMERKING: In de Modus van de monitor onderhandelt de interface altijd over de snelheid en de duplex. De interface-instellingen kunnen niet zwaar worden gecodeerd. Daarom als de PIX-interface in een switch is aangesloten die hard gecodeerd is voor speed/duplex, stel de optie dan in om te onderhandelen terwijl u in Monitor Mode staat. Houd er ook rekening mee dat het PIX-applicatie geen Gigabit Ethernet-interface kan initialiseren vanaf de monitormodus. In plaats daarvan moet u een Fast Ethernet-interface gebruiken.
-
Voer het IP-adres in van de interface die in stap 3 is gedefinieerd.
monitor>address -
Voer het IP-adres van de TFTP-server in.
monitor>server -
(Optioneel) Voer het IP-adres van uw gateway in. Een toegangspunt is vereist als de interface van de PIX niet op hetzelfde netwerk is als de TFTP-server.
monitor>gateway -
Voer de naam in van het bestand op de TFTP-server die u wilt laden. Dit is de naam van het binaire beeldbestand van PIX.
monitor>file -
Ping van de PIX aan de TFTP server om IP connectiviteit te verifiëren.
Als de pings faalt, controleer de kabels, IP adres van de PIX-interface en de TFTP-server en het IP-adres van de gateway (indien nodig). De pings moeten slagen voordat u verdergaat.
monitor>ping -
Typ tftp om de TFTP-download te starten.
monitor>tftp
-
PIX downloads van het beeld in RAM en start het beeld automatisch op.
Tijdens het opstarten wordt het bestandssysteem geconverteerd naar uw huidige configuratie. U bent echter nog niet klaar. Let op dit waarschuwingsbericht nadat u bent opgestart en doorgaan op stap 11:
****************************************************************** ** ** ** *** WARNING *** WARNING *** WARNING *** WARNING *** WARNING *** ** ** ** ** ----> Current image running from RAM only! <---- ** ** ** ** When the PIX was upgraded in Monitor mode the boot image was not ** ** written to Flash. Please issue "copy tftp: flash:" to load and ** ** save a bootable image to Flash. Failure to do so will result in ** ** a boot loop the next time the PIX is reloaded. ** ** ** ************************************************************************
-
Voer na het opstarten de modus in en kopieer dezelfde afbeelding opnieuw naar de PIX. Gebruik deze keer de opdracht van de flitser van het fototoestel.
Dit slaat de afbeelding op in het Flash-bestandssysteem. Het niet uitvoeren van deze stap levert de volgende keer dat u PIX opnieuw laadt een laars op.
pixfirewall>enable pixfirewall#copy tftp flash
Opmerking: Voor uitgebreide instructies hoe u de afbeelding kunt kopiëren met het gebruik van de opdracht flitser van de kopie, zie de upgrade van de PIX security applicatie met de sectie van de flitser van de camera van de kopie.
-
Zodra de afbeelding wordt gekopieerd met de opdracht flitser van de kopie, is het upgradeproces voltooid.
Voorbeeld configuratie - upgrade van de PIX security applicatie van monitormodus
monitor>interface 1
0: i8255X @ PCI(bus:0 dev:13 irq:10)
1: i8255X @ PCI(bus:0 dev:14 irq:7 )
2: i8255X @ PCI(bus:1 dev:0 irq:11)
3: i8255X @ PCI(bus:1 dev:1 irq:11)
4: i8255X @ PCI(bus:1 dev:2 irq:11)
5: i8255X @ PCI(bus:1 dev:3 irq:11)
Using 1: i82559 @ PCI(bus:0 dev:14 irq:7 ), MAC: 0050.54ff.4d81
monitor>address 10.1.1.2
address 10.1.1.2
monitor>server 172.18.173.123
server 172.18.173.123
monitor>gateway 10.1.1.1
gateway 10.1.1.1
monitor>file pix701.bin
file pix701.bin
monitor>ping 172.18.173.123
Sending 5, 100-byte 0xa014 ICMP Echoes to 172.18.173.123, timeout is 4 seconds:
!!!!!
Success rate is 100 percent (5/5)
monitor>tftp
tftp pix701.bin@172.18.173.123..........................................
Received 5124096 bytes
Cisco PIX Security Appliance admin loader (3.0) #0: Mon Mar 7 17:39:03 PST 2005
#######################################################################
128MB RAM
Total NICs found: 6
mcwa i82559 Ethernet at irq 10 MAC: 0050.54ff.4d80
mcwa i82559 Ethernet at irq 7 MAC: 0050.54ff.4d81
mcwa i82558 Ethernet at irq 11 MAC: 00e0.b600.2014
mcwa i82558 Ethernet at irq 11 MAC: 00e0.b600.2015
mcwa i82558 Ethernet at irq 11 MAC: 00e0.b600.2016
mcwa i82558 Ethernet at irq 11 MAC: 00e0.b600.2017
BIOS Flash=AT29C257 @ 0xfffd8000
Old file system detected. Attempting to save data in flash
!--- This output indicates that the Flash file !--- system is formatted. The messages are normal.
Initializing flashfs...
flashfs[7]: Checking block 0...block number was (-10627)
flashfs[7]: erasing block 0...done.
flashfs[7]: Checking block 1...block number was (-14252)
flashfs[7]: erasing block 1...done.
flashfs[7]: Checking block 2...block number was (-15586)
flashfs[7]: erasing block 2...done.
flashfs[7]: Checking block 3...block number was (5589)
flashfs[7]: erasing block 3...done.
flashfs[7]: Checking block 4...block number was (4680)
flashfs[7]: erasing block 4...done.
flashfs[7]: Checking block 5...block number was (-21657)
flashfs[7]: erasing block 5...done.
flashfs[7]: Checking block 6...block number was (-28397)
flashfs[7]: erasing block 6...done.
flashfs[7]: Checking block 7...block number was (2198)
flashfs[7]: erasing block 7...done.
flashfs[7]: Checking block 8...block number was (-26577)
flashfs[7]: erasing block 8...done.
flashfs[7]: Checking block 9...block number was (30139)
flashfs[7]: erasing block 9...done.
flashfs[7]: Checking block 10...block number was (-17027)
flashfs[7]: erasing block 10...done.
flashfs[7]: Checking block 11...block number was (-2608)
flashfs[7]: erasing block 11...done.
flashfs[7]: Checking block 12...block number was (18180)
flashfs[7]: erasing block 12...done.
flashfs[7]: Checking block 13...block number was (0)
flashfs[7]: erasing block 13...done.
flashfs[7]: Checking block 14...block number was (29271)
flashfs[7]: erasing block 14...done.
flashfs[7]: Checking block 15...block number was (0)
flashfs[7]: erasing block 15...done.
flashfs[7]: Checking block 61...block number was (0)
flashfs[7]: erasing block 61...done.
flashfs[7]: inconsistent sector list, fileid 9, parent_fileid 0
flashfs[7]: inconsistent sector list, fileid 10, parent_fileid 0
flashfs[7]: 9 files, 3 directories
flashfs[7]: 0 orphaned files, 0 orphaned directories
flashfs[7]: Total bytes: 15998976
flashfs[7]: Bytes used: 10240
flashfs[7]: Bytes available: 15988736
flashfs[7]: flashfs fsck took 58 seconds.
flashfs[7]: Initialization complete.
Saving the datafile
!
Saving a copy of old datafile for downgrade
!
Saving the configuration
!
Saving a copy of old configuration as downgrade.cfg
!
Saved the activation key from the flash image
Saved the default firewall mode (single) to flash
The version of image file in flash is not bootable in the current version of
software.
Use the downgrade command first to boot older version of software.
The file is being saved as image_old.bin anyway.
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Upgrade process complete
Need to burn loader....
Erasing sector 0...[OK]
Burning sector 0...[OK]
Erasing sector 64...[OK]
Burning sector 64...[OK]
Licensed features for this platform:
Maximum Physical Interfaces : 6
Maximum VLANs : 25
Inside Hosts : Unlimited
Failover : Active/Active
VPN-DES : Enabled
VPN-3DES-AES : Enabled
Cut-through Proxy : Enabled
Guards : Enabled
URL Filtering : Enabled
Security Contexts : 2
GTP/GPRS : Disabled
VPN Peers : Unlimited
This platform has an Unrestricted (UR) license.
Encryption hardware device : VAC+ (Crypto5823 revision 0x1)
--------------------------------------------------------------------------
. .
| |
||| |||
.|| ||. .|| ||.
.:||| | |||:..:||| | |||:.
C i s c o S y s t e m s
--------------------------------------------------------------------------
Cisco PIX Security Appliance Software Version 7.0(1)
****************************** Warning *******************************
This product contains cryptographic features and is
subject to United States and local country laws
governing, import, export, transfer, and use.
Delivery of Cisco cryptographic products does not
imply third-party authority to import, export,
distribute, or use encryption. Importers, exporters,
distributors and users are responsible for compliance
with U.S. and local country laws. By using this
product you agree to comply with applicable laws and
regulations. If you are unable to comply with U.S.
and local laws, return the enclosed items immediately.
A summary of U.S. laws governing Cisco cryptographic
products may be found at:
http://www.cisco.com/wwl/export/crypto/tool/stqrg.html
If you require further assistance please contact us by
sending email to export@cisco.com.
******************************* Warning *******************************
Copyright (c) 1996-2005 by Cisco Systems, Inc.
Restricted Rights Legend
Use, duplication, or disclosure by the Government is
subject to restrictions as set forth in subparagraph
(c) of the Commercial Computer Software - Restricted
Rights clause at FAR sec. 52.227-19 and subparagraph
(c) (1) (ii) of the Rights in Technical Data and Computer
Software clause at DFARS sec. 252.227-7013.
Cisco Systems, Inc.
170 West Tasman Drive
San Jose, California 95134-1706
!--- These messages are printed for any deprecated commands.
.ERROR: This command is no longer needed. The LOCAL user database is always enabled.
*** Output from config line 71, "aaa-server LOCAL protoco..."
ERROR: This command is no longer needed. The 'floodguard' feature is always enabled.
*** Output from config line 76, "floodguard enable"
Cryptochecksum(unchanged): 8c224e32 c17352ad 6f2586c4 6ed92303
!--- All current fixups are converted to the !--- new Modular Policy Framework.
INFO: converting 'fixup protocol dns maximum-length 512' to MPF commands
INFO: converting 'fixup protocol ftp 21' to MPF commands
INFO: converting 'fixup protocol h323_h225 1720' to MPF commands
INFO: converting 'fixup protocol h323_ras 1718-1719' to MPF commands
INFO: converting 'fixup protocol http 80' to MPF commands
INFO: converting 'fixup protocol ils 389' to MPF commands
INFO: converting 'fixup protocol netbios 137-138' to MPF commands
INFO: converting 'fixup protocol rsh 514' to MPF commands
INFO: converting 'fixup protocol rtsp 554' to MPF commands
INFO: converting 'fixup protocol sip 5060' to MPF commands
INFO: converting 'fixup protocol skinny 2000' to MPF commands
INFO: converting 'fixup protocol smtp 25' to MPF commands
INFO: converting 'fixup protocol sqlnet 1521' to MPF commands
INFO: converting 'fixup protocol sunrpc_udp 111' to MPF commands
INFO: converting 'fixup protocol tftp 69' to MPF commands
INFO: converting 'fixup protocol sip udp 5060' to MPF commands
INFO: converting 'fixup protocol xdmcp 177' to MPF commands
************************************************************************
** **
** *** WARNING *** WARNING *** WARNING *** WARNING *** WARNING *** **
** **
** ----> Current image running from RAM only! <---- **
** **
** When the PIX was upgraded in Monitor mode the boot image was not **
** written to Flash. Please issue "copy tftp: flash:" to load and **
** save a bootable image to Flash. Failure to do so will result in **
** a boot loop the next time the PIX is reloaded. **
** **
************************************************************************
Type help or '?' for a list of available commands.
pixfirewall>
pixfirewall>enable
Password:
Upgradeer de PIX security applicatie met de opdracht flash van het kopiëren
Voltooi deze stappen om de PIX te verbeteren met het gebruik van de opdracht van de flitser van de kopdruk.
-
Kopieer de binaire afbeelding van PIX-applicatie (bijvoorbeeld pix701.bin) naar de root folder van de TFTP-server.
-
Geef vanuit de instelling voor inschakelen de flitser-opdracht kopiëren uit.
pixfirewall>enable Password:pixfirewall#copy tftp flash -
Voer het IP-adres van de TFTP-server in.
Address or name of remote host [0.0.0.0]? -
Voer de naam in van het bestand op de TFTP-server die u wilt laden. Dit is de naam van het binaire beeldbestand van PIX.
Source file name [cdisk]? -
Wanneer u wordt gevraagd het TFTP-exemplaar te starten, typt u ja.
copying tftp://172.18.173.123/pix701.bin to flash:image [yes|no|again]?yes
-
De afbeelding wordt nu gekopieerd van de TFTP-server naar de Flash.
Dit bericht verschijnt en geeft aan dat de overdracht een succes is, het oude binaire beeld in Flash wordt gewist en het nieuwe beeld wordt geschreven en geïnstalleerd.
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Received 5124096 bytes Erasing current image Writing 5066808 bytes of image !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Image installed pixfirewall#
-
Herladen van de PIX-applicatie om het nieuwe beeld te starten.
pixfirewall#reload Proceed with reload? [confirm]Rebooting.... -
PIX start nu de 7.0-afbeelding, en dit is het volledige upgradeproces.
Voorbeeld configuratie - upgrade van de PIX-applicatie met de opdracht flitser kopiëren
pixfirewall#copy tftp flash
Address or name of remote host [0.0.0.0]? 172.18.173.123
Source file name [cdisk]? pix701.bin
copying tftp://172.18.173.123/pix701.bin to flash:image
[yes|no|again]? yes
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Received 5124096 bytes
Erasing current image
Writing 5066808 bytes of image
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
Image installed
pixfirewall#
pixfirewall#reload
Proceed with reload? [confirm]
Opmerking: met de onbeperkte licentie kan PIX 515 E maximaal acht VLAN’s hebben en PIX 535 kan maximaal 25 VLAN’s hebben.
Downgrade van PIX 7.x naar 6.x
PIX security applicaties versie 7.0 en gebruikt later een ander Flash-bestandsindeling die eerdere PIX-versies bevat. Daarom kunt u niet van een 7.0 afbeelding naar een 6.x afbeelding downloaden met behulp van de opdracht flitser van exemplaar tftp. In plaats daarvan moet u de opdracht downloaden. Als u dit niet doet, zit de PIX vast in een laarslus.
Toen de PIX oorspronkelijk werd bijgewerkt, werd de 6.x opstartconfiguratie opgeslagen in Flash als downgrade.cfg. Wanneer u deze procedure voor downloads volgt, wordt deze configuratie op het apparaat hersteld wanneer deze lagere waarde heeft. Deze configuratie kan worden herzien voordat u de opdracht flitser maakt:.cfg>prompt in 7.0. Bovendien, als de PIX werd bijgewerkt via Monitor Mode, dan wordt het vorige 6.x binaire beeld nog opgeslagen in Flash als Image_old.bin. U kunt verifiëren dat deze afbeelding bestaat wanneer u de flitser geeft: uit. Als het beeld op Flash bestaat, kunt u deze afbeelding in stap 1 van deze procedure gebruiken in plaats van de afbeelding vanaf een TFTP-server te laden.
Voltooi deze stappen om uw PIX-security applicatie te downloaden.
-
Typ de opdracht downloaden en specificeer de locatie van de afbeelding waaraan u wilt downloaden.
pixfirewall#downgrade tftp:/// Opmerking: Als u de PIX-functie van de monitor hebt bijgewerkt, wordt het oude binaire beeld nog steeds in Flash opgeslagen. Geef deze opdracht uit om de volgende afbeelding weer te geven:
pixfirewall#downgrade flash:/image_old.bin
-
Er verschijnt een waarschuwingsbericht dat u waarschuwt dat de Flash op het punt staat op te maken. Druk op enter om verder te gaan
This command will reformat the flash and automatically reboot the system. Do you wish to continue? [confirm] -
Het beeld wordt nu gekopieerd naar RAM en de opstartconfiguratie wordt ook gekopieerd naar RAM.
Buffering image !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Buffering startup config All items have been buffered successfully
-
Een tweede waarschuwingsbericht verschijnt dat aangeeft dat de Flash nu opslaat. Onderbreek dit proces NIET of de Flash kan corrupt worden. Druk op enter om door te gaan met het formaat.
If the flash reformat is interrupted or fails, data in flash will be lost and the system might drop to monitor mode. Do you wish to continue? [confirm] -
De Flash is nu opgemaakt en de oude afbeelding is geïnstalleerd en de PIX-herstart.
Acquiring exclusive access to flash Installing the correct file system for the image and saving the buffered data !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Flash downgrade succeeded Rebooting....
-
De PIX begint nu tot de normale prompt. Dit is het voltooien van het neerwaartse proces.
Voorbeeld configuratie - Downgrafie van PIX 7.x tot 6.x
pixfirewall#downgrade tftp://172.18.108.26/pix634.bin
This command will reformat the flash and automatically reboot the system.
Do you wish to continue? [confirm]
UpgradePIX-applicaties in een failover-set
Een upgrade van PIX-applicatie 6.x naar 7.x is een belangrijke upgrade. Het kan niet zonder downtime worden gedaan, zelfs voor PIX's in een failover set. Vele van de failoveropdrachten veranderen met de upgrade. Het aanbevolen upgradepad is om één van de PIX's in de failover-set uit te schakelen. Volg vervolgens de instructies in dit document om het apparaat op PIX te upgraden. Nadat de upgrade is voltooid, controleert u of het verkeer passeert en start u de PIX ook één keer opnieuw om te controleren of het opnieuw wordt opgestart zonder problemen. Als u ervan overtuigd bent dat alles correct werkt, schakelt u de nieuw opgewaardeerde PIX uit en schakelt u de andere PIX in. Volg vervolgens de instructies in dit document voor het upgraden van de PIX. Controleer na voltooiing van de upgrade of het verkeer verloopt. Herstart de PIX ook eens om te controleren of het zonder probleem opnieuw verschijnt. Zodra u tevreden bent dat alles goed werkt, kunt u de andere PIX inschakelen. Beide PIX's worden nu bijgewerkt tot 7.x en ingeschakeld. Controleer dat ze goed uitvalcommunicatie met de opdracht uitzenden.
Opmerking: De PIX dwingt nu de beperking af dat elke interface die gegevensverkeer doorgeeft niet ook kan worden gebruikt als LAN failover-interface of de stateful failover-interface. Als uw huidige PIX-configuratie een gedeelde interface heeft die wordt gebruikt om normaal gegevensverkeer door te geven, evenals de LAN-failover-informatie of de stateful informatie, en als u een upgrade uitvoert, gaat het gegevensverkeer niet langer door deze interface. Alle opdrachten die aan die interface zijn gekoppeld, falen ook.
Installeer adaptieve security apparaatbeheer (ASDM)
Voordat u ASDM installeert, raadt Cisco u aan de Releaseopmerkingen te lezen voor de versie die u wilt installeren. De Releaseopmerkingen bevatten de minimale ondersteunde browsers en Java-versies en een lijst met nieuwe functies die worden ondersteund en geopend.
Het proces voor het installeren van ASDM verschilt in versie 7.0 enigszins van het verleden. Ook, zodra het ASDM beeld in de Flash wordt gekopieerd moet u het in de configuratie specificeren zodat PIX het weet te gebruiken. Voltooi deze stappen om het ASDM-beeld in Flash te installeren.
-
Download de ASDM afbeelding (alleen geregistreerde klanten) van Cisco.com en plaats deze in de root folder van uw TFTP-server.
-
Controleer of uw PIX-verbinding heeft met uw TFTP-server. Om dit te doen, pingelt u de TFTP server van de PIX.
-
Geef vanuit de instelling voor inschakelen de flitser-opdracht kopiëren uit.
pixfirewall>enable Password:pixfirewall#copy tftp flash -
Voer het IP-adres van de TFTP-server in.
Address or name of remote host [0.0.0.0]? -
Voer de naam in van het ASDM-bestand op de TFTP-server die u wilt laden.
Source file name [cdisk]? -
Voer de naam in voor het ASDM-bestand dat u in Flash wilt opslaan. Druk op enter om dezelfde bestandsnaam te bewaren.
Destination filename [asdm-501.bin]? -
De afbeelding wordt nu gekopieerd van de TFTP-server naar de Flash. Deze berichten verschijnen en geven aan dat de overdracht een succes is.
Accessing tftp://172.18.173.123/asdm-501.bin... !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!! Writing file flash:/asdm-501.bin... !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!!!!! 5880016 bytes copied in 140.710 secs (42000 bytes/sec)
-
Nadat het ASDM-beeld is gekopieerd geeft u de flitser van de asdm-afbeelding uit: opdracht om het te gebruiken ASDM-beeld te specificeren.
pixfirewall(config)#asdm image flash:asdm-501.bin
-
Sla de configuratie in Flash op met de opdracht schrijfgeheugen.
pixfirewall(config)#write memory
-
Hiermee wordt het ASDM-installatieproces voltooid.
Problemen oplossen
| Symptoom | Resolutie |
|---|---|
Nadat u de methode van de flitser van het kopieer gebruikmaakt om de PIX te verbeteren, en opnieuw op te starten, wordt het vastgemaakt in deze herlader: Cisco Secure PIX Firewall BIOS (4.0) #0: Thu Mar 2 22:59:20 PST 2000 Platform PIX-515 Flash=i28F640J5 @ 0x300 Use BREAK or ESC to interrupt flash boot. Use SPACE to begin flash boot immediately. Reading 5063168 bytes of image from flash. |
PIX-applicaties met versies eerder dan 4.2 kunnen niet worden bijgewerkt met behulp van de opdracht voor het maken van fotoflitser. U moet ze upgraden met de methode van de monitor. |
Nadat de PIX 7.0 draait en herstart, wordt hij vastgezet in deze herstartlus: Rebooting.... Cisco Secure PIX Firewall BIOS (4.0) #0: Thu Mar 2 22:59:20 PST 2000 Platform PIX-515 Flash=i28F640J5 @ 0x300 Use BREAK or ESC to interrupt flash boot. Use SPACE to begin flash boot immediately. Reading 115200 bytes of image from flash. PIX Flash Load Helper Initializing flashfs... flashfs[0]: 10 files, 4 directories flashfs[0]: 0 orphaned files, 0 orphaned directories flashfs[0]: Total bytes: 15998976 flashfs[0]: Bytes used: 1975808 flashfs[0]: Bytes available: 14023168 flashfs[0]: Initialization complete. Unable to locate boot image configuration Booting first image in flash No bootable image in flash. Please download an image from a network server in the monitor mode Failed to find an image to boot |
Als de PIX van Monitor Mode tot 7.0 is bijgewerkt, maar het 7.0-beeld is niet opnieuw gekopieerd naar Flash na de eerste laars van 7.0, dan wanneer de PIX opnieuw wordt geladen, wordt het vastgezet in een rebootlus. De resolutie is om het beeld opnieuw te laden vanuit de monitor-modus. Nadat het programma is opgestart, moet u de afbeelding nog een keer kopiëren met behulp van de methode van de flitser van het exemplaar. |
Wanneer u uw upgrade uitvoert met de methode van de flitser van de fotokopie, ziet u deze foutmelding: pixfirewall#copy tftp flash Address or name of remote host [0.0.0.0]? 172.18.173.123 Source file name [cdisk]? pix701.bin copying tftp://172.18.173.123/pix701.bin to flash:image [yes|no|again]? y !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! !!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!! Received 5124096 bytes Erasing current image Insufficient flash space available for this request: Size info: request:5066808 current:1966136 delta:3100672 free:2752512 Image not installed pixfirewall# |
Dit bericht wordt doorgaans gezien wanneer de PIX-535 of PIX-515 (niet E) worden bijgewerkt via de flitsmethode van kopie tftp, en PDM ook in Flash op die PIX is geladen. De resolutie moet worden bijgewerkt met de methode Monitormodus. |
| Nadat u de PIX van 6.x in 7.0 hebt gemoderniseerd, migreren sommige configuratie niet goed. | De output van de show het opstarten-in werking stellen-configuratie fouten opdracht toont om het even welke fouten die tijdens de migratie van de configuratie voorkwamen. De fouten verschijnen in deze uitvoer nadat u de PIX voor het eerst hebt opgestart. Onderzoek deze fouten en probeer ze op te lossen. |
| PIX voert versie 7.x uit en er is een nieuwere versie geïnstalleerd. Wanneer de PIX opnieuw wordt opgestart, blijft de oude versie laden. | In PIX versie 7.x kunt u meerdere afbeeldingen in Flash opslaan. De PIX kijkt eerst in de configuratie voor om het even welke flitser van het laarssysteem: opdrachten. Deze opdrachten specificeren welke afbeelding de PIX moet starten. Als er geen knipperlamp is: Opdrachten worden gevonden, de PIX start het eerste bootable beeld in Flash. Om een andere versie te starten, specificeert u het bestand met het gebruik van de flitser van het opstartsysteem:/<filename>. |
| Een ASDM-afbeelding is geladen in Flash, maar gebruikers kunnen ASDM niet laden in hun browser. | Zorg er eerst voor dat het ASDM-bestand dat in Flash is geladen, wordt gespecificeerd door de asdm-afbeelding flash://<asdm_file> opdracht. Ten tweede, controleer of de http server wellicht opdracht in de configuratie is. Ten slotte, controleer de host die ASDM probeert te laden is toegestaan via de opdracht <adres> <mask>. |
| FTP werkt niet na een upgrade. | FTP-inspectie was niet ingeschakeld na de upgrade. Schakel de FTP-inspectie op een van twee manieren in zoals in het gedeelte Inschakelen FTP-inspectie. |
FTP-inspectie inschakelen
De inspectie van FTP kan met één van deze twee methodes worden geactiveerd:
-
FTP toevoegen aan het standaard/global inspection beleid.
-
Als het niet bestaat, maak de inspection_default class-map aan.
PIX1#configure terminal PIX1(config)#class-map inspection_default PIX1(config-cmap)#match default-inspection-traffic PIX1(config-cmap)#exit
-
Maak of bewerk de global_policy map en laat FTP inspectie voor de class inspection_default toe.
PIX1(config)#policy-map global_policy PIX1(config-pmap)#class inspection_default PIX1(config-pmap-c)#inspect dns preset_dns_map PIX1(config-pmap-c)#inspect ftp PIX1(config-pmap-c)#inspect h323 h225 PIX1(config-pmap-c)#inspect h323 ras PIX1(config-pmap-c)#inspect rsh PIX1(config-pmap-c)#inspect rtsp PIX1(config-pmap-c)#inspect esmtp PIX1(config-pmap-c)#inspect sqlnet PIX1(config-pmap-c)#inspect skinny PIX1(config-pmap-c)#inspect sunrpc PIX1(config-pmap-c)#inspect xdmcp PIX1(config-pmap-c)#inspect sip PIX1(config-pmap-c)#inspect netbios PIX1(config-pmap-c)#inspect tftp
-
Schakel het global_policy mondiaal in.
PIX1(config)#service-policy global_policy global
-
-
FTP inschakelen door een afzonderlijk inspectiebeleid te maken.
PIX1#configure terminal PIX1(config)#class-map ftp-traffic !--- Matches the FTP data traffic. PIX1(config-cmap)#match port tcp eq ftp PIX1(config-cmap)#exit PIX1(config)#policy-map ftp-policy PIX1(config-pmap)#class ftp-traffic !--- Inspection for the FTP traffic is enabled. PIX1(config-pmap-c)#inspect ftp PIX1(config-pmap)#exit PIX1(config)#exit !--- Applies the FTP inspection globally. PIX1(config)#service-policy ftp-policy global
Een geldig servicecontract verkrijgen
U moet een geldig servicecontract hebben afgesloten om de PIX-software te kunnen downloaden. Voer de volgende stappen uit om een servicecontract te verkrijgen:
-
Neem contact op met uw Cisco-accountteam als u een directe koopovereenkomst hebt.
-
Neem contact op met een Cisco-partner of Reseller om een servicecontract te kopen.
-
Gebruik de Profile Manager om uw Cisco.com-profiel bij te werken en om associatie naar een servicecontract te vragen.
Gerelateerde informatie
Revisiegeschiedenis
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
1.0 |
16-Oct-2008 |
Eerste vrijgave |
FeedbackContact Cisco
- Een ondersteuningscase openen
- (Vereist een Cisco-servicecontract)